Decision of the Italian Data Protection Authority of 11 June 2026 [10269661]: reprimand to the Italian Medicines Agency for late response to a data subject request

Provvedimento dell'11 giugno 2026 [10269661]

g-docweb-display Portlet

Home Provvedimenti Ammonimento Provvedimento dell'11 giugno 2026 [10269661]

Provvedimento dell'11 giugno 2026 [10269661]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10269661]

Provvedimento dell'11 giugno 2026

Registro dei provvedimenti

n. 448 dell'11 giugno 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, il Sig. XX ha lamentato a questa Autorità di aver esercitato i diritti di cui agli artt. da 15 a 22 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, il “Regolamento”) nei confronti dell’Agenzia Italiana del Farmaco (di seguito “AIFA”) in data XX e di non avere ricevuto alcun riscontro.

2. L’attività istruttoria.

Accogliendo un invito ad aderire alle richieste dell’interessato rivolto dall’Autorità con nota del XX, prot. XX, l’AIFA, con nota del XX, prot. XX, trasmessa per conoscenza anche a questa Autorità, ha fornito riscontro all’interessato, rappresentando, fra altro che “alla data [dell’istanza] era in corso il trattamento dei […] dati anagrafici e di contatto [del reclamante] nell’ambito della gestione delle numerose istanze di accesso documentale, civico e generalizzato da [questi] presentate, ivi compresa l’attività di protocollazione, al fine di assolvere agli obblighi di legge previsti dalla vigente normativa”. L’Ente ha, altresì, precisato che “i dati personali trattati sono originati dalle medesime istanze di accesso [formulate dal reclamante]”, che non ha “acquisito alcun dato relativo alla Sua posizione lavorativa o alla professione […] svolta”, che i predetti dati “non sono stati comunicati a terzi” e che “per dette tipologie di trattamento non trova applicazione, all’interno dell’Agenzia, alcun processo decisionale automatizzato”. Infine, l’Ente ha precisato che i dati personali del reclamante “sono conservati per il tempo necessario al perseguimento delle finalità sopra indicate e, comunque, in conformità alle norme vigenti in materia di conservazione dei documenti della Pubblica Amministrazione”.

A seguito del predetto riscontro, il reclamante, con nota XX, ha rappresentato, tra l’altro che l’Ente non ha indicato “alcuna motivazione relativa al mancato riscontro” nei termini previsti e che lo stesso “avrebbe dovuto fornire una risposta più puntuale e precisa”, pur avendo “Certamente [il reclamante] compreso il contenuto delle informazioni fornite”.

Con nota del XX, prot. n. XX, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’AIFA, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver tardivamente fornito riscontro all’istanza dell’interessato, in violazione di quanto previsto dall’art. 12, parr. 3 e 4, del Regolamento. Con la medesima nota, il titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX, prot. n. XX, l’AIFA ha presentato una memoria difensiva, dichiarando, in particolare, che:

- “nel mese di XX, allorquando è pervenuta alla scrivente Agenzia la richiesta del [reclamante] quest’ultima, indirizzata unicamente all’account del Sistema di Protocollo dell'Agenzia, è stata inoltrata — come per prassi all’epoca vigente — all'allora Direzione Generale; sennonché, proprio nel medesimo periodo (XX) l’AIFA ha visto l’avvicendamento sia del Direttore Generale che del Dirigente dell'Ufficio Segreteria Tecnica Istituzionale della Direzione Generale […];

- “Preme precisare [...] come successivamente all’invio della suddetta istanza, l’interessato non abbia mai inoltrato solleciti o richieste di chiarimento a questa Agenzia in merito al mancato riscontro, né attivato interlocuzioni informali volte a segnalare il ritardo […] che avrebbe[ro] certamente consentito ad AIFA di intervenire tempestivamente per emendare l’anomalia e fornire il riscontro nei tempi più brevi possibili”;

- “questa Amministrazione […] ricevuta la notifica di reclamo [...] ha prontamente provveduto – anche con il supporto del Responsabile della protezione dei dati – al riscontro della richiesta [...] che ha visto il coinvolgimento di più strutture interessate dalle numerose richieste di accesso agli atti presentate da parte del reclamante nel corso degli anni, a decorrere dal XX”.

Con nota sopra richiamata, l’AIFA ha altresì evidenziato che “la vicenda oggetto del procedimento riguarda un solo interessato in relazione ad una sola richiesta di accesso ex art. 15 GDPR [che] non ha determinato alcun pregiudizio in capo all’interessato” (art. 83, par. 2, lett. a) del Regolamento), “il ritardato riscontro [...] non è imputabile ad intenti dilatori dell’Ente, ma è ascrivibile, unicamente a concomitanti ed eccezionali cause che hanno determinato – quale unico caso ad oggi registrato in AIFA – la non corretta gestione della richiesta stessa” (art. 83, par. 2, lett. b) del Regolamento), l’Ente ha adottato misure organizzative atte a garantire il corretto smistamento e la tempestiva evasione delle richieste degli interessati, e in particolare, “uno specifico disciplinare interno, la procedura operativa standard (POS) n. 215, in materia di gestione delle richieste degli interessati ai sensi degli artt. 15 e ss. del GDPR [che] coinvolge i referenti privacy dei singoli Uffici“ (art. 83, par. 2, lett. d) del Regolamento), non risulta destinatario di precedenti provvedimenti correttivi o sanzionatori (art. 83, par. 2, lett. e) del Regolamento).

Nel corso dell’audizione del XX, l’AIFA ha fornito ulteriori elementi istruttori, rappresentando, in particolare, che il reclamante “ha presentato più di quindici istanze conoscitive, di diversa natura […] anche ripetutamente nell’arco di un ristretto ambito temporale. Spesso, inoltre, tali istanze risultavano formulate con modalità poco circostanziate e motivate. Peraltro, l’oggetto dell’istanza di accesso ai dati cui reclamo era riferito ai dati contenuti nelle medesime predette istanze – di accesso a vario titolo - che lo stesso aveva reiteratamente trasmesso all’Agenzia […]. Inoltre, “le istanze dell’interessato erano spesso trasversali a più strutture o articolazioni interne all’Agenzia, la quale, cionondimeno, ha sempre fornito riscontri puntuali”.

Con riguardo alle circostanze previste dall’art. 83, par. 2, del Regolamento l’AIFA ha altresì rappresentato che “l’episodio è caratterizzato da una particolare tenuità […], atteso che si tratta di un ritardato riscontro che non ha generato alcun tipo di pregiudizio all’istante, né quest’ultimo lo ha mai lamentato”; “si è trattato di un caso eccezionale ed isolato che ha coinvolto un unico interessato, che ha riguardato comunque esclusivamente dati di natura comune”; il titolare “ha tenuto un comportamento assolutamente collaborativo nell’ambito dell’istruttoria” .

3. Esito dell’attività istruttoria .

In tema di esercizio dei diritti dell’interessato, l’art. 12, par. 3, del Regolamento stabilisce che il titolare del trattamento debba dare riscontro alla richiesta dell’interessato, avanzata ai sensi degli artt. da 15 a 22 del Regolamento, senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste, fermo restando che l’interessato deve essere informato di tale proroga e dei motivi del ritardo entro un mese dal ricevimento della richiesta.

Se non ottempera alla richiesta dell'interessato, il titolare del trattamento deve, in ogni caso, informare l'interessato senza ritardo e, al più tardi, entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’Autorità di controllo e di proporre ricorso giurisdizionale (cons. 59 e art. 12, par. 4, del Regolamento).

Nel caso di istanza avanzata ai sensi dell’art. 15 del Regolamento, l’interessato ha diritto di chiedere al titolare del trattamento e di ottenere nei termini sopra indicati, qualora ne ricorrano i presupposti, la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano, nonché l’accesso ai dati personali e alle informazioni di cui ai parr. 1 (lettere da a) ad h)) e 2, del medesimo articolo 15.

Ove l’interessato eserciti i propri diritti nei confronti del titolare del trattamento, quest’ultimo “fornisce all'interessato le informazioni relative all'azione intrapresa riguardo [alla] richiesta […] senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. […] Se non ottempera alla richiesta dell'interessato, il titolare del trattamento informa l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale” (art. 12, parr. 3 e 4, del Regolamento).

Nel caso di specie, con istanza del XX, il reclamante ha esercitato nei confronti dell’AIFA i diritti di cui agli artt. 15 (“Diritto di accesso dell'interessato”) del Regolamento. L’AIFA non ha fornito riscontro all’istanza di accesso ai dati personali presentata dall’interessato nei termini previsti dall’art. 12 del Regolamento medesimo, né lo ha informato entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo all’Autorità di controllo e di proporre ricorso giurisdizionale (art. 12, parr. 3 e 4 del Regolamento). Nello specifico, alla istanza avanzata dall’interessato, l’AIFA ha fornito riscontro solamente in data XX, a seguito dell’invito ad aderire formulato dall’Autorità con nota del XX, prot. XX.

Alla luce delle considerazioni che precedono, deve concludersi che l’AIFA ha agito in violazione dell’art. 12, Regolamento per non aver fornito riscontro all’istanza di accesso ai dati personali dell’interessato, formulata ai sensi dell’art. 15 del Regolamento, nei termini e in relazione a quanto previsto dal citato art. 12, parr. 3 e 4 del Regolamento medesimo.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva la violazione, da parte dell’AIFA, dell’art. 12, parr. 3 e 4, del Regolamento.

Ciò premesso, si tiene in conto che la violazione ha riguardato un solo interessato, che la condotta ha natura colposa, in quanto il mancato riscontro nei termini non è dipeso da una volontà dilatoria ma a documentate circostanze legate alla riorganizzazione istituzionale ed operativa dell’Ente, che lo stesso ha adottato misure organizzative atte a garantire la tempestiva evasione delle richieste degli interessati, che non risultano precedenti violazioni commesse dall’Ente, nonché della circostanza che il titolare ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria.

Le predette circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi dell’art. 83, par. 2, e del cons. 148 del Regolamento, nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire l’AIFA per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, avendo il titolare adeguatamente riscontrato, seppure a seguito dell’invito dell’Autorità, in modo completo l’istanza dell’interessato, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dall’AIFA, con sede legale in Via del Tritone 181 - Roma (RM), Cf 97345810580, per violazione dell’art. 12, parr. 3 e 4, del Regolamento del Regolamento, nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce l’AIFA, per aver violato l’art. 12, parr. 3 e 4, del Regolamento, come sopra descritto;

c) dispone, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

d) dispone, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 giugno 202 6

IL PRESIDENTE

Stanzione

IL RELATORE

Stanzione

IL SEGRETARIO GENERALE

Montuori

Scheda

Doc-Web

10269661

Data

11/06/26

Argomenti

Diritto di accesso agli atti

Tipologie

Ammonimento