Ordinanza ingiunzione o revoca n. 324 del 04/06/2025

INTS Italia S.r.l.: mancato riscontro a istanza di accesso e informativa dipendenti non conforme

Il Garante per la protezione dei dati personali ha esaminato un reclamo presentato da una dipendente nei confronti di INTS Italia S.r.l. in relazione alla gestione dei suoi dati personali nell’ambito del rapporto di lavoro e di un procedimento disciplinare. Il provvedimento conclude per l’illiceità di alcuni trattamenti e dispone una sanzione amministrativa pecuniaria, oltre a prescrizioni correttive in materia di informativa ai dipendenti.

Origine del procedimento

Il caso origina da un reclamo presentato nel 2022, poi regolarizzato, con cui la dipendente lamentava:

• il mancato riscontro a un’istanza di accesso ai dati personali ex art. 15 GDPR;
• la carenza di informazioni sulla gestione dei codici di accesso agli applicativi aziendali.

L’istanza era stata formulata in occasione delle giustificazioni rese a fronte di una contestazione disciplinare relativa a spese non autorizzate effettuate mediante prelievo di contanti dalla cassa, dopo accesso al sistema aziendale denominato "FrontRetail" con codice personale.

La società aveva risposto alla difesa disciplinare, ma non aveva inizialmente dato seguito alla richiesta privacy.

Attività istruttoria e posizioni della società

A seguito del reclamo, il Garante ha chiesto informazioni alla società ai sensi dell’art. 157 del Codice. In risposta, la società ha poi trasmesso alla reclamante la documentazione richiesta e ha sostenuto che:

• la richiesta non sarebbe stata presentata attraverso i canali aziendali predisposti;
• l’interessata sarebbe comunque stata informata del trattamento dei dati durante il rapporto di lavoro;
• la gestione dei codici di accesso agli applicativi FrontRetail e Clienteling sarebbe stata disciplinata da procedure interne.

La società ha inoltre prodotto documentazione contrattuale e informativa, successivamente integrata con traduzioni in italiano di ulteriori documenti aziendali provenienti dalla capogruppo spagnola.

Violazione degli artt. 12, par. 3, e 15 GDPR

Il Garante ha accertato che la richiesta di accesso era stata correttamente ricevuta dalla società e che il diritto dell’interessata è stato soddisfatto solo il 22/02/2023, quindi a distanza di circa un anno dalla richiesta originaria.

L’Autorità ha ritenuto che:

• la richiesta era chiaramente formulata ai sensi dell’art. 15 GDPR;
• l’uso dell’indirizzo PEC non poteva considerarsi improprio, anche perché non risultava dimostrata l’effettiva indicazione di canali alternativi adeguati;
• il titolare è comunque tenuto a compiere ogni ragionevole sforzo per agevolare l’esercizio dei diritti dell’interessato.

È stata quindi confermata la violazione dell’art. 15 GDPR e, conseguentemente, dell’art. 12, par. 3 GDPR, per mancato riscontro senza ingiustificato ritardo e oltre il termine massimo di un mese.

Violazione dell’art. 13 GDPR e principio di trasparenza

Sul piano informativo, il Garante ha rilevato che la dipendente non aveva ricevuto un’informativa conforme all’art. 13 GDPR, né all’art. 13 del Codice privacy vigente all’epoca dell’assunzione.

Il documento prodotto dalla società è stato giudicato inidoneo perché non conteneva un’adeguata descrizione delle caratteristiche principali del trattamento. Inoltre, l’informativa aggiornata risultava riferita a una diversa società del gruppo, individuata come titolare del trattamento, mentre nel caso concreto il rapporto di lavoro era instaurato con INTS Italia S.r.l.

L’Autorità ha richiamato il principio secondo cui, nel rapporto di lavoro, la titolarità del trattamento va individuata nell’effettivo centro di imputazione del rapporto, indipendentemente dall’appartenenza a un gruppo societario. È stata anche evidenziata l’assenza di prove sufficienti circa l’effettiva consegna o messa a disposizione dell’informativa aggiornata e degli altri documenti richiamati dalla società.

Per tali ragioni, il Garante ha confermato la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, in chiave di violazione del principio di trasparenza.

Illiceità del trattamento e misure correttive

All’esito dell’istruttoria, il Garante ha dichiarato illecito il trattamento effettuato dalla società con riferimento:

• al mancato tempestivo riscontro all’istanza di accesso;
• alla predisposizione e gestione dell’informativa ai dipendenti.

Richiamando l’art. 58, par. 2, GDPR, l’Autorità ha preso atto che la società, nel corso del procedimento, aveva comunque aderito all’istanza dell’interessata, ma ha ritenuto necessario prescrivere un’ulteriore misura correttiva: l’adeguamento dell’informativa ai principi del GDPR, con particolare riguardo alla corretta individuazione del titolare del trattamento e alle finalità e ai mezzi del trattamento.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante ha applicato la sanzione amministrativa pecuniaria di euro 15.000,00, ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, ritenendo che la violazione non potesse essere considerata minore.

Nella quantificazione sono stati considerati, in particolare:

• la natura, gravità e durata della violazione, con ritardo di circa 11 mesi nel riscontro all’istanza;
• la persistenza di un’informativa non conforme per una pluralità di dipendenti;
• il carattere colposo della condotta;
• la cooperazione prestata nel corso dell’istruttoria;
• l’assenza di precedenti violazioni;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2023.

Dispositivo

Il provvedimento:

• rileva l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 12, par. 3, 13 e 15 GDPR;
• ingiunge di conformare, entro 40 giorni dal ricevimento, l’informativa ai dipendenti ai principi in materia di protezione dei dati personali, con riscontro motivato al Garante;
• ordina il pagamento di euro 15.000,00 entro 30 giorni dalla notifica;
• dispone la pubblicazione dell’ordinanza ingiunzione e del provvedimento sul sito istituzionale del Garante;
• prevede l’annotazione nel registro interno dell’Autorità.

È inoltre richiamata la facoltà di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.