Ordinanza ingiunzione o revoca n. 530 del 16/11/2023

Amazon Italia Transport s.r.l. - mancato riscontro a un'istanza di accesso di un ex dipendente e sanzione del Garante

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un ex dipendente di Amazon Italia Transport s.r.l. relativo alla mancata risposta, nei termini di legge, a un'istanza di accesso ai dati personali ex art. 15 GDPR. L'Autorità ha ritenuto illecito il trattamento per violazione degli artt. 12 e 15 GDPR e ha applicato una sanzione amministrativa pecuniaria, disponendo anche la pubblicazione del provvedimento.

Fatti e origine del procedimento

Il reclamante, assistito dal proprio legale, aveva presentato alla Società una richiesta di accesso ai sensi dell'art. 15 GDPR in data 28 settembre 2021, chiedendo copia dei dati personali oggetto di trattamento e le informazioni previste dalla norma. La richiesta era stata regolarmente recapitata via PEC, ma la Società non aveva fornito alcun riscontro nel termine previsto dall'art. 12, par. 3, GDPR. Il reclamo al Garante è stato presentato il 1° dicembre 2021.

L'Autorità, con nota del 26 gennaio 2022, invitava la Società a fornire osservazioni e ad aderire alle richieste dell'interessato. La risposta della Società perveniva solo il 4 febbraio 2022, dopo l'avvio dell'istruttoria.

Riscontro tardivo fornito dalla Società

Nel riscontro successivo, Amazon Italia Transport s.r.l. rappresentava che la richiesta era molto ampia e generica, coinvolgendo di fatto tutti i trattamenti dei dati del dipendente o ex dipendente, e che ciò aveva reso necessario un coordinamento tra i dipartimenti interni. La Società spiegava inoltre di aver dovuto valutare le possibili ripercussioni sul proprio diritto di difesa in relazione al licenziamento e alla sua impugnazione.

Solo a seguito di tale riscontro venivano forniti i dati personali del reclamante estratti dal fascicolo personale e le informazioni richieste sul trattamento nel contesto del rapporto di lavoro.

Violazioni accertate

Il Garante ha ritenuto che la Società non avesse rispettato gli obblighi previsti dal GDPR in materia di riscontro alle istanze degli interessati. In particolare:

• il riscontro all'istanza ex art. 15 GDPR è intervenuto solo il 4 febbraio 2022, cioè quasi sei mesi oltre il termine previsto;
• la Società non ha informato l'interessato della proroga del termine né dei motivi del ritardo, come richiesto dall'art. 12, par. 3, GDPR;
• a fronte della supposta ampiezza della richiesta, non è stata utilizzata la possibilità di chiedere specificazioni all'interessato, richiamata dal considerando 63 GDPR e dalle linee guida EDPB del 28 marzo 2023 sul diritto di accesso.

L'Autorità ha quindi qualificato come illecito il trattamento riferito al mancato riscontro alla richiesta di accesso, in violazione degli artt. 12 e 15 GDPR.

Valutazioni istruttorie e rilievi difensivi

Nel procedimento, la Società aveva sostenuto la propria buona fede e la natura non dolosa della violazione, richiamando la complessità organizzativa derivante dal numero crescente di richieste di accesso, soprattutto da parte di dipendenti ed ex dipendenti. Aveva inoltre riferito di aver avviato un processo di riorganizzazione interna, con una funzione centrale per la gestione delle istanze ex art. 15 GDPR in ambito HR, in un'ottica di privacy by design e by default.

Il Garante ha preso atto di tali indicazioni, ma le ha considerate non idonee a superare i rilievi contestati e non sufficienti a giustificare l'omesso tempestivo riscontro né la mancata comunicazione della proroga. L'istruttoria non ha consentito l'archiviazione del procedimento.

Sanzione, criteri di quantificazione e pubblicazione

L'Autorità ha applicato la sanzione amministrativa pecuniaria di euro 40.000, ritenendo che la violazione non potesse essere qualificata come minore. Nella quantificazione ha richiamato i criteri dell'art. 83, par. 2, GDPR, considerando in particolare:

• la natura, gravità e durata della violazione, con incidenza sul diritto di accesso dell'interessato;
• il fatto che la violazione abbia riguardato un solo interessato;
• la condotta collaborativa della Società nel corso del procedimento e gli adeguamenti organizzativi avviati;
• le condizioni economiche del contravventore e il confronto con casi analoghi.

Ai sensi dell'art. 166, comma 7, del Codice privacy e del Regolamento del Garante n. 1/2019, è stata inoltre disposta la pubblicazione del provvedimento sul sito istituzionale dell'Autorità.

Opposizione

Avverso il provvedimento è stata indicata la possibilità di proporre opposizione all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero sessanta giorni se il ricorrente risiede all'estero.