Ordinanza ingiunzione o revoca n. 406 del 01/12/2022

Amazon Italia Logistica s.r.l. - omesso riscontro a istanza di accesso ex art. 15 GDPR

Il Garante per la protezione dei dati personali ha adottato un'ordinanza ingiunzione nei confronti di Amazon Italia Logistica s.r.l. in relazione alla mancata risposta, o comunque al mancato idoneo riscontro, a una richiesta di accesso avanzata da un dipendente con riguardo a certificati professionali conseguiti durante il rapporto di lavoro. Il procedimento trae origine da un reclamo dell'interessato ed è sfociato nell'accertamento della violazione degli artt. 12 e 15 del GDPR.

Origine del procedimento e oggetto dell'istanza

L'interessato aveva chiesto copia di specifici attestati/certificati professionali riferiti a corsi svolti presso la società, tra cui:

• certificato PLE pallet elevator;
• certificato alla conduzione e programmazione del robot pallettizzatore (RME instructor);
• certificato di accesso autorizzato in area scarico merci "yard";
• certificato PES e PAV;
• certificato addetto alla manutenzione drive e conduzione robot ai piani, Stow e pick (istruttore SST).

Nel reclamo erano state anche prospettate ulteriori richieste, riguardanti la cancellazione di dati personali e l'accesso al fascicolo medico/preassuntivo, ma tali domande non risultano regolarizzate e non sono state trattate in modo sostanziale nel provvedimento.

Posizione della società nel corso dell'istruttoria

Amazon ha sostenuto di avere gestito correttamente alcune richieste documentali, in particolare quelle relative al modello UNIEMENS, mentre per i certificati professionali ha rappresentato che:

• per alcuni corsi interni non esisterebbe un certificato da consegnare, ma solo un badge interno con funzione di autorizzazione;
• il certificato PES e PAV sarebbe invece rilasciato da un ente certificatore esterno, dal quale è stata poi recuperata una copia;
• il ritardo sarebbe dipeso da circostanze organizzative interne, dall'invio delle richieste a più dipendenti del dipartimento HR, dal mancato utilizzo dell'indirizzo privacy dedicato e dalla mancata esplicita menzione dell'art. 15 GDPR.

La società ha inoltre evidenziato di avere predisposto un team dedicato alla gestione delle richieste privacy dei dipendenti e una procedura interna che instrada al team competente le istanze ricevute anche tramite canali diversi da quello dedicato.

Valutazioni del Garante sulla violazione

L'Autorità ha ritenuto che la società non abbia dato idoneo riscontro all'istanza di accesso e che il trattamento sia risultato illecito per violazione degli artt. 12 e 15 GDPR.

In particolare, il Garante ha evidenziato che:

• il titolare, ove non possa soddisfare la richiesta, deve informare l'interessato senza ritardo e comunque entro un mese dei motivi dell'inottemperanza e della possibilità di reclamare o ricorrere in giudizio, ai sensi dell'art. 12, par. 4, GDPR;
• l'interessato non è tenuto a specificare la base giuridica della richiesta;
• qualora il titolare nutra dubbi sul diritto esercitato, deve chiedere chiarimenti sull'oggetto della domanda;
• il GDPR non impone all'interessato un formato determinato né un canale esclusivo per l'invio dell'istanza di accesso;
• nel caso concreto, la richiesta era comunque pervenuta al dipartimento risorse umane e alla società, sicché non poteva giustificarsi l'assenza totale di riscontro.

Il Garante ha inoltre osservato che, anche a fronte dell'impossibilità di consegnare alcuni attestati, la società avrebbe dovuto quantomeno comunicare tale impossibilità e, per il certificato PES e PAV, dare tempestivo riscontro o almeno informare dell'assenza del documento in proprio possesso prima del successivo recupero presso l'ente certificatore.

Criteri per la sanzione

Nel determinare la sanzione, il Garante ha considerato, in applicazione dell'art. 83 GDPR:

• la natura della violazione, incidente sull'esercizio dei diritti dell'interessato;
• la gravità e la durata del ritardo;
• il grado di responsabilità del titolare;
• il fatto che la violazione abbia riguardato un solo interessato;
• la cooperazione resa dalla società nel procedimento;
• le condizioni economiche del contravventore;
• la necessità di una misura effettiva, proporzionata e dissuasiva.

Dispositivo

Il Garante ha:

• dichiarato l'illiceità del trattamento effettuato da Amazon Italia Logistica s.r.l. per violazione degli artt. 12 e 15 GDPR;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 20.000;
• disposto la pubblicazione del provvedimento sul sito web dell'Autorità.

Il pagamento deve avvenire entro 30 giorni dalla notifica, con possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini previsti dalla normativa richiamata.