Ordinanza ingiunzione o revoca n. 246 del 24/04/2024

C.I.EL. S.p.A. - mancato riscontro al diritto di accesso agli attestati di formazione

Il provvedimento riguarda C.I.EL. S.p.A. ed è stato adottato a seguito di un reclamo presentato da un lavoratore che chiedeva copia degli attestati dei corsi di formazione svolti nel corso del rapporto di lavoro in somministrazione. L’Autorità ha esaminato la condotta della società alla luce degli artt. 12 e 15 GDPR, rilevando un riscontro non conforme alle richieste dell’interessato.

Fatti e svolgimento dell’istruttoria

Il reclamo è stato presentato il 7 luglio 2022. Il reclamante lamentava la mancata consegna di alcuni attestati di formazione, tra cui quelli relativi alla sicurezza generale, ai DPI di III categoria e ad altri corsi svolti presso soggetti terzi. Dopo un invito ad aderire del Garante, la società ha risposto sostenendo di avere trasmesso la documentazione medica, ma di non essere più in possesso degli attestati di formazione perché cancellati dall’archivio dopo la cessazione del rapporto di lavoro.

Successivamente, nell’ambito della richiesta di informazioni ex art. 157 del Codice, la società ha precisato di essersi attivata con i soggetti che avevano erogato la formazione per recuperare la documentazione e trasmetterla all’interessato. Ha inoltre riferito che uno dei corsi non risultava accompagnato da attestato e che, per un altro corso, il lavoratore era già in possesso di valido attestato.

Norme richiamate

L’Autorità ha richiamato in particolare:

• l’art. 12 GDPR, sui principi di trasparenza, agevolazione dell’esercizio dei diritti e obbligo di riscontro entro un mese;
• l’art. 15 GDPR, sul diritto di accesso e sul rilascio di copia dei dati personali;
• l’art. 58, par. 2, lett. i), GDPR, per l’adozione della sanzione;
• l’art. 83 GDPR, per i criteri di quantificazione della sanzione;
• l’art. 166 del Codice privacy, per il procedimento sanzionatorio e la pubblicazione del provvedimento.

Il Garante ha ricordato che, in caso di diniego o mancato accoglimento della richiesta, il titolare deve informare l’interessato senza ritardo dei motivi dell’inottemperanza e della possibilità di proporre reclamo o ricorso giurisdizionale.

Valutazione del Garante sulla violazione

Secondo il Garante, la società non ha fornito un idoneo riscontro all’istanza di accesso. Il riscontro iniziale del 28 giugno 2022 è stato ritenuto inadeguato perché la società si è limitata a preannunciare la cancellazione degli attestati, senza spiegare compiutamente perché non potesse rilasciarne copia al lavoratore. Inoltre non ha indicato i rimedi esperibili, come invece richiesto dall’art. 12, par. 4 GDPR.

L’Autorità ha osservato che gli attestati di formazione contengono dati personali dell’interessato e sono quindi accessibili ai sensi dell’art. 15 GDPR. È stato anche richiamato un passaggio delle EDPB Guidelines 01/2022 sul diritto di accesso, secondo cui in alcuni casi i dati personali stessi possono determinare il formato con cui devono essere forniti.

Il Garante ha poi rilevato che la società, solo dopo l’avvio dell’istruttoria, si è attivata per recuperare la documentazione presso i formatori esterni, circostanza che conferma la possibilità di reperire almeno parte degli attestati richiesti.

Sanzione e criteri di quantificazione

La violazione è stata considerata non minore. Ai fini della sanzione il Garante ha valorizzato:

• la natura della violazione, relativa all’esercizio di un diritto dell’interessato;
• la gravità, con particolare riferimento al diritto di accesso;
• la durata, poiché un riscontro idoneo è arrivato solo dopo l’apertura dell’istruttoria, poco meno di undici mesi dopo la richiesta;
• il profilo colposo della condotta, giudicata negligente;
• la cooperazione della società nel corso del procedimento;
• le condizioni economiche del contravventore e l’entità delle sanzioni in casi analoghi.

Tenuto conto di tali elementi, il Garante ha applicato una sanzione amministrativa pecuniaria di 10.000 euro.

Dispositivo finale

L’Autorità ha dichiarato l’illiceità del trattamento effettuato da C.I.EL. S.p.A. per violazione dell’art. 12 GDPR in relazione all’art. 15 GDPR. Ha quindi ordinato il pagamento della sanzione di 10.000 euro entro 30 giorni dalla notifica del provvedimento, con possibilità di definizione agevolata nei termini di legge.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante, in ragione della tipologia della violazione concernente l’esercizio dei diritti dell’interessato.