Ordinanza ingiunzione o revoca n. 589 del 26/09/2024

CI & DI Food s.r.l. - omesso riscontro a istanza di accesso del lavoratore e sanzione

Il provvedimento riguarda CI & DI Food s.r.l., destinataria di un reclamo presentato da una lavoratrice per il mancato riscontro a una richiesta di accesso ai dati personali trattati nell’ambito del rapporto di lavoro. La vicenda prende avvio da una istanza inviata via PEC il 9 agosto 2022, relativa all’estratto del Libro Unico del Lavoro e ai dati delle timbrature registrate tramite badge elettronico.

Fatti e svolgimento del procedimento

La reclamante ha lamentato che la società non avesse fornito alcuna risposta alla richiesta di accesso. Nel corso dell’istruttoria, e dopo l’invito ad aderire dell’Autorità, la società ha inviato i documenti richiesti con nota del 28 settembre 2023, sostenendo che il precedente mancato riscontro fosse dovuto a una mera svista e alla gestione della casella PEC riservata al solo legale rappresentante, non presente in ufficio nel periodo feriale.

Successivamente, la società ha depositato memorie difensive e ha chiesto audizione. Ha rappresentato di aver avviato interventi organizzativi, tra cui:

• revisione del regolamento aziendale in materia privacy;
• attribuzione di specifici incarichi e istruzioni scritte a personale amministrativo per la gestione delle richieste degli interessati;
• aggiornamento delle informative, con indicazione di un indirizzo e-mail dedicato per l’esercizio dei diritti;
• formazione del personale sui principi del GDPR e del Codice privacy;
• introduzione di un sistema di alert/notifica per le PEC.

Violazioni esaminate e valutazioni del Garante

L’Autorità ha ritenuto accertata la violazione degli artt. 12 e 15 GDPR. In particolare, ha rilevato che il titolare:

• non ha fornito riscontro alla richiesta di accesso entro il termine di un mese previsto dall’art. 12 GDPR;
• non ha comunicato nei termini un eventuale diniego, né i motivi dell’inottemperanza;
• ha trasmesso i dati solo dopo l’intervento dell’Autorità, con un ritardo superiore a tredici mesi.

Il Garante ha osservato che l’argomento difensivo basato sulla gestione interna delle PEC e sulla presenza del solo legale rappresentante non esonera il titolare dall’obbligo di predisporre misure organizzative idonee a gestire le istanze ex artt. 12 e 15 GDPR. È stato inoltre ritenuto irrilevante il richiamo ad altri possibili strumenti giuridici per ottenere la documentazione, poiché il diritto di accesso garantisce direttamente la copia dei dati personali trattati.

Contestazione archiviata

È stata invece disposta l’archiviazione della contestazione relativa all’art. 5, par. 1, lett. a) GDPR, in quanto le difese e gli elementi forniti dalla società nel corso del procedimento e dell’audizione hanno escluso, per tale profilo, ulteriori rilievi.

Sanzione amministrativa pecuniaria

Il Garante ha qualificato la violazione come non minore, valorizzando:

• la natura della violazione, incidente sull’esercizio di un diritto fondamentale dell’interessato;
• la durata particolarmente estesa dell’inadempimento;
• il grado di responsabilità della società, giudicato colposo/negligente;
• il fatto che la violazione abbia riguardato un solo interessato;
• la cooperazione successivamente prestata dal titolare e le misure correttive adottate.

In applicazione dell’art. 83 GDPR, anche alla luce dei criteri di effettività, proporzionalità e dissuasività, è stata irrogata una sanzione amministrativa pecuniaria di 4.000 euro.

Provvedimenti finali e rimedi

Il Garante ha dichiarato l’illiceità del trattamento limitatamente alla violazione degli artt. 12 e 15 GDPR, ha ordinato alla società il pagamento della sanzione e ha disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno.

È stata inoltre richiamata la facoltà di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, nonché la possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini previsti dalla legge.