Prescrizioni del Garante n. 490 del 11/09/2025

Ammonimento a Silgan Dispensing Systems Vicenza s.r.l. per accesso indebito a dati dei dipendenti

Il provvedimento riguarda un trattamento di dati personali effettuato dalla società datrice di lavoro, nell’ambito della gestione di documentazione relativa a cessioni del quinto, prestiti e pignoramenti dei dipendenti. Il procedimento è nato da un reclamo del dipendente che aveva visualizzato tali documenti in una cartella condivisa del server aziendale.

Fatti e avvio dell’istruttoria

Il reclamante ha segnalato che, il 6 marzo 2023, utilizzando le proprie credenziali da un PC aziendale ad uso promiscuo, aveva trovato accessibili pagine e documenti contenenti dati strettamente personali di più dipendenti, tra cui distinte di bonifici e trattenute, con indicazione della somma trattenuta, del creditore e della banca beneficiaria.

L’Ufficio, con richiesta di informazioni ai sensi dell’art. 157 del Codice, ha chiesto chiarimenti sulle circostanze dell’accaduto e sul numero degli interessati coinvolti. La società ha risposto che l’11 marzo 2023 era stata informata dal delegato sindacale della presenza di documenti personali in una cartella accessibile ai lavoratori di reparto e che, dopo l’immediata attivazione dell’area IT, i file erano stati rimossi dal server alle ore 05:01 del 12 marzo 2023.

Riscontri forniti dalla società

La società ha sostenuto che l’accesso era stato possibile per un mero errore umano. Ha spiegato che i documenti erano stati caricati per errore in una cartella condivisa usata per attività operative e per lo scambio di dati tra HR e Finance, nel contesto della riconciliazione di informazioni da trasmettere al fornitore di servizi payroll. Ha inoltre dichiarato che i documenti erano rimasti disponibili per un tempo limitato e che, dopo l’evento, aveva avviato attività di privacy gap analysis e formazione interna.

La società ha anche riferito di aver modificato i modelli utilizzati per la "Distinta bonifici per trattenute prestiti/pignoramenti" e per la "Distinta riepilogo trattenute prestiti/pignoramenti", eliminando ogni riferimento al nominativo dei dipendenti interessati.

Valutazione giuridica del Garante

All’esito dell’istruttoria, il Garante ha accertato che la società, in qualità di titolare del trattamento, aveva reso disponibili a terzi non autorizzati i dati personali di circa 20 dipendenti per un periodo di circa cinque giorni, dal 6 all’11 marzo 2023.

L’Autorità ha ritenuto che la condotta fosse in contrasto con:

• l’art. 5, par. 1, lett. f), GDPR, che impone il trattamento in modo da garantire adeguata sicurezza e protezione da trattamenti non autorizzati o illeciti;
• l’art. 24 GDPR, che richiede misure tecniche e organizzative adeguate e la capacità di dimostrarne l’efficacia;
• l’art. 25 GDPR, relativo alla protezione dei dati fin dalla progettazione e per impostazione predefinita, con particolare rilievo al principio di minimizzazione.

Il Garante ha osservato che la successiva modifica dei modelli, dalla quale era stata eliminata l’indicazione del nome e cognome dei dipendenti, dimostrava che tali informazioni non erano necessarie rispetto alle finalità perseguite.

Esito del procedimento e misure adottate

Pur accertando l’illiceità del trattamento, l’Autorità ha preso atto del carattere colposo della violazione, dell’assenza di precedenti pertinenti e delle misure correttive adottate dalla società per evitare il ripetersi di situazioni analoghe. Ha quindi qualificato l’episodio come "violazione minore" ai sensi dell’art. 83, par. 2, GDPR e del considerando 148.

Ritenendo sufficiente una misura non pecuniaria, il Garante ha ammonito la società ai sensi dell’art. 58, par. 2, lett. b), GDPR, dichiarando l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. f), e 25 GDPR.

Disposizioni finali

Il provvedimento dispone:

• la pubblicazione sul sito internet del Garante, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019;
• l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

È inoltre indicata la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.