Ordinanza ingiunzione o revoca n. 571 del 11/09/2025

Giada FM S.r.l. - mancato riscontro a un'istanza di accesso di una ex dipendente

Il provvedimento riguarda Giada FM S.r.l., titolare del trattamento nell’ambito di un rapporto di lavoro cessato per dimissioni, e trae origine da un reclamo presentato da una ex dipendente per il mancato corretto riscontro a richieste di accesso ai propri dati personali. L’oggetto concreto era la consegna di attestati di formazione e di un certificato di idoneità rilasciato dal medico competente.

Fatti e origine del procedimento

L’interessata aveva chiesto via e-mail l’8 giugno 2024 gli attestati presenti in azienda e copia del certificato medico; con successiva e-mail dell’11 giugno 2024 aveva ribadito la richiesta sugli attestati. La Società aveva risposto solo sulla restituzione di beni aziendali e, per gli attestati, aveva negato la consegna affermando che si trattava di documentazione relativa ad attività svolta a cura e spese dell’azienda. Con il reclamo del 24 giugno 2024, poi regolarizzato il 20 luglio 2024, l’interessata ha quindi chiesto l’intervento del Garante.

Attività istruttoria e posizione della Società

Nel corso dell’istruttoria, il Garante ha invitato la Società ad aderire alle richieste dell’interessata. Giada FM S.r.l. ha rappresentato di essere subentrata nel rapporto di lavoro a seguito di trasferimento di ramo d’azienda e ha sostenuto che la lavoratrice, dopo le dimissioni, avrebbe chiesto in modo informale i documenti senza formulare espressamente un’istanza ex art. 15 GDPR. La Società ha inoltre affermato di non disporre inizialmente degli attestati, di averli richiesti al precedente datore di lavoro e di aver poi riscontrato formalmente l’istanza dell’interessata del 26 agosto 2024 con una nota del 26 settembre 2024. Dopo l’intervento dell’Autorità, il 17 gennaio 2025 ha infine trasmesso alla reclamante la documentazione disponibile.

Quadro normativo richiamato

L’Autorità ha richiamato:

• l’art. 15 GDPR, che riconosce all’interessato il diritto di ottenere accesso ai dati personali e una copia dei dati oggetto di trattamento;
• l’art. 12 GDPR, che impone al titolare di fornire riscontro senza ingiustificato ritardo e comunque entro un mese, e, in caso di diniego, di indicarne i motivi e le possibilità di reclamo e ricorso;
• l’art. 5, par. 1, lett. a), GDPR, sul principio di correttezza;
• le Guidelines 01/2022 dell’EDPB sul diritto di accesso, richiamate per escludere che il titolare possa imporre un formato specifico all’istanza;
• l’art. 2112 c.c., evidenziando la continuità del rapporto di lavoro e dei diritti del lavoratore in caso di trasferimento di ramo d’azienda.

Valutazione dell’illiceità del trattamento

Il Garante ha ritenuto che gli attestati di formazione del lavoratore contengano dati personali e che l’interessata avesse pieno diritto di accesso. Ha quindi considerato non idoneo il riscontro della Società, che aveva indirizzato la reclamante ai precedenti datori di lavoro, ritenuti invece non rilevanti ai fini dell’istanza una volta che il trattamento era in capo a Giada FM S.r.l. Dopo il trasferimento di ramo d’azienda, infatti, il cessionario è il titolare tenuto a riscontrare le richieste inerenti ai dati trattati nel rapporto di lavoro.

L’Autorità ha inoltre osservato che il titolare, anche quando ritenga di non poter accogliere la richiesta, deve comunque comunicare all’interessato i motivi del diniego e i rimedi esperibili. La condotta è stata quindi qualificata come violazione degli artt. 5, par. 1, lett. a), 12 e 15 GDPR. Il Garante ha altresì chiarito che il diritto di accesso può riguardare anche dati già noti o già consegnati all’interessato, e che la circostanza che la documentazione fosse stata in parte reperita o richiesta altrove non escludeva l’obbligo di riscontro da parte del titolare.

Elementi considerati ai fini sanzionatori

Nel determinare la sanzione, il Garante ha valutato:

• la natura della violazione, riferita a disposizioni di particolare rilievo e sanzionate dall’art. 83, par. 5 GDPR;
• la durata della violazione, protrattasi per circa sette mesi;
• il contesto del rapporto di lavoro, con la fisiologica asimmetria tra datore e lavoratore;
• il numero degli interessati coinvolti, pari a uno;
• il profilo soggettivo della condotta e il livello di responsabilità della Società;
• la cooperazione successiva, con l’invio della documentazione nel corso del procedimento;
• le condizioni economiche del contravventore, desunte dal bilancio disponibile.

Decisione finale, sanzione e prescrizioni

Alla luce delle circostanze del caso, il Garante ha disposto nei confronti di Giada FM S.r.l. una sanzione amministrativa pecuniaria di 1.000 euro. Ha ordinato il pagamento entro 30 giorni dalla notifica del provvedimento, con facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini previsti dalla legge. È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante, la pubblicazione del provvedimento e l’annotazione delle violazioni nel registro interno dell’Autorità.