Prescrizioni del Garante n. 803 del 19/12/2024

Ammonimento per tardivo riscontro a istanza di accesso ex art. 15 GDPR

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un ex dipendente di un’impresa individuale che lamentava il mancato riscontro alla richiesta di accesso ai dati personali presentata al titolare del trattamento. Il procedimento trae origine dalla segnalazione dell’interessato, che aveva chiesto copia di documentazione relativa al rapporto di lavoro e a un corso sulla sicurezza, senza ottenere risposta nei termini.

Origine del reclamo e fatti contestati

Il reclamante ha riferito di avere lavorato presso un’attività ristorativa denominata Arte Pizza e di avere inviato, in data 1° dicembre 2023, un modulo di esercizio dei diritti in materia di protezione dei dati personali all’indirizzo email aziendale. Ha inoltre lamentato di non aver ricevuto copia della documentazione relativa al corso sulla sicurezza sul lavoro svolto nei giorni 21 e 22 settembre 2023.

L’istanza era stata presentata ai sensi dell’art. 15 GDPR e, secondo quanto rappresentato dall’interessato, non aveva ricevuto alcun riscontro tempestivo.

Attività istruttoria del Garante

Con nota del 19 gennaio 2024, il titolare del trattamento è stato invitato a fornire osservazioni e ad aderire all’istanza dell’interessato. Non avendo ricevuto riscontro, il Garante ha inviato una richiesta di informazioni ai sensi dell’art. 157 del Codice privacy il 19 marzo 2024, chiedendo chiarimenti sul riscontro alla richiesta di accesso e, in mancanza, sulle ragioni dell’inottemperanza.

Il titolare ha risposto il 20 marzo 2024 dichiarando di avere già inviato la documentazione richiesta l’8 marzo 2024 tramite PEC all’indirizzo dell’Ufficio Vertenze della CGIL di Pontedera, indicato come rappresentante dall’interessato. Poiché tale affermazione non era inizialmente documentata, il Garante ha richiesto ulteriori informazioni il 18 aprile 2024. Nella stessa data il titolare ha trasmesso copia della PEC inviata alla CGIL di Pontedera, contenente la documentazione richiesta.

Violazioni accertate

Con atto di avvio del procedimento del 9 luglio 2024, il Garante ha contestato la violazione degli artt. 12, par. 3, e 15 GDPR. Dall’istruttoria è emerso che:

• il titolare non aveva dato un riscontro tempestivo all’istanza di accesso;
• il riscontro è intervenuto solo dopo il reclamo e l’avvio dell’istruttoria;
• l’adempimento è avvenuto oltre il termine di un mese previsto dall’art. 12, par. 3, GDPR;
• non risulta che l’interessato sia stato informato entro il termine di un mese dell’eventuale proroga e dei motivi del ritardo.

L’Autorità ha ritenuto integrata anche la violazione dei principi di trasparenza e correttezza di cui all’art. 5, par. 1, lett. a), GDPR, nonché dell’obbligo di fornire un riscontro intelligibile e facilmente accessibile alle richieste di esercizio dei diritti.

Valutazioni del Garante

Il titolare, con scritti difensivi dell’1 agosto 2024, ha sostenuto che la documentazione fosse stata trasmessa l’8 marzo 2024 e che il ritardo fosse, al più, lieve. Il Garante non ha accolto tale difesa ai fini dell’archiviazione e ha dichiarato l’illiceità del trattamento limitatamente alla mancata tempestiva risposta all’istanza di accesso.

Tuttavia, ha considerato la violazione di minore gravità, valorizzando:

• il carattere colposo dell’inadempimento;
• l’assenza di precedenti pertinenti;
• la condotta complessivamente tenuta nel corso del procedimento;
• la natura di impresa individuale del titolare.

In applicazione del considerando 148 GDPR e dell’art. 83, par. 2, GDPR, ha ritenuto sufficiente un ammonimento anziché una sanzione pecuniaria.

Provvedimento finale

Il Garante ha quindi:

• rilevato l’illiceità del trattamento effettuato dal titolare dell’impresa individuale Arte Pizza di Tiziano Izzo, per violazione degli artt. 12, par. 3, e 15 GDPR;
• ammonito il titolare ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• disposto l’annotazione della violazione e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

È stata inoltre indicata la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.