Prescrizioni del Garante n. 584 del 06/08/2026

Ammonimento a Oropan S.p.A. per risposte tardive alle richieste di accesso

Il provvedimento del 6 agosto 2026 riguarda le richieste di esercizio dei diritti presentate a Oropan S.p.A. da un ex dipendente in relazione a dati connessi al rapporto di lavoro. A seguito del reclamo, il Garante ha accertato la tardività dei riscontri e ha dichiarato illecito il trattamento, disponendo un ammonimento senza sanzione pecuniaria.

Fatti e procedimento

Con istanza del 2 maggio 2023, notificata alla società tramite PEC, l’interessato aveva chiesto il dettaglio, la copia e un promemoria dei bonifici effettuati per suo conto a Compass dal 2016 al 2020 e a Tiberius dal 2021 al 2023. Non aveva ricevuto risposta nel termine previsto dal GDPR e il 5 luglio 2023 aveva presentato reclamo al Garante, regolarizzato il 16 settembre 2023. L’Autorità aveva avviato l’istruttoria il 31 ottobre 2023.

L’8 novembre 2023 l’interessato aveva presentato una seconda istanza, chiedendo copia delle timbrature effettuate mediante il badge personale durante il rapporto di lavoro; la società aveva risposto il 23 novembre che avrebbe evaso la richiesta appena possibile, considerata la mole dei dati. Con un ulteriore reclamo dell’11 febbraio 2024, l’interessato aveva segnalato anche tale vicenda. Dopo una richiesta di informazioni del Garante ai sensi dell’art. 157 del Codice, inviata il 14 febbraio 2024, la società comunicava il 26 febbraio di avere trasmesso la documentazione il 24 febbraio. L’interessato lamentava tuttavia che mancassero alcuni dettagli, tra cui l’addebito in busta paga di 3 euro per spese del bonifico relativo alla rata del prestito, a partire da marzo 2016. La società dichiarava poi di aver inviato ulteriore documentazione il 4 giugno 2024; il 22 ottobre 2024 l’interessato contestava ancora l’inadeguatezza dei riscontri.

Il 5 novembre 2024 il Garante notificava l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione degli artt. 12, par. 3, e 15 GDPR. Nelle memorie del 4 dicembre 2024, la società sosteneva che la prima richiesta fosse generica, riguardasse dati già nella disponibilità dell’interessato e fosse stata formulata nell’ambito del diritto alla portabilità; aggiungeva che i dati sui flussi bancari non soddisfacevano i requisiti dell’art. 20 GDPR. Rilevava inoltre che le istanze non erano state inviate alla casella del responsabile della protezione dei dati. Quanto alle timbrature, sosteneva di aver risposto nei termini.

Obbligo di riscontro e validità delle richieste

Il Garante ha accertato che le richieste del 2 maggio e dell’8 novembre 2023 non avevano ricevuto risposta entro un mese e che il riscontro a entrambe era stato fornito soltanto dopo l’intervento dell’Autorità. Ha quindi ritenuto violato l’art. 12, par. 3, GDPR, secondo cui il titolare deve comunicare senza ingiustificato ritardo e, comunque, entro un mese le informazioni sull’azione intrapresa in risposta alle richieste dell’interessato.

Il fatto che le istanze fossero state inviate a un indirizzo diverso da quello preferenziale indicato nell’informativa non le rendeva invalide: la società ne aveva preso visione e aveva avviato contatti per rispondere. Il Garante ha richiamato le Linee guida EDPB n. 1/2022 sui diritti degli interessati – diritto di accesso, adottate il 28 marzo 2023, in particolare il paragrafo 53 e seguenti: una richiesta presentata tramite un canale di comunicazione fornito dal titolare, anche se diverso da quello indicato come preferibile, deve in generale essere considerata valida e gestita. Tale conclusione è coerente con l’obbligo del titolare di agevolare l’esercizio dei diritti previsto dall’art. 12, par. 2, GDPR.

Il Garante ha respinto anche l’argomento secondo cui i dati non sarebbero stati accessibili perché già in possesso dell’interessato. In base al considerando 63 GDPR e alle citate Linee guida, il diritto di accesso consente all’interessato di controllare i dati che lo riguardano, essere consapevole del trattamento e verificarne la liceità, indipendentemente dal fatto che già disponga di alcune informazioni.

Diritto di accesso, portabilità e dati non disponibili

L’interessato aveva utilizzato il modello del Garante, compilando sia la sezione relativa all’accesso sia quella relativa alla portabilità e chiedendo per quest’ultima un formato strutturato, di uso comune e leggibile da dispositivo automatico. Dalla lettura complessiva dell’istanza, il Garante ha ricavato che l’interesse principale era ottenere copia dei dati indicati, pur essendo stata selezionata anche la sezione sulla portabilità. Anche nella seconda istanza, relativa alle timbrature, il reclamante aveva richiesto i dati nell’ambito della portabilità senza che la società sollevasse obiezioni.

Il Garante ha precisato che un eventuale rifiuto di dare seguito a una richiesta deve essere comunicato all’interessato con l’indicazione dei motivi, come stabilito dall’art. 12, par. 4, GDPR. Nel caso concreto tale comunicazione non era stata fornita nei termini dovuti. Ha tuttavia preso atto che la società aveva dichiarato di non avere direttamente a disposizione il dettaglio di alcuni bonifici e di essersi rivolta agli istituti finanziari per reperirlo. Di conseguenza, le informazioni specifiche sui pagamenti addebitati in busta paga come recupero delle spese di bonifico non risultavano consegnate perché non disponibili presso la società; ciò non elimina la violazione relativa al ritardo nella gestione delle istanze.

Violazioni accertate e decisione

Il Garante ha confermato la violazione degli artt. 12, par. 3, e 15 GDPR: i riscontri alle richieste di accesso sono stati tardivi e sono arrivati solo dopo l’avvio dell’attività istruttoria dell’Autorità. Ha pertanto dichiarato illecito il trattamento effettuato da Oropan S.p.A. nei termini indicati in motivazione.

Ammonimento e altre disposizioni

Considerati il carattere colposo della violazione, l’assenza di precedenti violazioni pertinenti e il comportamento complessivo della società, incluso il fatto che nel corso del procedimento fosse stato fornito riscontro alle richieste, il Garante ha qualificato il caso come violazione minore ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR. In applicazione dell’art. 58, par. 2, lett. b), GDPR, ha quindi ammonito la società, ritenendo sufficiente tale misura senza irrogare una sanzione pecuniaria.

Il provvedimento dispone la pubblicazione sul sito del Garante ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento n. 1/2019, nonché l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità ai sensi dell’art. 17 del medesimo Regolamento. È possibile proporre opposizione all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, o entro 60 giorni per chi risiede all’estero.