Prescrizioni del Garante n. 756 del 18/12/2025

CIVIS S.p.A. - tardivo riscontro a un'istanza di accesso dell'ex dipendente

Il provvedimento riguarda CIVIS S.p.A. e trae origine da un reclamo ex art. 77 GDPR presentato dall'ex dipendente, che lamentava il mancato riscontro a una richiesta di accesso ai dati personali e di copia di contratti di collaborazione. L'Autorità ha accertato la violazione degli artt. 12, par. 3, e 15 GDPR, qualificando come illecito il tardivo adempimento dell'obbligo di riscontro.

Origine del reclamo e sviluppo istruttorio

Il reclamante aveva presentato in data 08/06/2023 una prima richiesta di copia dei contratti di collaborazione sottoscritti negli anni 2019 e 2020. La società aveva rigettato l'istanza affermando che non fosse formulata secondo la normativa privacy e invitando a riformularla in conformità al GDPR.

La richiesta veniva quindi riformulata il 16/06/2023, facendo espresso riferimento agli artt. 15 e 20 GDPR e chiedendo anche copia dell'informativa. Pur essendo stata notificata all'indirizzo PEC della società, non riceveva alcun riscontro entro il termine di un mese previsto dall'art. 12, par. 3, GDPR.

Solo a seguito dell'intervento del Garante, con nota del 12/04/2024, la società trasmetteva all'interessato la documentazione disponibile, comprensiva di contratti di lavoro e di collaborazione relativi ad anni diversi da quelli richiesti, oltre all'informativa resa ai dipendenti e collaboratori.

Addebito contestato e norme applicate

L'Autorità ha avviato il procedimento ai sensi dell'art. 166, comma 5, del Codice privacy, contestando la violazione degli artt. 12, par. 3, e 15 GDPR. Il fulcro della contestazione è stato il mancato riscontro tempestivo all'istanza di esercizio dei diritti dell'interessato.

Il Garante ha richiamato l'obbligo del titolare di fornire riscontro senza ritardo e, comunque, entro un mese dal ricevimento della richiesta. Ha inoltre richiamato il significato del diritto di accesso, quale strumento per consentire all'interessato di controllare i propri dati personali, essere consapevole del trattamento e verificarne la liceità.

Difese della società

Nelle memorie difensive, CIVIS S.p.A. ha sostenuto che:

• aveva riscontrato tempestivamente la richiesta del Garante del 27/03/2024, trasmettendo all'interessato i dati e la documentazione richiesti;
• la condotta avrebbe riguardato solo il reclamante, senza coinvolgere altri interessati e senza arrecare danno;
• i contratti richiesti per il 2019-2020 non sarebbero mai esistiti, poiché il rapporto si sarebbe svolto in base a un tacito rinnovo;
• il reclamante avrebbe potuto ricavare autonomamente le informazioni dai contratti precedenti;
• il ritardo sarebbe dipeso dall'invio della richiesta a un indirizzo non corretto, non destinato a ricevere istanze ex artt. 15 e ss. GDPR;
• la società avrebbe comunque predisposto misure organizzative, una procedura per la gestione dei diritti e un modulo di esercizio;
• non risultavano precedenti sanzioni, richiamando anche un precedente reclamo definito senza provvedimenti nei suoi confronti.

Valutazioni del Garante sulle difese

Il Garante ha ritenuto che il riscontro fornito solo dopo l'avvio dell'istruttoria costituisse un adempimento tardivo, e non una collaborazione idonea a escludere la violazione. Ha evidenziato che la prima risposta della società non aveva indicato con chiarezza un canale specifico da utilizzare per l'esercizio dei diritti, inducendo l'interessato a ritenere che non esistessero canali diversi da quello già impiegato.

L'Autorità ha inoltre rilevato che non risultava provato che l'interessato fosse stato adeguatamente informato delle modalità di contatto. L'informativa prodotta in istruttoria riportava, peraltro, un indirizzo e-mail diverso da quello indicato nel modulo per l'esercizio dei diritti, elemento che confermava una non univoca gestione dei canali di contatto.

Quanto all'argomento secondo cui il reclamante avrebbe potuto desumere da solo le informazioni, il Garante lo ha respinto, ribadendo che il diritto di accesso serve a garantire all'interessato un controllo effettivo sui dati e a consentirgli di verificare la liceità del trattamento, senza oneri di ricostruzione autonoma. A sostegno di tale interpretazione sono stati richiamati il considerando 63 GDPR e le Linee guida EDPB n. 1/2022 sul diritto di accesso.

Il precedente procedimento richiamato dalla società non è stato considerato attenuante, ma semmai indice del fatto che, pur avendo predisposto una policy interna, la società non riusciva ancora a garantire un riscontro agevole e tempestivo alle richieste degli interessati.

Esito del procedimento e misure correttive

Il Garante ha dichiarato l'illiceità del trattamento effettuato da CIVIS S.p.A. limitatamente al mancato riscontro tempestivo all'istanza di accesso, in violazione degli artt. 12, par. 3, e 15 GDPR.

L'Autorità ha preso atto che la società, nel corso del procedimento, ha aderito all'istanza dell'interessato e ha disposto, ai sensi dell'art. 17 del Regolamento del Garante n. 1/2019, l'annotazione delle violazioni e delle misure adottate nel registro interno previsto dall'art. 57, par. 1, lett. u), GDPR.

Impugnazione

Il provvedimento indica la possibilità di proporre opposizione all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero sessanta giorni se il ricorrente risiede all'estero.