Ordinanza ingiunzione o revoca n. 289 del 21/05/2025

Bertazzoni S.p.A. - omesso riscontro a un'istanza di accesso del lavoratore

Il provvedimento riguarda Bertazzoni S.p.A. ed è stato adottato a seguito del reclamo di un lavoratore che lamentava il mancato riscontro a una richiesta di accesso ai propri dati personali trattati nell'ambito del rapporto di lavoro. L'Autorità ha accertato una violazione protrattasi per diversi mesi e ha irrogato una sanzione amministrativa pecuniaria, disponendo anche misure di pubblicazione del provvedimento.

Origine del procedimento e contenuto dell'istanza

Il reclamante aveva inviato il 31 marzo 2024 una PEC alla società chiedendo accesso al "fascicolo personale integrale" e a informazioni sui rischi specifici e sui possibili danni cui era stato esposto nello svolgimento dell'attività lavorativa in un arco temporale determinato, connesso anche a una contestazione disciplinare. Nel reclamo del 24 giugno 2024 ha lamentato che la società non avesse fornito alcuna risposta alla richiesta di accesso.

Svolgimento dell'istruttoria

L'Autorità ha avviato l'istruttoria preliminare invitando la società ad aderire alle richieste dell'interessato. Bertazzoni S.p.A. ha sostenuto di avere già risposto il 5 aprile 2024 con una richiesta di chiarimenti sulle postazioni e linee produttive, e di non aver potuto completare il riscontro perché la PEC del 7 aprile 2024, con cui il lavoratore forniva i chiarimenti richiesti, non sarebbe stata trasmessa internamente per un disguido. Solo in una fase successiva, dopo i contatti con il Garante, la società ha dichiarato di voler mettere a disposizione i documenti richiesti e ha poi inviato il riscontro il 14 gennaio 2025.

Quadro normativo richiamato

Il Garante ha richiamato:

• l'art. 15 GDPR, che riconosce all'interessato il diritto di accesso ai dati personali e alle informazioni sul trattamento;
• l'art. 12 GDPR, che impone al titolare di fornire riscontro senza ingiustificato ritardo e comunque entro un mese, e di informare l'interessato in caso di mancato accoglimento;
• l'art. 5, par. 1, lett. a) GDPR, relativo al principio di correttezza. È stato inoltre richiamato l'orientamento dell'EDPB sulle modalità di esercizio del diritto di accesso, in particolare sul fatto che il titolare non può imporre formalità o canali obbligati non necessari e non può pretendere che l'interessato giustifichi la propria richiesta.

Valutazione del Garante

L'Autorità ha ritenuto che la società non avesse validamente riscontrato l'istanza nei tempi di legge. In particolare:

• la risposta del 5 aprile 2024 era solo interlocutoria e limitata a una richiesta di chiarimenti;
• la PEC del 7 aprile 2024 del lavoratore era stata effettivamente inviata al medesimo indirizzo utilizzato in precedenza;
• non era ragionevole pretendere che il dipendente reiterasse solleciti, poiché l'onere di rispondere entro un mese grava sul titolare;
• la società avrebbe potuto riscontrare almeno la richiesta relativa al fascicolo personale, per la quale non servivano chiarimenti ulteriori;
• per le informazioni sui rischi specifici, la società avrebbe potuto individuare internamente le postazioni e le linee assegnate, anche consultando il registro dei turni. Il Garante ha quindi concluso che, dal 31 marzo 2024 al 14 gennaio 2025, la società ha omesso il riscontro dovuto, violando gli artt. 5, 12 e 15 GDPR.

Sanzione e criteri di quantificazione

Nel determinare la sanzione, l'Autorità ha applicato i criteri dell'art. 83, par. 2, GDPR, considerando:

• la natura della violazione, relativa a principi generali e diritti dell'interessato;
• la durata, pari a circa dieci mesi;
• il contesto lavorativo e la condizione di squilibrio tra titolare e interessato;
• il fatto che la violazione abbia riguardato un solo interessato;
• la cooperazione successiva della società, che ha comunque trasmesso i dati nel corso del procedimento;
• le condizioni economiche del contravventore, desunte dal bilancio 2023. La sanzione amministrativa pecuniaria è stata fissata in euro 20.000.

Dispositivo e ulteriori misure

Il Garante ha rilevato l'illiceità del trattamento effettuato da Bertazzoni S.p.A. e ha ordinato il pagamento della sanzione entro 30 giorni dalla notifica, con facoltà di definizione agevolata nei limiti di legge. Ha inoltre disposto:

• la pubblicazione dell'ordinanza ingiunzione sul sito istituzionale;
• la pubblicazione del provvedimento sul sito del Garante;
• l'annotazione delle violazioni nel registro interno dell'Autorità. È stata infine indicata la possibilità di proporre opposizione all'autorità giudiziaria ordinaria nei termini previsti dal Codice e dalla legge n. 689/1981.