Prescrizioni del Garante n. 93 del 27/02/2025

Ammonimento a Security Service s.r.l. per mancato riscontro a un'istanza di accesso

Il Garante per la protezione dei dati personali ha dichiarato illecito il comportamento di Security Service s.r.l., in relazione al mancato riscontro tempestivo a una richiesta di accesso ai dati personali presentata da un ex lavoratore. Il provvedimento origina da un reclamo ex art. 77 GDPR e si conclude con un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR, ritenendo la fattispecie una violazione minore.

Fatti e origine del reclamo

L'interessato aveva presentato, via e-mail, un'istanza di esercizio dei diritti ex art. 15 GDPR il 5 settembre 2023, poi sollecitata il 17 ottobre 2023, chiedendo l'accesso a documenti relativi al rapporto di lavoro: primo contratto di assunzione (gennaio 2015), successivo contratto a tempo indeterminato e due buste paga per ciascun anno dal 2015 al 2019. Non avendo ricevuto riscontro, ha presentato reclamo al Garante il 7 gennaio 2024.

Il Garante, con nota del 1 febbraio 2024, ha invitato la società a fornire osservazioni e ad aderire alla richiesta dell'interessato. Nella risposta del 13 febbraio 2024, la società ha sostenuto che i documenti erano già stati consegnati nel corso del rapporto di lavoro e ha allegato, per completezza, la documentazione richiesta.

Difese della società nel procedimento

Con l'avvio del procedimento ex art. 166, comma 5, del Codice, notificato il 25 giugno 2024, la società ha depositato scritti difensivi l'8 luglio 2024. In sintesi, ha affermato che:

• il rapporto di lavoro era cessato il 23 luglio 2019 e, da tale data, sarebbero venuti meno sia le esigenze sia le basi legittimanti del trattamento;
• non sarebbe più stata titolare o responsabile del trattamento dei dati dell'interessato;
• l'istanza sarebbe stata comunque infondata, perché riferita a documenti già consegnati;
• l'interessato avrebbe rinunciato al reclamo con nota del 26 giugno 2024;
• la documentazione era stata resa disponibile tramite piattaforma digitale con password personale.

Valutazioni del Garante

L'Autorità ha ritenuto non condivisibili le difese della società. Ha evidenziato che il titolare non aveva dato riscontro all'istanza di accesso entro il termine di cui all'art. 12, par. 3, GDPR, e che la risposta era intervenuta solo a seguito del reclamo e dell'istruttoria. Ha inoltre osservato che, quando il titolare non intenda o non possa aderire alla richiesta, deve comunque comunicare all'interessato i motivi del diniego e informarlo della possibilità di proporre reclamo al Garante o ricorso all'autorità giudiziaria, ai sensi dell'art. 12, par. 4, GDPR.

Il Garante ha poi richiamato le Guidelines 1/2022 dell'EDPB sul diritto di accesso, secondo cui il titolare deve cercare di individuare tutte le attività di trattamento riguardanti l'interessato e fornire i dati disponibili al momento della richiesta. Se i dati sono ancora nella disponibilità del titolare, l'istanza va soddisfatta; la cessazione del rapporto di lavoro, di per sé, non comporta automaticamente la cessazione del trattamento. È stato altresì ribadito che il diritto di accesso non si limita a dati "nuovi" rispetto a quelli già conosciuti dall'interessato, ma tutela anche la verifica della permanenza o rimozione dei dati, secondo la giurisprudenza di legittimità richiamata nel provvedimento.

Esito del procedimento e misura adottata

L'Autorità ha quindi accertato la violazione degli artt. 12, par. 3, e 15 GDPR e ha qualificato la condotta come trattamento illecito ai sensi dell'art. 143 del Codice. Tuttavia, ha considerato la fattispecie una "violazione minore" ai sensi dell'art. 83, par. 2, GDPR e del considerando 148, valorizzando:

• il carattere colposo della violazione;
• l'assenza di precedenti violazioni pertinenti;
• la condotta complessiva tenuta dalla società;
• la rinuncia al reclamo e il rinvenimento della documentazione da parte dell'interessato nelle more del procedimento.

In ragione di tali elementi, il Garante ha ritenuto sufficiente un ammonimento anziché una sanzione pecuniaria, disponendo anche l'annotazione nel registro interno delle violazioni e delle misure adottate. È stata inoltre indicata la possibilità di opposizione davanti all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011.