Prescrizioni del Garante n. 323 del 04/06/2025

Sarim s.r.l. – mancato riscontro a istanza di accesso alle buste paga

Il provvedimento riguarda Sarim s.r.l., in qualità di titolare del trattamento, e trae origine dal reclamo di un ex dipendente che lamentava la mancata o incompleta risposta a una richiesta di accesso ai sensi dell'art. 15 GDPR, avente ad oggetto la copia delle buste paga del rapporto di lavoro.

Fatti e origine del reclamo

Il reclamante aveva presentato un'istanza per ottenere i cedolini relativi al periodo da gennaio 2019 a gennaio 2021, senza ricevere riscontro entro il termine previsto dall'art. 12, par. 3, GDPR. Successivamente ha rappresentato al Garante che la società aveva inviato solo parte della documentazione richiesta, ritenendo il riscontro inidoneo.

Attività istruttoria e difese del titolare

A seguito di richiesta di informazioni ex art. 157 del Codice privacy, la società ha sostenuto di aver inviato tutta la documentazione mediante tre distinte comunicazioni nel mese di aprile 2023, affermando che i cedolini erano comunque consultabili tramite un portale denominato webdesk. Nelle memorie difensive ha precisato che i dipendenti avevano accesso alla piattaforma con credenziali personali, che ricevevano notifiche via e-mail sul caricamento delle buste paga e che il reclamante avrebbe potuto scaricarle autonomamente anche dopo la cessazione del rapporto.

Valutazioni del Garante sulla sussistenza della violazione

L'Autorità ha ritenuto accertato che la documentazione richiesta è stata consegnata soltanto dopo l'avvio dell'istruttoria, quindi con un ritardo di circa 14 mesi rispetto alla domanda originaria. Ha escluso che la mera disponibilità di un sistema self-service possa sostituire il riscontro dovuto al diritto di accesso, soprattutto in assenza di prova che l'interessato fosse stato informato in modo chiaro della possibilità di ottenere i dati tramite quel canale.

Il Garante ha richiamato la finalità del diritto di accesso, che serve a consentire all'interessato di avere consapevolezza del trattamento e verificarne la liceità, nonché l'art. 12, par. 1, GDPR sul requisito di una comunicazione concisa, trasparente, intelligibile e facilmente accessibile. Ha inoltre richiamato le Linee guida EDPB sul diritto di accesso e l'art. 12, par. 3, che impone di rispondere senza ingiustificato ritardo e comunque entro un mese, con eventuale proroga motivata di due mesi nei casi complessi.

Esito del procedimento e provvedimenti adottati

L'Autorità ha concluso per l'illiceità del trattamento, limitatamente al mancato riscontro all'istanza di accesso, per violazione degli artt. 12, par. 3, e 15 GDPR. Ha preso atto che la società ha aderito all'istanza nel corso del procedimento e ha disposto la pubblicazione del provvedimento sul sito del Garante e l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità.

Profili sanzionatori

Nel testo fornito non risulta indicata una sanzione pecuniaria irrogata; il provvedimento si concentra sulla declaratoria di illiceità e sulle misure correttive/organizzative conseguenti, oltre alla pubblicazione del provvedimento.