Ordinanza ingiunzione o revoca n. 475 del 12/10/2023

S.T.A. Società Trattamento Acque s.r.l. - violazione del diritto di accesso e mancata collaborazione con il Garante

Il provvedimento riguarda S.T.A. Società Trattamento Acque s.r.l., destinataria di un’ordinanza ingiunzione a seguito di reclamo presentato da un ex dipendente in relazione alla richiesta di accesso agli attestati di formazione professionale maturati durante il rapporto di lavoro. L’Autorità ha inoltre accertato la mancata risposta della società a una richiesta di informazioni formulata nell’ambito dell’istruttoria ex art. 157 Codice privacy.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato a seguito del reclamo presentato il 18 novembre 2020 e regolarizzato l’8 febbraio 2021. Il reclamante aveva chiesto, ai sensi dell’art. 15 GDPR, copia degli attestati di formazione professionale relativi ai corsi frequentati durante il rapporto di lavoro, lamentando l’assenza di risposta della società.

L’Ufficio del Garante ha avviato l’istruttoria con nota del 20 luglio 2021, poi reiterata l’1 ottobre 2021, chiedendo al titolare del trattamento di fornire chiarimenti sui fatti oggetto del reclamo. Poiché la società non aveva risposto, il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza, delegato dall’Autorità, ha notificato il 18 gennaio 2022 l’avvio del procedimento per l’adozione di provvedimenti correttivi e sanzionatori, acquisendo nel contempo il riscontro sui fatti.

Elementi forniti dalla società

La società ha riferito di avere circa 160 dipendenti e oltre venticinque milioni di fatturato. Ha ricostruito il rapporto di lavoro con il reclamante, iniziato il 24 ottobre 2016 e cessato per dimissioni volontarie il 10 ottobre 2020.

Secondo quanto dichiarato, il lavoratore aveva sottoscritto il 18 ottobre 2016 il regolamento aziendale, nel quale era previsto che la documentazione formata nel corso del rapporto, compresi gli attestati di formazione, sarebbe stata conservata per tutta la durata dell’impiego e successivamente cancellata, fatta eccezione per la documentazione richiamata dall’art. 18 del d.lgs. 81/2008. La società ha anche affermato di avere definito procedure interne per l’esercizio dei diritti degli interessati e di avere avuto difficoltà organizzative nella gestione delle comunicazioni esterne per effetto dello smart working durante l’emergenza Covid-19, impegnandosi comunque a introdurre un protocollo unico per le PEC in ingresso.

Nel corso dell’accertamento ispettivo la società ha prodotto il regolamento interno del personale e quattro registri relativi a corsi di abilitazione/formazione ai quali risultava avere partecipato anche il reclamante.

Violazioni accertate in relazione al diritto di accesso

Il Garante ha ritenuto che la società non abbia dato idoneo riscontro alle istanze di accesso ex art. 15 GDPR.

In particolare:

• la risposta via e-mail del 15 settembre 2020, con la quale si affermava che gli attestati non potevano essere rilasciati per prassi aziendale, è stata considerata inidonea perché non esplicitava le ragioni del diniego e non indicava il diritto di proporre reclamo o ricorso, come richiesto dall’art. 12, par. 4 GDPR;
• neppure l’ulteriore istanza del 23 settembre 2020 ha ricevuto un riscontro idoneo; la società ha infatti dichiarato di avere risposto telefonicamente, ma non ha fornito prova di tale comunicazione;
• anche a voler ritenere effettiva la risposta orale, questa non sarebbe stata sufficiente, poiché l’istanza era stata presentata via e-mail e l’art. 12, par. 1 GDPR consente il riscontro orale solo se richiesto dall’interessato;
• il mero rinvio al regolamento aziendale e alla previsione di cancellazione della documentazione alla cessazione del rapporto non è stato considerato sufficiente a soddisfare il diritto di accesso, che va riferito al trattamento concreto e deve essere accompagnato da informazioni aggiornate e adattate alla specifica posizione dell’interessato.

Il Garante ha richiamato gli artt. 12 e 15 GDPR, oltre alle Guidelines 01/2022 dell’EDPB sul diritto di accesso, evidenziando che il titolare deve fornire all’interessato informazioni effettive, specifiche e non meramente generiche.

Violazione dell’art. 157 Codice privacy

L’Autorità ha accertato anche la violazione dell’art. 157 Codice privacy, poiché la società non ha risposto alla richiesta di informazioni formulata dall’Ufficio nell’ambito dell’istruttoria. La mancata collaborazione con il Garante ha richiesto l’intervento della Guardia di finanza e ha aggravato l’attività procedimentale.

Valutazione dell’Autorità e illiceità del trattamento

Il Garante ha concluso che le dichiarazioni e la documentazione prodotte non erano sufficienti a superare i rilievi contestati. La condotta della società è stata qualificata come illecita per violazione degli artt. 12 e 15 GDPR e dell’art. 157 Codice privacy.

È stato espressamente escluso che la violazione potesse essere considerata minore, tenuto conto della natura e della gravità dei fatti, del grado di responsabilità e della modalità con cui l’Autorità è venuta a conoscenza della violazione, richiamando anche il considerando 148 GDPR.

Sanzione amministrativa pecuniaria e criteri di quantificazione

In applicazione dell’art. 58, par. 2, lett. i) GDPR e dell’art. 83 GDPR, nonché dell’art. 166 Codice, il Garante ha irrogato a S.T.A. Società Trattamento Acque s.r.l. una sanzione amministrativa pecuniaria pari a 75.000 euro.

Nella determinazione dell’importo sono stati considerati, ai sensi dell’art. 83, par. 2 GDPR:

• la natura, gravità e durata della violazione, con particolare rilievo al fatto che ha inciso sui diritti di un dipendente;
• il carattere colposo della condotta e il grado di responsabilità, anche in relazione all’omesso riscontro alle richieste dell’Autorità;
• l’assenza di precedenti violazioni pertinenti commesse dalla società;
• la situazione economica del contravventore, desunta dai ricavi dell’esercizio 2022;
• l’esigenza di assicurare una sanzione effettiva, proporzionata e dissuasiva, tenendo conto anche di casi analoghi.

Il Garante ha inoltre applicato l’art. 83, par. 3 GDPR, precisando che, in presenza di più violazioni relative allo stesso trattamento o a trattamenti collegati, il totale della sanzione non può superare il massimo previsto per la violazione più grave.

Ordine di pagamento, pubblicazione e impugnazione

Il provvedimento ordina alla società il pagamento della sanzione di 75.000 euro entro 30 giorni dalla notifica, con la precisazione che è salva la facoltà di definire la controversia mediante il pagamento in misura ridotta pari alla metà della sanzione, nei termini di legge.

È stata inoltre disposta la pubblicazione del provvedimento sul sito internet del Garante, ai sensi dell’art. 166, comma 7, Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019.

Avverso il provvedimento è ammessa opposizione innanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.