Ordinanza ingiunzione o revoca n. 403 del 14/09/2023

Shardana Working Soc. Coop. a r.l. - riscontro inidoneo a istanze di accesso su dati di geolocalizzazione nel rapporto di lavoro

Il provvedimento riguarda Shardana Working Soc. Coop. a r.l. ed è stato adottato a seguito di un reclamo presentato da alcuni lavoratori ai sensi dell’art. 77 GDPR. L’oggetto principale del procedimento è il mancato o incompleto riscontro a istanze di accesso ex art. 15 GDPR relative ai dati trattati nell’ambito dell’attività lavorativa, in particolare ai dati connessi all’uso di smartphone con funzionalità GPS impiegati per la rilevazione delle letture dei contatori e per l’elaborazione di rimborsi chilometrici e retribuzioni.

Origine del reclamo e svolgimento dell’istruttoria

I reclamanti avevano presentato istanze di accesso nel novembre 2019 e nel gennaio 2020, ritenendo che la società non avesse fornito un riscontro pieno e completo. Nel corso del procedimento la società ha sostenuto di avere già trasmesso informative, consensi, policy interne, indicazioni sui dati utilizzati e sui tempi di conservazione, oltre a chiarire le caratteristiche tecniche del sistema di geolocalizzazione. Ha affermato che i terminali GPS si attivavano solo al momento della lettura del contatore e non erano destinati al controllo dei tragitti o dei chilometraggi.

I reclamanti, al contrario, hanno sostenuto che l’attività lavorativa era gestita tramite una piattaforma che consentiva la geolocalizzazione della prestazione, incidendo sulla quantificazione oraria del lavoro e sul rimborso chilometrico. Nel corso dell’istruttoria il Garante ha acquisito ulteriori chiarimenti, fino all’audizione del 15 marzo 2023, nella quale la società ha ribadito che lo smartphone registrava la posizione del contatore solo al momento della lettura e non tracciava gli spostamenti tra un intervento e l’altro.

Inquadramento normativo richiamato dal Garante

L’Autorità ha richiamato gli artt. 12 e 15 GDPR, sottolineando che:

• il titolare deve fornire le informazioni e le comunicazioni in forma concisa, trasparente, intelligibile e facilmente accessibile;
• il titolare deve agevolare l’esercizio dei diritti dell’interessato;
• il riscontro deve essere dato senza ingiustificato ritardo e, comunque, entro un mese, salvo proroga nei casi consentiti;
• in caso di mancato riscontro, il titolare deve indicare i motivi dell’inottemperanza e informare della possibilità di reclamo e ricorso.

Sono state inoltre richiamate le Guidelines 01/2022 dell’EDPB sul diritto di accesso, secondo cui l’accesso riguarda i dati personali effettivamente trattati e non una mera descrizione generale o il semplice rinvio all’informativa.

Valutazione della condotta della società

Il Garante ha ritenuto che il riscontro fornito dalla società non fosse idoneo, perché si era limitato a fornire informazioni generali sul trattamento e alcuni documenti, senza comunicare in modo completo i dati effettivamente trattati nei confronti dei reclamanti. In particolare, l’Autorità ha ritenuto che la società avrebbe dovuto mettere a disposizione, nei limiti dei dati conservati, i dati relativi alle specifiche rilevazioni e alle coordinate geografiche generate dal GPS dello smartphone utilizzato dai lavoratori.

L’Autorità ha precisato che, nel caso concreto, la geolocalizzazione dello smartphone in uso ai lavoratori comportava indirettamente la geolocalizzazione degli stessi, almeno nel momento della lettura dei contatori, e quindi costituiva trattamento di dati personali ai sensi degli artt. 4, nn. 1 e 2, GDPR. Il diritto di accesso non poteva quindi considerarsi soddisfatto mediante il solo invio dell’informativa privacy o di documentazione standardizzata non calata sul trattamento concretamente effettuato.

Violazioni accertate

Il Garante ha concluso che la società ha violato gli artt. 12 e 15 GDPR perché:

• non ha fornito un riscontro completo e idoneo alle istanze di accesso;
• non ha comunicato i dati personali effettivamente trattati relativi alla geolocalizzazione;
• non ha fornito tutte le informazioni espressamente richieste dai reclamanti;
• in caso di eventuale impossibilità di soddisfare integralmente le richieste, non ha indicato in modo specifico i motivi dell’inottemperanza né le vie di tutela.

L’Autorità ha qualificato la violazione come non minore, tenuto conto della natura del diritto inciso, della durata della violazione e del fatto che il riscontro non è stato adeguato neppure nel corso del procedimento davanti al Garante.

Provvedimenti correttivi e sanzione

In applicazione dell’art. 58, par. 2, GDPR, il Garante ha:

• ingiunto alla società di soddisfare le richieste di accesso formulate il 22 novembre 2019 e il 23 gennaio 2020, fornendo i dati relativi agli interessati e le informazioni richieste, al netto di quanto già limitatamente comunicato;
• applicato una sanzione amministrativa pecuniaria di 20.000 euro ai sensi dell’art. 83, par. 5, lett. b), GDPR.

Nella quantificazione della sanzione sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• la natura, gravità e durata della violazione;
• il numero degli interessati coinvolti, pari a tre;
• la persistente mancanza di un riscontro idoneo;
• l’assenza di precedenti pertinenti;
• le condizioni economiche della società, valutate sulla base del bilancio abbreviato 2021;
• l’esigenza di assicurare effettività, proporzionalità e dissuasività.

Ulteriori disposizioni

Il Garante ha disposto la pubblicazione del provvedimento sul sito istituzionale, richiamando l’art. 166, comma 7, del Codice e il Regolamento del Garante n. 1/2019. Ha inoltre richiesto alla società di comunicare, entro 90 giorni dalla notifica, le iniziative intraprese per dare attuazione al provvedimento, avvertendo che il mancato riscontro può comportare l’applicazione della sanzione prevista dall’art. 83, par. 5, lett. e), GDPR.

Avverso il provvedimento è stata indicata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.