Ordinanza ingiunzione o revoca n. 583 del 07/12/2023

Sirio S.p.A.: comunicazione di dati di un dipendente a una banca per carta di versamento senza informativa e senza base giuridica

Il provvedimento riguarda Sirio S.p.A., datore di lavoro di un dipendente che svolgeva funzioni di Assistant Manager presso un punto vendita. Il procedimento trae origine da un reclamo ex art. 77 GDPR relativo alla comunicazione dei dati personali dell’interessato a un istituto di credito per l’emissione di una nuova carta Deposit destinata ai versamenti di contante.

Origine del procedimento e posizioni delle parti

Il reclamante ha riferito di avere ricevuto dalla banca un modulo di emissione di una nuova carta precompilato con i propri dati anagrafici, dati che la Società aveva trasmesso all’istituto di credito. Egli contestava l’assenza di consenso e di una previa informativa.

Sirio S.p.A. ha sostenuto che il trattamento era connesso al rapporto di lavoro e alle mansioni assegnate: il dipendente, in qualità di responsabile del punto ristoro, era incaricato di versare gli incassi sul conto della Società mediante carte bancarie intestate a lui. La Società ha inoltre richiamato il blocco dei precedenti conti correnti e l’apertura di un nuovo conto presso un diverso istituto, con emissione di nuove carte.

Trattamenti esaminati

L’Autorità ha esaminato la comunicazione dei dati personali del dipendente a un istituto di credito per:

• l’emissione e intestazione di una carta Deposit;
• la gestione operativa dei versamenti di contante da parte del dipendente;
• l’eventuale collegamento tra tale comunicazione e le mansioni lavorative del reclamante.

Violazione dell’obbligo di informativa

Il Garante ha ritenuto non dimostrato che l’interessato fosse stato informato in modo adeguato del trattamento.

In particolare:

• non è stata prodotta una prova idonea della consegna di un’informativa specifica per il trattamento contestato;
• l’informativa generale ai dipendenti, predisposta successivamente all’assunzione del reclamante e distribuita nel 2021, è stata giudicata troppo generica;
• il suo contenuto non indicava con sufficiente precisione destinatari o categorie di destinatari, tipologia di dati, finalità e basi giuridiche della comunicazione;
• il modulo di consenso sottoscritto in precedenza per un’operazione diversa non poteva valere come informativa per il trattamento oggetto del reclamo.

L’Autorità ha quindi ravvisato la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, richiamando i principi di liceità, correttezza e trasparenza.

Assenza di una valida base giuridica

Il Garante ha escluso la possibilità di giustificare il trattamento sulla base dell’art. 6 GDPR.

Art. 6, par. 1, lett. b) GDPR

Per l’esecuzione del contratto, il trattamento deve essere oggettivamente necessario. Nel caso concreto non è emerso che la specifica comunicazione dei dati alla banca fosse disciplinata in modo puntuale né che fosse indispensabile per l’esecuzione del rapporto di lavoro. Il richiamo al CCNL non è stato ritenuto sufficiente a legittimare la comunicazione a terzi di quei dati.

Art. 6, par. 1, lett. f) GDPR

Quanto al legittimo interesse, il Garante ha ricordato che il titolare deve effettuare un bilanciamento tra il proprio interesse e i diritti e le libertà dell’interessato. Nel caso di specie non risultava svolto alcun test di bilanciamento. Il richiamo al considerando 47 non è stato ritenuto idoneo a superare tale carenza.

Esito dell’istruttoria e illiceità del trattamento

All’esito dell’istruttoria, il Garante ha dichiarato illecito il trattamento per violazione degli artt. 5, par. 1, lett. a), 6 e 13 GDPR.

L’Autorità ha rilevato che:

• la comunicazione dei dati a terzi era avvenuta senza un’informativa idonea;
• non era stata dimostrata una base giuridica valida;
• la documentazione contrattuale e difensiva prodotta non chiariva in modo sufficiente la legittimazione del trattamento;
• le circostanze emerse non consentivano l’archiviazione del procedimento.

Sanzione amministrativa e criteri di quantificazione

Ai sensi dell’art. 58, par. 2, lett. i), e dell’art. 83 GDPR, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 1.000,00.

Nella quantificazione sono stati considerati:

• la natura della violazione, relativa alla comunicazione a terzi di dati personali;
• l’assenza di precedenti violazioni pertinenti;
• il fatto che la violazione ha riguardato un solo interessato;
• le condizioni economiche della Società, valutate sulla base dei bilanci 2021 e 2022.

Prescrizioni e adempimenti imposti

Oltre alla sanzione pecuniaria, il Garante ha ordinato alla Società di conformare il trattamento alla disciplina privacy, in particolare:

• redigere un’informativa idonea ai sensi dell’art. 13 GDPR;
• comunicare all’Autorità, entro 60 giorni dalla notifica, le iniziative adottate per dare esecuzione al provvedimento;
• pagare la sanzione entro 30 giorni dalla notifica, con facoltà di definizione agevolata nei termini previsti dalla legge.

Pubblicazione e mezzi di impugnazione

Il provvedimento dispone la pubblicazione sul sito del Garante, in ragione della tipologia della violazione e dell’incidenza sui diritti dell’interessato. È inoltre ricordata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.