Ordinanza ingiunzione o revoca n. 380 del 20/06/2024

TS Food Processing s.r.l. - mancato riscontro a istanza di accesso ai dati personali del lavoratore

Il provvedimento riguarda la mancata tempestiva risposta di TS Food Processing s.r.l. a un’istanza di accesso ai dati personali presentata da un interessato nell’ambito del rapporto di lavoro. L’istruttoria trae origine da un reclamo al Garante e si conclude con la dichiarazione di illiceità del trattamento, l’irrogazione di una sanzione pecuniaria e la pubblicazione del provvedimento.

Fatto e origine del reclamo

Il reclamante aveva chiesto, ai sensi dell’art. 15 GDPR, di poter accedere a tutti i file e ai dati personali conservati nel personal computer di cui aveva la disponibilità e a ulteriore documentazione personale in possesso della Società, relativa al rapporto di lavoro. La Società aveva inizialmente negato l’accesso sostenendo che il lavoratore avrebbe potuto carpire dati sensibili o segreti aziendali. Successivamente ha contestato la genericità della richiesta, chiedendo una più precisa indicazione di cartelle e file, e ha prospettato un accesso in presenza di tecnici informatici.

Istruttoria del Garante

A seguito del reclamo, l’Autorità ha avviato l’istruttoria e poi il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione degli artt. 12, par. 3, e 15 GDPR. La Società ha presentato scritti difensivi sostenendo che non vi fosse un diniego, ma una richiesta di maggiore specificazione funzionale anche alla tutela del patrimonio informativo aziendale, e ha attribuito il mancato accesso alla scarsa collaborazione del reclamante.

Valutazioni in diritto sul diritto di accesso

Il Garante ha rilevato che il riscontro all’istanza è stato fornito solo dopo la presentazione del reclamo e l’apertura dell’istruttoria, dunque con un ritardo di quasi due anni rispetto al termine previsto dal GDPR. È stato chiarito che il diritto di accesso può subire limitazioni solo nei casi previsti dal Regolamento, in particolare quando il trattamento leda diritti e libertà altrui, oppure quando la richiesta sia manifestamente infondata o eccessiva ai sensi dell’art. 12, par. 5 GDPR.

L’Autorità ha inoltre richiamato il considerando 63 GDPR, sottolineando che la tutela del segreto industriale e aziendale non legittima un diniego globale: il titolare deve effettuare un bilanciamento tra i diritti in gioco e adottare misure proporzionate, ad esempio oscurando le informazioni eccedenti o non pertinenti rispetto all’interessato. In questo caso, la richiesta riguardava dati personali afferenti al rapporto di lavoro e anche contenuti di natura privata, e non è stata ritenuta riconducibile alla restrizione di cui all’art. 15, par. 4 GDPR.

Illiceità del trattamento e sanzione

All’esito dell’istruttoria, il Garante ha dichiarato l’illiceità del trattamento in relazione alla violazione degli artt. 12, par. 3, e 15 GDPR. In sede sanzionatoria, ha escluso che la violazione potesse essere qualificata come minore, valorizzando natura, gravità e durata dell’inadempimento, oltre alla condotta della Società, che si è adeguata solo dopo diversi solleciti e dopo l’intervento dell’Autorità.

Ai fini della quantificazione della sanzione sono stati considerati i criteri dell’art. 83, par. 2 GDPR, con particolare riguardo a:

• natura, gravità e durata della violazione;
• carattere colposo della condotta e grado di responsabilità del titolare;
• condizioni economiche della Società, valutate sulla base del bilancio 2022;
• necessità di garantire un importo effettivo, proporzionato e dissuasivo;
• sanzioni irrogate in casi analoghi.

È stata quindi applicata una sanzione amministrativa pecuniaria pari a euro 10.000,00.

Dispositivo e conseguenze

Il Garante ha ordinato alla Società di pagare la sanzione entro 30 giorni dalla notifica del provvedimento, con la facoltà di definire la controversia mediante il pagamento in misura ridotta della metà della sanzione, nei termini previsti dalla normativa richiamata. È stata inoltre disposta la pubblicazione del provvedimento sul sito istituzionale dell’Autorità, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019.

Mezzi di impugnazione

Avverso il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.