Ordinanza ingiunzione o revoca n. 235 del 26/03/2026

Esselunga S.p.A. - omesso riscontro a un'istanza di accesso del dipendente

Il Garante ha esaminato il reclamo di un dipendente nei confronti di Esselunga S.p.A. per mancato riscontro scritto a una richiesta di accesso ai dati personali ex art. 15 GDPR, presentata via PEC l'8 settembre 2024 e riferita alle registrazioni delle presenze lavorative. Il procedimento si è concluso con l'accertamento della violazione degli artt. 12 e 15 GDPR, l'irrogazione di una sanzione pecuniaria e la disposizione della pubblicazione del provvedimento.

Fatti e svolgimento del procedimento

Il reclamante aveva chiesto la conferma dell'esistenza delle registrazioni di entrata e uscita e la copia dello storico dei dati dal 9 dicembre 1997 al 15 maggio 2024. Nel reclamo ha rappresentato di non aver ricevuto alcuna risposta scritta, salvo un contatto telefonico dell'ufficio amministrativo/personale avvenuto il 9 settembre 2024, ritenuto non sufficiente a soddisfare il diritto esercitato.

L'Ufficio del Garante ha inviato un invito ad aderire il 18 novembre 2024. La società ha quindi trasmesso il proprio riscontro il 10 dicembre 2024, riferendo di aver gestito la richiesta tramite la Direzione Risorse Umane e di aver richiesto chiarimenti per la mole dei dati oggetto di accesso. Nelle difese successive la società ha ammesso di non avere fornito evidenza scritta tempestiva, attribuendo l'omissione a un errore umano e a una gestione interna non corretta della PEC ricevuta.

Trattamento esaminato e posizione della società

Il trattamento oggetto del procedimento riguarda la gestione di una richiesta di esercizio del diritto di accesso da parte di un dipendente, con particolare riferimento ai dati relativi alle presenze in entrata e uscita. La società ha sostenuto che la richiesta fosse stata inizialmente classificata come connessa alla gestione del rapporto di lavoro e che, a causa della procedura interna, fosse stata incanalata verso la Direzione Risorse Umane anziché verso la casella privacy.

Nelle memorie difensive ha anche evidenziato di avere adottato procedure e linee guida interne in materia di data protection, di avere erogato formazione al personale e di essersi attivata per evitare il ripetersi di simili inconvenienti. Ha inoltre rappresentato che la richiesta riguardava dati comuni, un solo interessato e che non vi sarebbe stato un pregiudizio concreto per il reclamante.

Quadro normativo richiamato

L'Autorità ha richiamato:

• l'art. 12 GDPR, in particolare i parr. 1, 2, 3 e 4, sul dovere di fornire informazioni in forma concisa, trasparente e facilmente accessibile, di agevolare l'esercizio dei diritti, di rispondere senza ingiustificato ritardo e comunque entro un mese, nonché di comunicare i motivi dell'eventuale diniego;
• l'art. 15 GDPR, sul diritto di accesso e sul diritto a ottenere copia dei dati personali oggetto di trattamento;
• l'art. 5, par. 2, GDPR, sul principio di responsabilizzazione;
• l'art. 58, par. 2, lett. i), GDPR, sul potere di irrogare sanzioni amministrative pecuniarie;
• l'art. 83 GDPR, in particolare i parr. 1, 2, 3 e 5, per la qualificazione e quantificazione della sanzione;
• l'art. 166 del Codice privacy e l'art. 18 della l. 689/1981 per l'ordinanza ingiunzione;
• le Linee guida EDPB 1/2022 sul diritto di accesso e le Linee guida EDPB 4/2022 sul calcolo delle sanzioni.

Valutazioni del Garante

Il Garante ha ritenuto che la società non avesse fornito un idoneo riscontro alla richiesta del 8 settembre 2024, essendosi limitata a un contatto telefonico non dimostrato nei suoi contenuti e comunque non sufficiente in presenza di una richiesta scritta. È stato evidenziato che il riscontro completo è arrivato solo dopo il reclamo e l'intervento dell'Autorità, dunque oltre il termine di legge.

L'Autorità ha sottolineato che, se la richiesta è presentata per iscritto e l'interessato non chiede un riscontro orale, il titolare deve rispondere per iscritto. Ha inoltre osservato che il titolare non può subordinare l'istruttoria sull'accesso alla valutazione delle ragioni della richiesta, dovendo limitarsi a verificare l'oggetto della domanda e l'effettiva detenzione dei dati personali. Secondo il Garante, la richiesta era chiara, era stata inviata a un indirizzo PEC della società e quindi doveva essere gestita come valida richiesta di esercizio dei diritti.

Esito e sanzione

L'Autorità ha dichiarato l'illiceità del trattamento nei termini descritti in motivazione e ha ritenuto che la violazione non fosse minore, anche per la natura delle plurime violazioni inerenti all'esercizio del diritto di accesso. Ha quindi applicato una sanzione amministrativa pecuniaria di euro 5.000, ritenuta proporzionata e dissuasiva alla luce dei criteri dell'art. 83, par. 2, GDPR.

Nella quantificazione sono stati considerati il livello di gravità medio, la durata della violazione, il numero limitato di interessati coinvolti, l'assenza di precedenti pertinenti, la cooperazione con l'Autorità, le misure adottate per mitigare i rischi e le condizioni economiche della società, valutate sul bilancio 2024.

Disposizioni finali

Il Garante ha ordinato a Esselunga S.p.A. di pagare la sanzione entro 30 giorni dalla notifica del provvedimento, con possibilità di pagamento in misura ridotta pari alla metà nei casi e termini previsti dalla legge. Ha inoltre disposto la pubblicazione dell'ordinanza ingiunzione sul sito Internet dell'Autorità, la pubblicazione del provvedimento e l'annotazione nel registro interno delle violazioni e delle misure adottate.