Garante per la protezione dei dati personali: warning to Coes Company s.r.l. — in Liquidation for failing to respond to an access request

Provvedimento del 23 ottobre 2025 [10197525]

g-docweb-display Portlet

Home Provvedimenti Ammonimento Provvedimento del 23 ottobre 2025 [10197525]

Provvedimento del 23 ottobre 2025 [10197525]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10197525]

Provvedimento del 23 ottobre 2025

Registro dei provvedimenti

n. 632 del 23 ottobre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Angelo Fanizza, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato in data 22/11/2023 dal Sig. XX nei confronti della Coes Company s.r.l. – in Liquidazione (di seguito, anche “la Società”);

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo.

Con il reclamo, presentato in data 22/11/2023, dal Sig. XX sono state lamentate violazioni della disciplina in materia di protezione da parte di Coes Company s.r.l. – in Liquidazione, consistenti nel mancato riscontro all’istanza di esercizio dei diritti dallo stesso presentata, ai sensi dell’art. 15 del Regolamento UE 2016/679.

Dalla documentazione allegata al reclamo, si evince che tale istanza, formulata in data 31/08/2023, era stata regolarmente notificata all’indirizzo XX

L’Ufficio, pertanto, procedeva ad istruire il reclamo, formulando nei confronti della Società, in qualità di titolare del trattamento, una richiesta volta a sollecitare i riscontri alle istanze di esercizio dei diritti del reclamante (nota del 02/01/2024).

Considerato che tale nota, regolarmente notificata all’indirizzo pec della Società, non è stata riscontrata nei termini, l’Ufficio ha provveduto a formulare una nuova richiesta, ai sensi dell’art. 157 del d.lgs. 196/2003, in data 20/03/2024 (recante il Codice in materia di protezione dei dati personali, di seguito “Codice”).

Tuttavia, anche tale richiesta di informazione, sebbene regolarmente notificata all’indirizzo pec della Società, non ha ricevuto alcun riscontro nel termine indicato.

2. L’attività istruttoria

A seguito di richiesta dell’Ufficio, la Guardia di finanza – Nucleo speciale tutela privacy e frodi tecnologiche ha provveduto, in data 8.04.2024, ad acquisire le informazioni richieste, redigendo apposito verbale delle operazioni compiute.

Nel verbale, si riferisce che il liquidatore della Società (XX), interrogato dagli agenti del Nucleo, ha rappresentato che:

- “in data 09.03.2023 veniva ricevuta dal sottoscritto sulla PEC della società richiesta da parte del (…) difensore del Signor XX, della documentazione relativa (…) al periodo in cui lo stesso aveva svolto attività lavorativa presso la Coes Company S.r.l., antecedentemente al passaggio presso altro datore di lavoro. In data 16.03.2023 è stata dichiarata l’apertura di liquidazione giudiziale per la Coes Company S.r.l. ed in pari data è stato nominato il Dott. (…) quale liquidatore giudiziale;

- successivamente mi accorgevo che era stato ricevuto dalla società, in data 02.01.2024, dal protocollo del Garante per la protezione dei dati personali il reclamo proposto da (il difensore del reclamante n.d.r.), pertanto, rilevato che lo stesso era indirizzato ancora alla società nella persona del liquidatore volontario (cioè io) e non al liquidatore giudiziale (…), in data 16.01.2024 inoltravo, solo per ulteriore scrupolo, detta richiesta al (liquidatore giudiziale n.d.r.) sulla sua posta certificata personale, ciò solo per essere sicuro che egli provvedesse all’evasione;

- ad ogni modo, in data odierna (…) dichiaro che provvederò, dandone notizia anche al liquidatore giudiziale, anche se come sopra specificato non lo ritengo più di mia competenza, ad inviare dalla posta elettronica della Coes Company S.r.l. copia dei documenti in mio possesso sopra specificati (…) all’indirizzo di posta elettronica dell’Avvocato (del reclamante n.d.r.)”.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

Sulla base dell’accertamento compiuto e delle successive valutazioni di questo Dipartimento, risulta accertato che la Società, in qualità di titolare del trattamento, non ha – per il tramite del proprio liquidatore - fornito riscontro alla richiesta di accesso, formulata dal reclamante, alla documentazione lavorativa richiesta, entro il termine previsto dall’art. 12, par. 3 del Regolamento (“senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta”); né ha provveduto a informare l’istante, entro il medesimo termine, dei motivi dell'inottemperanza nonché della possibilità di proporre reclamo a un'autorità di controllo o un ricorso giurisdizionale (art. 12, par. 4 del Regolamento).

La Società non ha inoltre adempiuto l’obbligo di fornire risposta alla richiesta di informazioni dell’Autorità di cui all’art. 157 del Codice, nel termine indicato dalla stessa Autorità.

Alla luce di quanto sopra, è stato notificato alla Società l’atto di avvio del procedimento sanzionatorio, ai sensi dell’art. 166, comma 5, del Codice per la violazione dell’art. 157 del Codice.

Non sono pervenuti, sul punto, scritti difensivi da parte della Società.

4. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi di cui all’art. 58, par. 2, del Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino pertanto inidonee a disporre l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Risulta, quindi, accertato che la condotta posta in essere dalla Coes Company S.r.l. con riferimento al mancato riscontro all’istanza di accesso presentata dal reclamante, è illecita, nei termini su esposti, in relazione agli artt. 12, par. 3 e 4 e 15 del Regolamento, nonché, in relazione all’obbligo di fornire le informazioni richieste all’Autorità, ai sensi dell’art. 157 del Codice.

Valutati tutti gli elementi acquisiti nell’ambito dell’istruttoria e le peculiari circostanze del caso, si ritiene tuttavia che la violazione, accertata nei termini anzidetti, possa essere considerata “minore” (v. art. 83, par. 2 e Cons. 148 del Regolamento), tenuto conto, in particolare:

del carattere colposo della condotta posta in essere dalla Società, in larga parte -come significato nelle dichiarazioni acquisite all’istruttoria – dovuto al fallimento della Società e, nello specifico, alla ricezione della richiesta di accesso (e successiva nota dell’Autorità) nelle more della nomina di un liquidatore giudiziale, con conseguente incertezza sul soggetto tenuto a fornire riscontro alle richieste pervenute;

il numero di interessati coinvolti (uno);

l’assenza di precedenti violazioni a carico della Società;

Va inoltre considerato che la Società è attualmente in fase di procedura di fallimento (liquidazione giudiziale) e, pertanto, l’eventuale irrogazione di una sanzione amministrativa si porrebbe come di difficile soddisfazione e, comunque, non conseguirebbe il risultato di “rafforzare il rispetto delle norme del Regolamento, alla luce dell’art. 83, par. 2 e cons. 148 del Regolamento” (cfr. sul punto, CGUE, Prima Sezione, 26 settembre 2024, C-768/21).

Tenuto inoltre conto che, ai sensi del considerando 148 del Regolamento, “in caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria”, si ritiene sufficiente ammonire il titolare del trattamento ai sensi degli artt. 143 del Codice e 58, par. 2, lett. b), del Regolamento.

Si rileva, inoltre, che ricorrono i presupposti per l’annotazione della violazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento (art. 17 del Regolamento del Garante n. 1/2019).

Si informa, infine, che come da disposizioni normative e regolamentari dell’Ufficio (art. 154-bis, comma 3, del Codice; art. 37 del Regolamento del Garante n. 1/2019), copia del presente provvedimento verrà pubblicata sul sito web del Garante.

TUTTO CIÒ PREMESSO, IL GARANTE rileva l’illiceità del trattamento effettuato da Coes Company S.r.l., c.f./P.IVA 03736550611, in persona del legale rappresentante pro tempore, con sede legale in Piedimonte Matese, Piazza Roma n. 16 - ai sensi dell’art. 143 del Codice, per la violazione degli artt. 12, par. 3 e 4 e 15 del Regolamento e art. 157 del Codice;

ai sensi dell’art. 58, par. 2, lett. b), del Regolamento ammonisce Coes Company S.r.l., quale titolare del trattamento in questione, per aver effettuato un trattamento di dati personali in violazione della disciplina in materia di protezione dei dati personali;

DISPONE

a) ai sensi dell’art. 154-bis, comma 3, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante.

b) in conformità all’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione della violazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 23 ottobre 2025

IL PRESIDENTE

Stanzione

IL RELATORE

Ghiglia

IL SEGRETARIO GENERALE

Fanizza

Scheda

Doc-Web

10197525

Data

23/10/25

Argomenti

Lavoro dipendente

Tipologie

Ammonimento