Гарант защиты персональных данных Италии: нарушение прав субъекта данных компанией Berco S.p.A.

Provvedimento del 28 maggio 2026 [10294011]

g-docweb-display Portlet

Home Provvedimenti Ammonimento Provvedimento del 28 maggio 2026 [10294011]

Provvedimento del 28 maggio 2026 [10294011]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10294011]

Provvedimento del 28 maggio 2026

Registro dei provvedimenti

n. 390 del 28 maggio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato, ai sensi dell’art. 77 del Regolamento, dal sig. XX con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di Berco S.p.A.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. L’istruttoria avviata a seguito della presentazione del reclamo.

Con reclamo presentato in data 05/04/2023, ai sensi dell’art. 77 del Regolamento, il sig. XX ha segnalato a questa Autorità una violazione della disciplina in materia di protezione dei dati personali da parte di Berco S.p.A. (di seguito “la Società”), consistente nel mancato riscontro all’istanza di esercizio dei diritti formulata ai sensi dell’art. 15 del Regolamento e nell’inosservanza delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive (provv. n. 512 del 19/12/2018).

In particolare, veniva rappresentato che, con l’istanza datata 17/02/2023 (regolarmente notificata all’indirizzo pec della società), il reclamante chiedeva di accedere alle informazioni e ai documenti acquisiti dalla società tramite l’attività investigativa svolta nei suoi confronti e sulla base della quale gli era stato notificato un provvedimento disciplinare, nonché di ottenere informazioni riguardanti “l’atto di conferimento di incarico all’investigatore privato, l’indicazione del titolare del trattamento e delle persone autorizzate ad accedere e/o a trattare le informazioni raccolte, le istruzioni impartite e le cautele adottate per evitare ogni ulteriore trattamento non giustificato”, sottolineando che analoghe richieste erano state già avanzate in data 08/11/2022 e 05/01/2023 senza ricevere riscontri.

Alla luce di quanto documentato nel reclamo, l’Ufficio invitava la Società ad aderire alle richieste avanzate dal reclamante, invitandola a fornire ogni elemento utile alla valutazione del caso (nota del 03/07/2023).

La Società, con la nota del 05/07/2023, comunicava al reclamante e, per conoscenza, all’Autorità che “la relazione investigativa del 05/10/2022 (…) sarà trasmessa tramite il sistema di TK Cryptshare a garanzia della confidenzialità e dell’integrità delle informazioni inviate”.

Con successiva comunicazione del 09/08/2023, il reclamante lamentava che il riscontro reso dalla Società fosse parziale e inidoneo, in quanto non erano stati prodotti alcuni documenti che pure erano stati oggetto di richiesta, tra cui l’atto di conferimento di incarico all’agenzia investigativa e ulteriori informazioni contenute nel fascicolo personale.

A fronte di tale richiesta, l’Ufficio inviava una richiesta di informazioni alla Società, ai sensi dell’art. 157 del Codice, al fine di conoscere se, nel fascicolo personale del dipendente, vi fossero ulteriori dati e informazioni a lui riferite che non fossero state già comunicate e, eventualmente, a fornirne copia (nota del 27/11/2023).

La Società riscontrava tale richiesta trasmettendo nuovamente copia della relazione investigativa e confermando l’assenza di ulteriori dati e informazioni riguardanti il reclamante (nota del 27/11/2023).

2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori ai sensi dell’art. 58, par. 1, lett. d), del Regolamento e dell’art. 166, comma 5, del Codice.

Alla luce delle informazioni raccolte, premesso che l’Ufficio non ha ravvisato elementi di illiceità rispetto all’attività di investigazione svolta, ha invece provveduto a notificare alla Società, ai sensi dell’art. 166, comma 5, del Codice, l’atto di avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori, per la violazione degli artt. 12, par. 3, e 15 del Regolamento con comunicazione dell’08/01/2024.

La Società, in data 06/02/2024, inviava i propri scritti difensivi ai sensi dell’art. 18 della legge n. 689/1981, con cui osservava che:

- “In occasione dell’istanza di accesso ai dati personali ex art. 15 del Regolamento inviata in data 17 febbraio 2023, dal legale dell’interessato all’indirizzo pec generale (…) e alla direzione risorse umane (…) della Società (…), i referenti aziendali della Società hanno gestito prontamente (l’ennesima) comunicazione del [reclamante] ritenendola tuttavia superata perché riguardante una questione appena chiusasi, cinque giorni lavorativi prima, in sede conciliativa”;

- infatti, nell’ambito del procedimento di conciliazione dinanzi all’ITL di Ferrara-Rovigo, seguito alla sanzione disciplinare inflitta al reclamante, questi aveva chiesto “chiarimenti in merito alle informazioni raccolte nell’ambito dell’attività investigativa” e la Società “ha manifestato disponibilità nel condividere tutta la documentazione inerente al caso di specie”;

- “Il procedimento si è concluso con il verbale del 10.02.2023 con cui la sanzione disciplinare inflitta dalla Società è stata annullata. In ragione di ciò, nel momento in cui è stata ricevuta la richiesta dell’interessato, dopo appena 5 giorni lavorativi dalla chiusura del procedimento di conciliazione, i referenti della direzione Risorse Umane della Società hanno ritenuto, in totale buona fede, che l’istanza fosse invero da ritenersi ormai superata poiché risolta in modo definitivo tra le parti le quali, con la sottoscrizione del verbale conciliativo dichiaravano tra l’altro di essere “pienamente soddisfatte in relazione all’annullamento del provvedimento disciplinare””.

Con nota del 16/04/2026, la Società comunicava all’Autorità di voler rinunciare all’audizione inizialmente richiesta con le memorie difensive.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

3.1. Il quadro normativo applicabile.

In materia di esercizio dei diritti, l’art. 15, parr. 1 e 4, del Regolamento stabilisce che “l’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali e [a talune] informazioni” indicate in tale articolo; inoltre, “il titolare del trattamento [è tenuto a fornire] una copia dei dati personali oggetto di trattamento”.

Quanto alle modalità con cui riscontrare le istanze di esercizio dei diritti, l’art. 12, par. 3, del Regolamento prevede che “il titolare del trattamento [debba fornire] all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”, e che, se non ottempera alla richiesta dell’interessato, il titolare del trattamento debba informare “l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale” (art. 12, par. 4, del Regolamento).

Se le richieste dell'interessato “sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può […] b) rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta” (art. 12, par. 5, del Regolamento). Il titolare è tenuto ad adottare “misure appropriate per fornire all’interessato tutte le […] comunicazioni di cui agli articoli da 15 a 22 […]” (art. 12, par. 1, del Regolamento).

3.2. Violazione degli artt. 12, par. 3, e 15 del Regolamento.

All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese all’Autorità nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice (“Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), risulta accertato che la Società, in qualità di titolare del trattamento, ha omesso di fornire riscontro all’istanza di esercizio dei diritti nel termine previsto dall’art. 12, par. 3, del Regolamento.

Nel merito, è emerso che il reclamante, nell’ambito di un procedimento disciplinare avviato nei suoi confronti dalla Società, veniva a conoscenza che la stessa si era avvalsa delle risultanze di un’attività investigativa, svolta da un’agenzia incaricata.

L'interessato chiedeva di conseguenza alla Società che gli venissero comunicate informazioni relative alle specifiche attività che erano state svolte nei suoi confronti e che erano confluite nel fascicolo personale, ma anche informazioni più specifiche relative all’atto di incarico conferito all’investigatore privato e alle istruzioni impartite.

Tale istanza, formulata ai sensi dell’art. 15 del Regolarmente, nonostante sia stata regolarmente notificata all’indirizzo pec del titolare, non riceveva alcun riscontro nei termini indicati dalla normativa.

In base a quanto dichiarato nel corso dell’istruttoria, l’omesso riscontro a tale istanza sarebbe dipeso dal fatto che, pochi giorni prima della ricezione dell'istanza, in sede di conciliazione giudiziale dinanzi alla sede territoriale dell’Ispettorato del lavoro competente, il provvedimento disciplinare (adottato sulla base delle investigazioni svolte) era stato annullato, con ciò ritenendo la controversia definita.

Tuttavia, deve valutarsi la circostanza che, prima ancora della definizione della controversia inerente al procedimento disciplinare, il reclamante aveva già esercitato il diritto di accesso ai dati personali contenuti nel proprio fascicolo in due occasioni (note dell’08/11/2022 e del 05/01/2023), al fine di avere conferma del trattamento effettuato dalla Società, per mezzo dell’agenzia investigativa. In nessuna delle due occasioni, tuttavia, era stato fornito un riscontro.

Solo nell’ambito del procedimento dinanzi all’Ispettorato del lavoro territorialmente competente, l’interessato ha avuto contezza dell’effettiva attività di investigazione svolta nei suoi confronti; da qui la necessità di dover ripresentare una nuova istanza, ai sensi dell’art. 15 del Regolamento.

Le argomentazioni addotte dalla Società, quindi, non possono essere accolte, in quanto pur dichiarando di essersi resa disponibile a consegnare la documentazione, prima che il reclamante formulasse l’istanza del 17/02/2023, non risulta che effettivamente ciò sia avvenuto. Inoltre, pur volendo considerare la ripetitività delle richieste, in realtà non risulta che queste siano state mai soddisfatte. Tra l’altro, l’art. 15 del Regolamento non prevede alcuna limitazione in ordine alle informazioni riferite all’interessato che possono essere oggetto di accesso, prevedendosi anche che l’interessato possa esercitare più richieste di accesso.

Pertanto, deve confermarsi che la condotta della Società è avvenuta in violazione dell’art. 12 del Regolamento, con riferimento alle modalità con cui il titolare deve fornire riscontro alle istanze di esercizio dei diritti, con particolare riferimento ai par. 3 e 4, laddove è previsto che il riscontro sia reso “senza ritardo” anche nel caso di rifiuto, indicando i motivi dell’inottemperanza.

Si prende comunque atto favorevolmente delle misure che la Società ha implementato, a partire dall’attività di formazione e sensibilizzazione avviata nei confronti dei dipendenti riguardo alla corretta e puntuale gestione delle richieste degli interessati, oltre che della predisposizione di regolamenti interni volti a disciplinare diversi aspetti del trattamento dei dati nell’ambito del rapporto di lavoro.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ai sensi dell’art. 58, par. 2, del Regolamento.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Risulta, pertanto, accertato che la condotta posta in essere dal titolare, con riferimento al mancato riscontro all’istanza di esercizio dei diritti dell’interessato, è avvenuta in violazione degli artt. 12, par. 3, e 15 del Regolamento.

Preso tuttavia atto di tutti gli elementi acquisiti nel corso dell’istruttoria, in particolare, tenuto conto del carattere colposo della violazione, dell’assenza di precedenti violazioni pertinenti e della condotta complessivamente tenuta nel corso del procedimento, viste le circostanze in concreto della fattispecie, in particolare delle misure implementate dalla Società per evitare il ripetersi di analoghe situazioni, si ritiene che il caso possa essere qualificato come “violazione minore” ai sensi dell’art. 83, par. 2 e cons. 148 del Regolamento.

Tenuto inoltre conto che, ai sensi del considerando 148 del Regolamento, “in caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria”, si ritiene sufficiente ammonire il titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), del Regolamento.

Si rappresenta, inoltre, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

- ai sensi dell’art. 57, par. 1, lett. f), e 83 del Regolamento, rileva l’illiceità del trattamento effettuato da Berco S.p.A., in persona del legale rappresentante pro tempore, con sede legale in Copparo (FE), Via 1° Maggio n. 237, P.I. 08482780155, per la violazione degli artt. 12, par. 3 e 15 del Regolamento;

- ai sensi dell’art. 58, par. 2, lett. b) del Regolamento ammonisce Berco S.p.A., quale titolare del trattamento, per aver effettuato un trattamento di dati personali in violazione della disciplina in materia di protezione dei dati personali;

DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019 la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, ricorrendone i presupposti, l’annotazione nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento delle violazioni e delle misure adottate ai sensi dell’art. 58, par. 2, del medesimo Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 28 maggio 2026

IL PRESIDENTE

Stanzione

IL RELATORE

Ghiglia

IL SEGRETARIO GENERALE

Montuori

Scheda

Doc-Web

10294011

Data

28/05/26

Argomenti

Investigatori privati

Tipologie

Ammonimento