Ordinanza ingiunzione o revoca n. 66 del 09/03/2023

Deca s.r.l.: omesso riscontro alle richieste di accesso ai dati presenze dei dipendenti

Il provvedimento riguarda Deca s.r.l. e trae origine da un reclamo presentato da alcuni lavoratori per il mancato riscontro alle richieste di accesso ai dati personali relativi alle presenze registrate tramite badge, nonché per contestazioni sulla videosorveglianza installata nei locali dell’esercizio commerciale. L’Autorità ha svolto un’istruttoria approfondita, anche tramite richieste di informazioni, solleciti e accertamenti delegati alla Guardia di finanza.

Origine del reclamo e svolgimento dell’istruttoria

I reclamanti avevano chiesto di accedere ai dati relativi all’inizio e alla fine dell’attività lavorativa rilevati con il badge. La società ha sostenuto di aver incontrato difficoltà organizzative durante l’emergenza Covid-19, anche per il ricorso allo smart working dei consulenti e la cassa integrazione del personale amministrativo, chiedendo proroghe per il riscontro. In seguito ha affermato di aver soddisfatto le istanze, ma senza produrre evidenze sufficienti sulle concrete modalità di evasione. A fronte di ulteriori richieste del Garante, la società ha risposto in modo incompleto o con reiterazione di note già inviate, fino agli accertamenti ispettivi del 5 aprile 2022.

Trattamento dei dati presenze e ruolo del consulente del lavoro

Dagli atti è emerso che la società disponeva dei dati di timbratura raccolti tramite badge, poi trasmessi mensilmente al consulente del lavoro per l’elaborazione delle buste paga. Il consulente era stato formalmente designato responsabile del trattamento e il relativo atto prevedeva l’obbligo di assistenza al titolare per soddisfare le richieste di esercizio dei diritti degli interessati. Il Garante ha rilevato che almeno una richiesta scritta del 18 ottobre 2019 aveva ad oggetto esplicitamente il counter delle presenze per il periodo ottobre 2014-ottobre 2019, smentendo la tesi della società secondo cui sarebbero stati richiesti solo dati molto risalenti e non più disponibili.

Violazione degli artt. 12 e 15 GDPR

L’Autorità ha ritenuto che Deca s.r.l. non abbia fornito un riscontro conforme alle istanze di accesso. In particolare:

• l’istanza di accesso non richiede una forma particolare, quindi non rileva che le richieste fossero state formulate informalmente;
• se il titolare non può soddisfare la richiesta, deve comunque rispondere motivando il diniego o l’impossibilità e informando l’interessato dei rimedi disponibili, ai sensi dell’art. 12, par. 4, GDPR;
• il riscontro dichiaratamente avvenuto mediante consegna "brevi manu" non era documentato e comunque non coerente con gli obblighi dell’art. 12 GDPR;
• la società non ha rispettato il dovere di accountability, non avendo conservato traccia adeguata delle attività svolte per evadere le richieste;
• la procedura interna richiamata dalla società per la gestione dei diritti degli interessati presupponeva la tracciabilità dei passaggi eseguiti.

Il Garante ha quindi concluso che la società ha omesso di fornire riscontro alle istanze di accesso ai dati relativi alle presenze rilevate con badge, almeno fino alla dismissione del sistema, avvenuta durante il lockdown del marzo-maggio 2020.

Esclusione delle doglianze sulla videosorveglianza

Per quanto concerne l’impianto di videosorveglianza, l’istruttoria non ha consentito di accertare violazioni. Il provvedimento precisa quindi che il reclamo è stato accolto solo in relazione al mancato riscontro alle richieste di accesso ai dati presenze, mentre non è stata dimostrata l’illiceità del trattamento connesso alla videosorveglianza.

Valutazioni del Garante e sanzione

Il Garante ha qualificato la violazione come non minore, tenuto conto della natura, gravità e durata dell’inadempimento, oltre che del grado di responsabilità e delle modalità di conoscenza della violazione. Ha applicato l’art. 83, par. 5, lett. b), GDPR, richiamando il criterio di cumulo di cui al par. 3 per più violazioni connesse.

Nella quantificazione della sanzione sono stati considerati:

• la natura della violazione, relativa all’esercizio dei diritti dell’interessato;
• la responsabilità della società, che non ha rispettato la disciplina privacy nel rapporto di lavoro e le proprie procedure interne;
• la cooperazione con l’Autorità, ritenuta insufficiente, tanto da richiedere più solleciti e l’intervento della Guardia di finanza;
• il carattere colposo della condotta;
• l’assenza di precedenti violazioni, il numero ridotto di interessati, le difficoltà legate all’emergenza sanitaria e il fatturato della società.

La sanzione irrogata è pari a 1.600 euro.

Dispositivo e ulteriori conseguenze

Il Garante ha:

• rilevato l’illiceità del trattamento ai sensi dell’art. 143 del Codice privacy per la violazione degli artt. 12 e 15 GDPR;
• ordinato a Deca s.r.l. il pagamento della sanzione amministrativa pecuniaria di 1.600 euro;
• ingiunto il pagamento entro 30 giorni dalla notifica, con possibilità di definizione agevolata nei limiti previsti dalla legge n. 689/1981 e dal d.lgs. n. 150/2011;
• disposto la pubblicazione del provvedimento sul sito del Garante.

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.