[doc. web n. 10223781]

Provvedimento del 29 gennaio 2026

Registro dei provvedimenti
n. 40 del 29 gennaio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente e il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. del 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il reclamo presentato al Garante ai sensi dell’articolo 77 del Regolamento in data 10 ottobre 2024, con il quale il Sig. XX ha lamentato di non aver ricevuto riscontro, da parte di L’Alba società cooperativa sociale, all’istanza di esercizio dei diritti formulata ai sensi dell’art. 15 del Regolamento;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE e il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo e l’attività istruttoria.

Con reclamo presentato a questa Autorità in data 10 ottobre 2024, il Sig. XX ha segnalato di non aver ricevuto riscontro, da parte di L’Alba società cooperativa sociale, all’istanza di esercizio dei diritti formulata dallo stesso il 3 aprile 2024 ai sensi dell’art. 15 del Regolamento, al fine di conoscere “se [fosse] in atto o [fosse] stato effettuato un trattamento di dati in esito ad una raccomandata A/R inviata in relazione alla posizione di socio”.

Tutto ciò, nell’ambito della controversia insorta tra le parti in ordine alla qualifica rivestita dal reclamante all’interno della predetta Società, con particolare riguardo alla sussistenza o meno del diritto di quest’ultimo alla consultazione dei libri sociali (v. istanza di reclamo del 10 ottobre 2024).
Al riguardo, la scrivente Autorità ha avviato un’istruttoria, invitando, con nota del 25 febbraio 2025, la predetta Società ad aderire all’istanza di esercizio dei diritti avanzata dal reclamante.

A seguito della sopra indicata comunicazione, L’Alba società cooperativa sociale ha fornito riscontro all’interessato il 24 marzo 2025, dichiarando di non trattare i dati personali del reclamante, né di averli trattati alla data della ricezione dell’istanza di esercizio del diritto di accesso; ciò in quanto il Sig. XX non risultava più socio della predetta Società a partire dal 24 agosto 2023 (v. riscontro della Società del 24 marzo 2025, pag. 2).

In ordine alle tempistiche connesse al riscontro così fornito, la sopra citata comunicazione del 24 marzo u.s., non conteneva elementi inerenti alle motivazioni connesse al ritardo del summenzionato riscontro all’interessato rispetto alle tempistiche prefissate dall’art. 12, par. 3 del Regolamento.
Alla luce degli elementi così acquisiti, l’Ufficio ha pertanto ritenuto di avviare, ai sensi dell’art. 166, comma 5 del Codice, il procedimento per l’adozione dei provvedimenti correttivi e sanzionatori in ordine alla violazione del termine previsto dall’art. 12, par. 3 del Regolamento per il riscontro alle richieste di esercizio dei diritti presentate dagli interessati (artt. 12, par. 3 e 15 del Regolamento).

2. La notifica delle violazioni.

A seguito della notifica delle violazioni di cui agli artt. 15 e 12, par. 3 del Regolamento, trasmessa a L’Alba società cooperativa sociale con comunicazione del 5 giugno 2025, la Società, in data 4 luglio 2025, ha fatto pervenire i propri scritti difensivi, ulteriormente integrati in sede di audizione, tenutasi il 29 ottobre 2025.

Nell’ambito delle menzionate memorie e nel corso della sopra citata audizione, la Società ha in primis chiarito la natura delle attività svolte dalla stessa in qualità di cooperativa sociale, evidenziando l’importanza per la collettività dei servizi da questa erogati sul territorio nel settore dell’assistenza domiciliare per anziani e disabili, della gestione di comunità educative per minori con situazioni di fragilità e servizi di sollievo per le famiglie, nonché dell'inserimento lavorativo di persone svantaggiate (v. verbale dell’audizione del 29 ottobre 2025).

In secondo luogo, ha inteso esplicitare le ragioni afferenti al ritardo con cui ha fornito riscontro all’istanza di accesso presentata dal reclamante ai sensi dell’art. 15 del Regolamento. 
Sul punto, ha evidenziato la situazione di grave crisi economica e organizzativa che ha caratterizzato

L’Alba Società Cooperativa Sociale negli ultimi anni che ha comportato, tra l’altro, a causa del considerevole disavanzo riportato in bilancio, la necessità di alienare alcuni immobili, tra cui quello destinato a sede legale (v. nota del 4 luglio 2025, pag. 1).

In tale contesto, la Cooperativa ha dovuto affrontare significative difficoltà operative, tra cui il trasloco della predetta sede ad altro edificio, con conseguenziale spostamento dell’intera infrastruttura di rete, nonché dei computer utilizzati dal personale dipendente. Ciò proprio nel periodo (aprile-settembre 2024) in cui è pervenuta l’istanza di accesso del Sig. XX; istanza che il titolare, per tutte le ragioni sopra esplicitate, non è stato in grado di riscontrare in maniera tempestiva (v. nota del 4 luglio 2025, pag. 2).

Ad ulteriore giustificazione, la parte ha altresì sottolineato di aver subito, negli ultimi anni, una drastica riduzione del numero dei soci, passando in breve tempo da 350 a sole 30 unità, e di essere stata attraversata da una profonda crisi interna che ha investito il consiglio di amministrazione; il tutto con conseguenti ripercussioni sulla sostenibilità economica e operativa dell'intera organizzazione (v. nota del 4 luglio 2025, pag. 2).

Da ultimo, ha rappresentato che, nonostante le difficoltà sopra descritte, la Società ha comunque sempre prestato massima attenzione alla tematica della protezione dei dati personali, anche mediante il regolare svolgimento di sessioni formative del personale, programmando, peraltro, un nuovo ciclo di formazione sul tema per i mesi di novembre e dicembre 2025 (v. verbale di audizione del 29 ottobre 2025).

3. L’esito dell’istruttoria.

In primis, si rappresenta che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

Tanto doverosamente premesso, all’esito dell’esame della documentazione agli atti e delle dichiarazioni rese dal titolare nel corso del procedimento, sono emersi, a carico di L’Alba Società Cooperativa Sociale i profili di violazione di seguito esplicitati.

Relativamente al contenuto del riscontro fornito dal titolare all’istanza di accesso del reclamante, si rappresenta che, con riferimento a quanto dichiarato dalla Società in ordine all’assenza -ad oggi e all’atto della ricezione della richiesta dell’interessato- di trattamenti di dati personali riferiti al Sig. XX (cfr. nota del 24 marzo 2025), la scrivente Autorità prende atto delle dichiarazioni ivi rese da codesto titolare; dichiarazioni della cui veridicità quest’ultimo risponde penalmente ai sensi dell’art. 168 del Codice.

Per quanto invece concerne la questione inerente alle tempistiche connesse al riscontro fornito da L’Alba società cooperativa sociale ai sensi degli artt. 15 e 12 del Regolamento, allo stato degli atti, risulta accertato che la Società ha riscontrato le richieste dell’interessato, oltre i termini previsti dall’art. 12, par. 3 del Regolamento ed unicamente a seguito del reclamo presentato da quest’ultimo al Garante.

Al riguardo, non può essere accolto quanto sostenuto dalla Società in ordine alle difficoltà organizzative ed economiche che hanno interessato la stessa nel periodo in cui è stata posta in essere a violazione contestata; ciò tenuto conto del fatto che, come già sopra evidenziato, il riscontro in questione è comunque pervenuto oltre i termini prescritti dalla normativa.

Ad ogni buon conto, le sopra menzionate circostanze, saranno oggetto di considerazione, nell’ambito della quantificazione della sanzione amministrativa, quali fattori attenuanti ai sensi dell’art. 83 e del considerando 148 del Regolamento.

Per tutte le ragioni complessivamente espresse, la condotta tenuta da L’Alba società cooperativa sociale è stata posta in contrasto con il Regolamento e, in particolare, con l’obbligo di fornire all’interessato, “senza giustificato ritardo e comunque al più tardi entro un mese dal ricevimento [dell’istanza]”, le informazioni richieste dall’interessato ai sensi dell’art. 15 del Regolamento; tutto ciò comportando, dunque, la violazione degli art. 15 e 12, par. 3 del Regolamento.

La violazione delle disposizioni sopra richiamate comporta l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. b), del Regolamento.

Al riguardo, con riferimento agli elementi da prendere in considerazione al fine di valutare se infliggere una sanzione amministrativa pecuniaria (art. 83, par. 2 del Regolamento), in primis si rileva che, in relazione alla natura e alla gravità della violazione, le operazioni di trattamento oggetto di contestazione non hanno avuto ad oggetto categorie particolari di dati personali e sono state effettuate limitatamente ad un unico evento e nei confronti di un unico interessato.  

Per quanto concerne l’elemento soggettivo del trasgressore, occorre tener conto della circostanza che la condotta sia stata posta in essere esclusivamente in ragione della situazione di grave crisi economica e organizzativa che ha contraddistinto la Società nel periodo oggetto di contestazione. Situazione ulteriormente aggravata dalla concomitanza di un trasloco della sede legale della stessa ad altro edificio, con conseguenziale spostamento dell’intera infrastruttura di rete e dei computer in uso al personale dipendente (v. par. 2 del presente procedimento).

Ai fini delle valutazioni dell’Autorità, rilevano altresì la collaborazione di L’Alba società cooperativa sociale con l’Autorità medesima nel corso del procedimento e l’assenza di precedenti violazioni per la medesima fattispecie a carico della stessa.

Da ultimo, si tiene conto della particolare natura delle attività poste in essere dalla Società, quale cooperativa sociale impegnata sul territorio nel settore dell’assistenza di anziani, disabili e minori con situazioni di fragilità, nonché nell'inserimento lavorativo di persone svantaggiate (v. par. 2 del presente procedimento).

La natura, la gravità e la durata della violazione, il carattere colposo della stessa, nonché gli ulteriori elementi sopra richiamati inducono a qualificare la fattispecie in esame quale “violazione minore”, ai sensi dell’art. 83, par. 2 e del cons. 148, del Regolamento.

Alla luce di tali considerazioni si ritiene, pertanto, sufficiente ammonire L’Alba società cooperativa sociale, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, per la violazione delle sopra citate disposizioni in materia di protezione dei dati personali.

Preso atto della circostanza che la Società, nel corso del procedimento, ha provveduto a fornire idoneo riscontro all’istanza di accesso presentata dal reclamante, non si ritiene necessario, allo stato degli atti, adottare nel caso di specie ulteriori misure correttive ai sensi dell’art. 58, par. 2 del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

a) dichiara, ai sensi degli artt. 57, par. 1, lett. f) del Regolamento, l’illiceità del trattamento effettuato da L’Alba società cooperativa sociale, con sede in Sossano (VI), p. iva n. 01719120246, nei termini di cui in motivazione, per la violazione dell’art. 12, paragrafo 3 e dell’art. 15 del Regolamento;

b) ammonisce, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, L’Alba società cooperativa sociale per aver omesso di fornire tempestivo riscontro all’istanza di accesso presentata dal reclamante in violazione degli artt. 12, par. 3, e 15 del Regolamento;

c) prevede, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l'annotazione delle violazioni e delle misure adottate in conformità all'art. 58, par. 2 del Regolamento, nel registro interno dell'Autorità previsto dall'art. 57, par. 1, lett. u) del Regolamento.

a) dispone, ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 29 gennaio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori