Garante per la protezione dei dati personali (Italy): warning to ReLife Recycling s.r.l. for violation of data subject access timelines

Provvedimento del 3 luglio 2026 [10289286]

g-docweb-display Portlet

Home Provvedimenti Ammonimento Provvedimento del 3 luglio 2026 [10289286]

Provvedimento del 3 luglio 2026 [10289286]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10289286]

Provvedimento del 3 luglio 2026

Registro dei provvedimenti

n. 515 del 3 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dal sig. XX in data 27/03/2023, ai sensi dell’art. 77 del Regolamento con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di ReLife Recycling s.r.l.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo nei confronti della Società e l’istruttoria preliminare.

Si fa riferimento al reclamo del 5.12.2023 con cui il sig. XX rappresentava di aver avuto dei contatti (scambi di e-mail) con la società Benfante s.r.l. (ora divenuta ReLife Recycling s.r.l.) “per richiedere un’offerta da parte di un’azienda”; in particolare, il reclamante ha dichiarato di aver inviato, dal proprio account, in data 1.7.2021, una comunicazione all’account XX e per conoscenza a XX “a cui seguiva uno scambio di corrispondenza tra l’esponente e il sig. XX della Benfante s.r.l.”.

Il reclamante dichiarava, altresì, di aver appreso che successivamente, in data 2.7.2021, il suddetto scambio di e-mail sarebbe stato inoltrato, senza il proprio consenso, dall’indirizzo XX a terzi e, precisamente, all’indirizzo di posta elettronica XX dell’amministratore di XX (società per cui il reclamante aveva attualmente un contratto di consulenza).

Il reclamante rappresentava, infine, di aver esercitato, nei confronti della predetta Società, i diritti di cui agli artt. da 15 a 22 del Regolamento, con raccomandata inviata in data 14.6.2023 (regolarmente consegnata), senza ricevere alcun riscontro.

Con nota del 3.7.2024 (prot. n. 81947), l’Ufficio inviava alla ReLife Recycling s.r.l. (di seguito la “Società”) un invito ad aderire alle richieste formulate dall’interessato, fornendo riscontro allo stesso e inviando copia del riscontro a questa Autorità.

Con successiva comunicazione del 29.7.2024, ReLife Recycling s.r.l. inoltrava al Garante il riscontro fornito al sig. XX con cui la Società rappresentava:

di aver fornito un “riscontro tardivo” all’interessato a causa di “una serie di riorganizzazioni dei nostri sistemi di gestione che hanno purtroppo causato una svista rispetto alla sua comunicazione”;

di non trattare “alcun (…) dato personale” dell’interessato e che le sole informazioni a (…) disposizione” della Società “sono quelle relative allo scambio di e-mail menzionato nella Sua missiva”;

di aver inoltrato il suddetto scambio di e-mail alla XX “per mere ed esclusive finalità commerciali”; in particolare “alla luce del comportamento (…) non corretto tenuto dal medesimo “proponendo un prodotto non dell’azienda presso cui lavorava (cioè la XX) che era già nostro storico fornitore, ma di una terza”.

Invitato a formulare controdeduzioni, con nota del 30.12.2024, il reclamante, tramite l’avv. XX, ha insistito nelle doglianze già espresse e ha dichiarato che il titolare del trattamento avrebbe fornito un riscontro “tardivo” e “incompleto” in quanto “carente in ordine ai seguenti aspetti”:

indicazione delle categorie di dati personali trattati;

comunicazione dei destinatari o categorie di destinatari a cui i suoi dati personali sono stati comunicati (…);

indicazione del periodo di conservazione dei suoi dati personali (…);

comunicazione dell’origine dei dati (…);

conferma dell’avvenuta limitazione del trattamento;

conferma di aver recepito l’opposizione al trattamento effettuata”.

2. L'avvio del procedimento.

Sulla base delle risultanze istruttorie, considerate anche le dichiarazioni rese dalle parti, è risultato che la Società non ha dato riscontro alla richiesta di accesso del Sig. XX ai propri dati personali, formulata dal reclamante ai sensi degli artt. da 15 a 22 del Regolamento, in violazione dell’art. 12, par. 3, del Regolamento stesso e non lo ha informato, entro il termine di un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale, in violazione dell’art. 12, par. 4, del Regolamento.

Per quanto sopra, l’Ufficio ha provveduto a notificare alla Società, con nota del 25/03/2025, l’atto di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3 e 12, par. 4, del Regolamento.

In data 19/04/2025, la Società ha inviato i propri scritti difensivi, ai sensi dell’art. 18 della legge n. 689/1981, con cui ha argomentato che il ritardo nel riscontro alla richiesta di accesso ai dati personali presentata da XX sia stato causato da una complessa fase di riorganizzazione aziendale dovuta a operazioni straordinarie e non da negligenza intenzionale.

Viene inoltre evidenziato che la richiesta si inseriva in un contesto commerciale particolare, legato ai rapporti tra la società e XX e che il diritto di accesso sarebbe stato utilizzato da XX principalmente nell’ambito di un contenzioso con tale società, piuttosto che per controllare i propri dati personali.

Pur avendo risposto tardivamente, la Società afferma di aver fornito tutte le informazioni rilevanti, di aver collaborato con il Garante e di aver successivamente rafforzato le proprie procedure per il riscontro alle istanze di esercizio dei diritti dell’interessati al trattamento dei dati personali, nonché nominato un DPO. Per questi motivi ritiene sproporzionata una sanzione pecuniaria e chiede, al massimo, l’adozione di un ammonimento.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino pertanto inidonee a disporre l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

In proposito si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

Risulta, quindi, accertato che la condotta posta in essere dalla Società, con riferimento al mancato riscontro all’istanza di accesso presentata dal reclamante, è illecita, nei termini su esposti, in relazione agli artt. 12, par. 3 e 4 del Regolamento, poiché la Società non ha, entro il termine di un mese dal ricevimento della richiesta dell’interessato, né riscontrato alla sua istanza né lo ha informato dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale.

Valutati tutti gli elementi acquisiti nell’ambito dell’istruttoria e le peculiari circostanze del caso, si ritiene tuttavia che la violazione, accertata nei termini anzidetti, possa essere considerata “minore” (v. art. 83, par. 2 e Cons. 148 del Regolamento), tenuto conto, in particolare:

del carattere colposo della condotta posta in essere dalla Società;

il numero di interessati coinvolti (uno);

l’assenza di precedenti violazioni a carico della Società;

delle procedure messe in campo dalla Società per evitali simili evenienze in futuro.

Tenuto conto che, ai sensi del considerando 148 del Regolamento, “in caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria”, si ritiene sufficiente ammonire il titolare del trattamento ai sensi degli artt. 143 del Codice e 58, par. 2, lett. b), del Regolamento.

Si rileva, inoltre, che ricorrono i presupposti per l’annotazione della violazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento (art. 17 del Regolamento del Garante n. 1/2019).

Si informa, infine, che come da disposizioni normative e regolamentari dell’Ufficio (art. 154-bis, comma 3, del Codice; art. 37 del Regolamento del Garante n. 1/2019), copia del presente provvedimento verrà pubblicata sul sito web del Garante.

TUTTO CIÒ PREMESSO, IL GARANTE rileva l’illiceità del trattamento effettuato da ReLife Recycling s.r.l., con sede legale in Sant’Olcese (GE), via Gramsci 2, cap 16010, P.I. 03083200109, ai sensi degli artt. 12, par. 3 e 4 e 15 del Regolamento e art. 157 del Codice;

ai sensi dell’art. 58, par. 2, lett. b), del Regolamento ammonisce ReLife Recycling s.r.l., quale titolare del trattamento in questione, per aver effettuato un trattamento di dati personali in violazione della disciplina in materia di protezione dei dati personali;

DISPONE ai sensi dell’art. 154-bis, comma 3, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante.

in conformità all’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione della violazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 03 luglio 2026

IL PRESIDENTE

Stanzione

IL RELATORE

Cerrina Feroni

IL SEGRETARIO GENERALE

Montuori

Scheda

Doc-Web

10289286

Data

03/07/26

Tipologie

Ammonimento