TL;DR per il DPO
Quando il titolare sparisce — fallimento, liquidazione, cessazione — il responsabile che resta l'unico a poter accedere ai dati non diventa esente: diventa titolare per quel trattamento. E una fattura non pagata non sospende il diritto di accesso.
Cosa è successo
Il 24 marzo 2020 una catena di negozi norvegese fallisce. Gli ex dipendenti chiedono al curatore la copertura degli stipendi per i giorni lavorati, e per farlo servono i cartellini: ore, turni, presenze. Quei dati stanno però nel sistema di un fornitore esterno, che li trattava per conto dell'azienda. Il curatore non ha accesso al sistema. Il 18 giugno un ex dipendente presenta una richiesta di accesso ai propri dati; in tutto ne arrivano ottanta. Il 23 giugno il fornitore risponde per iscritto che non ha alcun potere autonomo di disposizione e che non gli è permesso comunicare dati a nessuno, «nemmeno agli interessati stessi».
Un trattamento senza titolare non esiste
L'art. 28, par. 10 dice che il responsabile il quale determina finalità e mezzi diventa titolare per quel trattamento. Dopo il fallimento il fornitore era l'unico ad avere accesso ai sistemi, decideva se e a chi comunicare i dati, stabiliva per quanto tempo conservarli e gestiva da solo le richieste degli interessati. Sono decisioni sui mezzi essenziali del trattamento, e quelle spettano al titolare. Il regolamento non prevede la figura del responsabile senza titolare: di ogni trattamento qualcuno deve rispondere.
La fattura non sospende i diritti
Il fornitore aveva chiesto al curatore di saldare le proprie pretese prima di consegnare i cartellini, e si era detto disponibile a fornire i «dati grezzi» soltanto a fronte di un nuovo incarico a pagamento. L'Autorità ha tenuto separate le due cose: se al fornitore spetti un compenso è una questione contrattuale che il GDPR non regola, mentre l'accesso va evaso entro un mese (art. 12, par. 3) e gratuitamente come regola generale (art. 12, par. 5). Il conto aperto con un cliente fallito non è una base giuridica per dire di no a chi chiede i propri dati.
- Cosa succede ai dati se il titolare fallisce o cessa. La clausola standard «restituire o cancellare al termine del contratto» non basta quando quei dati servono ai lavoratori per far valere un credito: va scritto chi risponde alle richieste di accesso nel frattempo.
- Se il tuo cliente è un fornitore, verifica che sappia riconoscere il momento in cui non ha più nessuno che gli dia istruzioni. Da lì in poi o individua il successore — di norma il curatore — o prende atto di essere lui il titolare.
- Nessuna richiesta di accesso può essere subordinata a un pagamento. È il punto su cui il fornitore ha perso, ed è anche il più semplice da mettere per iscritto in una procedura interna.
Il dettaglio che passa inosservato
Il fornitore ha cancellato i dati contestati il 14 agosto 2020, mentre le richieste erano ancora aperte. Cancellare non sana un accesso negato: lo rende definitivamente ineseguibile. Nella matrice dei termini di conservazione è esattamente il caso in cui va sospesa la cancellazione automatica, perché c'è un procedimento in corso.
La sanzione, e perché è più bassa di quanto sarebbe stata
Duecentocinquantamila corone norvegesi, circa venticinquemila euro. Nella lettera di contestazione dell'aprile 2025 l'Autorità ne aveva annunciate settecentocinquantamila, poi le ha ridotte per la durata del procedimento: il reclamo era arrivato il 30 giugno 2020 e la prima richiesta di chiarimenti alla società è partita il 15 ottobre 2024. Il caso è stato trattato come transfrontaliero, con Svezia, Danimarca e Spagna fra le autorità interessate.
Fonte ufficiale:Datatilsynet (Norvegia) — vedtak om ileggelse av overtredelsesgebyr, rif. 20/02911-20, 16 gennaio 2026Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
