Ordinanza ingiunzione o revoca n. 230 del 01/06/2023

Cooperjob S.p.A. - mancato riscontro a un'istanza di cancellazione dati e sanzione

Il provvedimento trae origine da un reclamo presentato da un interessato contro Cooperjob S.p.A. per il mancato riscontro, nei termini di legge, a una richiesta di cancellazione dei dati personali conferiti in occasione di candidature lavorative. Il Garante ha accertato la violazione degli obblighi di riscontro previsti dal GDPR e ha irrogato una sanzione amministrativa pecuniaria, ordinando anche la pubblicazione del provvedimento.

Fatti e avvio del procedimento

L’interessato aveva presentato il 12 settembre 2021 un reclamo, regolarizzato il 5 ottobre 2021, lamentando che la società non avesse risposto alla richiesta inviata l’11 agosto 2021 per ottenere la cancellazione dei propri dati. La richiesta era stata trasmessa a un indirizzo email dedicato, ma senza riscontro entro il termine di un mese previsto dall’art. 12, par. 3, GDPR. L’Ufficio del Garante ha quindi chiesto chiarimenti alla società e, successivamente, ha avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice.

Riscontro della società nel corso dell'istruttoria

Con nota del 4 novembre 2021, la società ha comunicato di aver individuato i dati dell’interessato sia nella piattaforma di raccolta candidature del sito web sia nel gestionale aziendale e di aver provveduto alla loro cancellazione. Ha inoltre riferito di aver attivato una casella di posta privacy dedicata, in quanto il precedente indirizzo unico per le varie richieste degli utenti risultava di difficile gestione. Nei propri scritti difensivi ha richiamato la natura colposa della violazione, le difficoltà operative legate all’emergenza Covid-19 e l’adozione di misure organizzative e formative per evitare il ripetersi di casi analoghi.

Violazioni accertate dal Garante

All’esito dell’istruttoria, il Garante ha ritenuto che la società non avesse fornito alcun riscontro tempestivo all’istanza dell’interessato, in violazione dell’art. 12, par. 3, GDPR, che impone al titolare di rispondere senza ingiustificato ritardo e comunque entro un mese. È stato richiamato anche l’art. 12, par. 4, GDPR, secondo cui, in caso di mancato accoglimento dell’istanza, il titolare deve informare l’interessato dei motivi dell’inottemperanza e della possibilità di proporre reclamo o ricorso giurisdizionale. La condotta è stata quindi ritenuta incompatibile anche con il diritto alla cancellazione di cui all’art. 17 GDPR.

Valutazioni sul trattamento e sulla responsabilità

Il Garante ha evidenziato che le difese della società non erano idonee a superare i rilievi contestati e non consentivano l’archiviazione del caso. È stata quindi dichiarata la fondatezza del reclamo ai sensi dell’art. 77 GDPR e, nell’esercizio dei poteri correttivi di cui all’art. 58, par. 2, GDPR, è stata disposta l’irrogazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR.

Sanzione, criteri di quantificazione e pubblicazione

La sanzione è stata determinata in euro 20.000, tenendo conto dei criteri dell’art. 83, par. 2, GDPR: la natura della violazione, che riguarda i diritti dell’interessato; l’assenza di precedenti violazioni pertinenti; e il fatto che la società abbia riscontrato la richiesta solo durante il procedimento. Sono state considerate anche le condizioni economiche del contravventore sulla base del bilancio 2021. In considerazione della tipologia di violazione, il Garante ha inoltre disposto la pubblicazione del provvedimento sul sito istituzionale.

Dispositivo e mezzi di tutela

Il Garante ha dichiarato l’illiceità del trattamento per violazione degli artt. 12, par. 3, e 17 GDPR e ha ordinato a Cooperjob S.p.A. il pagamento della sanzione di 20.000 euro entro 30 giorni dalla notifica, con possibilità di definizione agevolata in misura ridotta ai sensi dell’art. 166, comma 8, del Codice. È stato infine indicato il rimedio giurisdizionale esperibile davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011.