Prescrizioni del Garante n. 448 del 11/06/2026

AIFA: tardivo riscontro a istanza di accesso e ammonimento del Garante

Il provvedimento riguarda l’Agenzia Italiana del Farmaco (AIFA) e l’omesso/tardivo riscontro a una richiesta di accesso ai dati personali presentata da un interessato ai sensi degli artt. 15 e 12 GDPR. Il procedimento è stato avviato a seguito di reclamo ex art. 77 GDPR e si è concluso con l’accertamento della violazione, ma con la scelta di un ammonimento, senza sanzione pecuniaria.

Origine del reclamo e svolgimento dell’istruttoria

L’interessato ha lamentato di aver esercitato i diritti di cui agli artt. 15-22 GDPR nei confronti dell’AIFA senza ricevere riscontro. A seguito dell’invito ad aderire dell’Autorità, l’AIFA ha poi riscontrato l’istanza, precisando che il trattamento riguardava dati anagrafici e di contatto relativi alla gestione di numerose istanze di accesso documentale, civico e generalizzato presentate dallo stesso interessato, incluse attività di protocollazione, e che tali dati non erano stati comunicati a terzi né erano oggetto di decisioni automatizzate.

Nel corso della difesa, l’AIFA ha attribuito il ritardo ad avvicendamenti apicali e a criticità organizzative interne verificatesi nel periodo di ricezione dell’istanza. Ha inoltre evidenziato la presenza di una procedura operativa standard interna (POS n. 215) e di un disciplinare per la gestione delle richieste degli interessati, nonché la collaborazione prestata all’Autorità nel corso dell’istruttoria.

Violazione accertata dal Garante

Il Garante ha richiamato l’art. 12, par. 3, GDPR, che impone al titolare di fornire riscontro senza ingiustificato ritardo e comunque entro un mese dalla richiesta, prorogabile di due mesi solo in caso di necessità e previa informazione all’interessato. Ha inoltre richiamato l’art. 12, par. 4, GDPR, che impone, in caso di mancato riscontro, di informare l’interessato entro un mese dei motivi dell’inottemperanza e della possibilità di proporre reclamo e ricorso.

Nel caso concreto, l’AIFA non ha risposto nei termini e non ha nemmeno informato tempestivamente l’interessato circa il ritardo o l’impossibilità di adempiere. Il riscontro è stato fornito solo successivamente, dopo l’intervento del Garante. Per tale ragione è stata dichiarata la violazione dell’art. 12, parr. 3 e 4, GDPR e, in motivazione, l’illiceità del trattamento effettuato dall’AIFA ai sensi dell’art. 57, par. 1, lett. f), GDPR.

Valutazione della gravità e applicazione dell’art. 83 GDPR

L’Autorità ha considerato varie circostanze attenuanti: la vicenda ha coinvolto un solo interessato; si è trattato di un ritardo non doloso ma colposo; non risultano precedenti violazioni a carico dell’ente; l’AIFA ha mostrato buona cooperazione; sono state adottate misure organizzative interne per la gestione delle richieste privacy. Il Garante ha quindi qualificato il caso come “violazione minore”, richiamando l’art. 83, par. 2, GDPR, il considerando 148 e le Linee guida WP 253 in tema di sanzioni amministrative pecuniarie.

Provvedimenti finali

Ritenuto che la condotta avesse esaurito i suoi effetti, perché l’istanza era stata poi riscontrata in modo completo, il Garante ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza ulteriori misure correttive. Ha inoltre disposto la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione delle violazioni e delle misure adottate nel registro interno previsto dal Regolamento del Garante n. 1/2019.

Impugnazioni

Contro il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.