Prescrizioni del Garante n. 617 del 17/10/2024

Tempor S.p.a. – mancato riscontro a istanza di accesso ex art. 15 GDPR

Il provvedimento riguarda il trattamento effettuato da Tempor S.p.a. in relazione a un'istanza di accesso ai dati personali presentata da un lavoratore/interessato. Il procedimento trae origine da un reclamo al Garante per l'assenza di riscontro entro i termini previsti dal GDPR.

Origine del reclamo e contenuto della richiesta

L'interessato ha presentato, in data 9 ottobre 2023, una richiesta di esercizio dei diritti ex art. 15 GDPR, regolarmente notificata alla Società via PEC. Con tale istanza chiedeva:

• l'accesso ai dati personali che lo riguardavano;
• copia dei dati;
• tutte le informazioni previste dall'art. 15, par. 1, lettere da a) a h), del GDPR;
• chiarimenti su un attacco informatico subito dalla Società e su eventuali violazioni che avessero coinvolto i suoi dati personali.

Poiché non riceveva riscontro, il reclamante ha presentato reclamo al Garante ai sensi dell'art. 77 GDPR.

Attività istruttoria e riscontri della società

L'Ufficio ha chiesto alla Società di fornire osservazioni e di aderire all'istanza dell'interessato. Tempor S.p.a. ha trasmesso alcuni documenti informativi e organizzativi, tra cui:

• informativa firmata unitamente al contratto;
• modello organizzativo;
• registro dei trattamenti;
• valutazione d'impatto.

Successivamente, dopo ulteriori comunicazioni del reclamante, la Società ha risposto sostenendo di aver effettuato le comunicazioni e segnalazioni necessarie alle Autorità competenti a seguito dell'attacco informatico, precisando però che non vi era stata alcuna violazione dei dati personali dell'interessato.

Contestazioni della società

Negli scritti difensivi la Società ha sostenuto che:

• l'interessato avrebbe dovuto usare canali e modalità indicate nell'informativa privacy;
• la richiesta era stata inserita in un sollecito relativo a un rimborso spese e sarebbe quindi stata non conforme e strumentale;
• il reclamo al Garante era stato proposto prima del decorso del termine di un mese di cui all'art. 12, par. 3, GDPR;
• l'interessato aveva già ricevuto in occasione dell'instaurazione del rapporto di lavoro un'informativa completa sul trattamento dei dati;
• la richiesta sarebbe stata comunque infondata o pretestuosa.

Valutazioni del Garante sul diritto di accesso

Il Garante ha ritenuto non fondate le difese della Società. In particolare ha affermato che:

• il titolare non può imporre un formato specifico per l'esercizio del diritto di accesso né requisiti particolari quanto al canale utilizzato;
• l'eventuale finalità diversa perseguita dall'interessato non consente di negare o limitare l'accesso;
• il titolare non deve valutare il motivo della richiesta, ma solo il suo contenuto e l'eventuale possesso dei dati;
• il diritto di accesso non è soddisfatto dalla sola consegna dell'informativa ex artt. 13 e 14 GDPR, poiché le informazioni da rendere ai sensi dell'art. 15 devono essere adattate alla specifica posizione dell'interessato.

Il provvedimento richiama, a sostegno, le Guidelines 01/2022 dell'EDPB sul diritto di accesso, la sentenza della Corte di giustizia UE del 26 ottobre 2023, causa C-307/22, e la sentenza del Tribunale di Milano 5 dicembre 2022, n. 30826.

Illiceità del trattamento accertata

All'esito dell'istruttoria, il Garante ha rilevato che Tempor S.p.a., in qualità di titolare del trattamento, non aveva fornito riscontro all'istanza di accesso nei termini di legge e aveva consentito l'accesso solo dopo il reclamo e l'apertura dell'istruttoria, con un ritardo superiore a quaranta giorni rispetto al termine previsto dal GDPR.

L'Autorità ha quindi dichiarato l'illiceità del trattamento per violazione:

• dell'art. 12, par. 3, GDPR;
• dell'art. 15 GDPR;
• dei principi di trasparenza e correttezza di cui all'art. 5, par. 1, lett. a), GDPR.

Provvedimenti finali

Il Garante ha rilevato l'illiceità del trattamento effettuato da Tempor S.p.a. ai sensi dell'art. 143 del Codice privacy e ha disposto:

• la pubblicazione del provvedimento sul sito internet dell'Autorità, ai sensi dell'art. 154-bis, comma 3, del Codice e dell'art. 37 del Regolamento del Garante n. 1/2019;
• l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità, ai sensi dell'art. 17 del Regolamento del Garante n. 1/2019.

Non risulta applicata una sanzione pecuniaria. Il provvedimento indica inoltre le modalità di opposizione davanti all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR e degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011.