Ordinanza ingiunzione o revoca n. 550 del 12/09/2024

Top Quality Corporation S.r.l.s. - mancato riscontro a istanza di accesso e alle richieste del Garante

Il Garante ha definito un reclamo presentato da un ex dipendente nei confronti di Top Quality Corporation S.r.l.s., relativo al mancato riscontro a un’istanza di accesso ex art. 15 GDPR e alla mancata collaborazione con l’Autorità nel corso dell’istruttoria. Il provvedimento conclude per l’illiceità del trattamento connessa all’omessa risposta e dispone sia misure correttive sia una sanzione pecuniaria.

Fatti e origine del reclamo

L’interessato aveva presentato alla società, in data 7 aprile 2022, una richiesta di accesso ai dati personali riguardanti il rapporto di lavoro, con particolare riferimento ai cedolini paga. Non avendo ricevuto risposta entro il termine di cui all’art. 12, par. 3, GDPR, ha proposto reclamo al Garante il 2 maggio 2022, poi regolarizzato il 5 luglio 2022.

Attività istruttoria del Garante e mancato riscontro alle richieste di informazioni

L’Autorità ha avviato l’istruttoria con nota del 14 novembre 2022, invitando la società a fornire osservazioni e ad aderire alle richieste dell’interessato. Poiché non perveniva alcun riscontro, la richiesta è stata reiterata il 16 gennaio 2023 ai sensi dell’art. 157 del Codice privacy. Successivamente, a seguito del perdurante silenzio, l’Ufficio ha delegato il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza per una nuova notifica della richiesta di informazioni e dell’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, Codice. Anche tale notifica, eseguita il 31 maggio 2023, non ha ricevuto risposta.

Condotta della società e valutazione del Garante

In sede ispettiva, la società ha sostenuto di aver già fornito all’interessato documentazione tramite messaggi WhatsApp: dati societari, lettera di assunzione, contratto e busta paga. Il Garante ha però rilevato che tale documentazione era stata trasmessa prima dell’istanza del 7 aprile 2022 e riguardava soprattutto la procedura di dimissioni e il contratto di lavoro, non coincidendo con la richiesta di accesso ai cedolini paga. L’argomentazione della società, secondo cui non sarebbe stato necessario rispondere all’Autorità perché il reclamante aveva già ricevuto documentazione, è stata giudicata irrilevante e non idonea a escludere la responsabilità.

Violazioni accertate e norme richiamate

Il Garante ha accertato la violazione:

• dell’art. 12, par. 3, GDPR, per mancata risposta all’interessato entro un mese;
• dell’art. 15 GDPR, per omesso riscontro all’istanza di accesso;
• dell’art. 157 del Codice privacy, per mancata risposta alle richieste di informazioni dell’Autorità.

È stata inoltre richiamata la previsione dell’art. 166, comma 2, Codice, che collega la violazione dell’art. 157 alla sanzione di cui all’art. 83, par. 5, GDPR.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. c), GDPR, il Garante ha ordinato alla società di soddisfare le richieste dell’interessato, comunicando le informazioni già oggetto dell’istanza del 7 aprile 2022 entro 30 giorni dalla notifica del provvedimento e dandone contestuale riscontro all’Autorità.

Sanzione amministrativa e criteri di quantificazione

Ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice, il Garante ha irrogato una sanzione amministrativa pecuniaria di 5.000 euro. Nella quantificazione sono stati considerati, in linea con l’art. 83, par. 1 e 2, GDPR:

• la natura, gravità e durata della violazione, riferita all’esercizio dei diritti dell’interessato;
• il carattere colposo della condotta e il grado di responsabilità della società;
• la scarsa collaborazione con l’Autorità e l’aggravio procedimentale causato;
• l’inerzia nel porre rimedio alle violazioni;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2021.

Pubblicazione e rimedi

Il provvedimento dispone la pubblicazione sul sito internet del Garante ai sensi dell’art. 166, comma 7, Codice e dell’art. 16 del Regolamento n. 1/2019. È stata inoltre richiamata la facoltà di definizione agevolata del pagamento in misura ridotta e l’opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice e 10 d.lgs. 150/2011.