Ordinanza ingiunzione o revoca n. 833 del 12/12/2024

BDM Banca S.p.A. - riscontro tardivo e incompleto a istanza di accesso del dipendente

Il provvedimento riguarda BDM Banca S.p.A. e trae origine da un reclamo presentato da un dipendente per il mancato e incompleto riscontro a una richiesta di accesso ai dati personali relativi al rapporto di lavoro. Il Garante ha accertato la violazione degli artt. 12 e 15 GDPR e ha applicato una sanzione amministrativa pecuniaria, disponendo anche la pubblicazione del provvedimento.

Origine del procedimento e svolgimento dell’istruttoria

Il reclamante aveva inoltrato alla banca una prima richiesta di accesso il 3 agosto 2022, reiterata e integrata il 25 agosto 2022. Secondo quanto rappresentato nell’esposto, il riscontro dell’11 ottobre 2022 era arrivato oltre il termine di un mese e risultava comunque parziale, poiché non comprendeva tutta la documentazione e molte delle informazioni previste dall’art. 15 GDPR.

Nel corso dell’istruttoria l’Autorità ha sollecitato la società, che ha progressivamente integrato la risposta: dapprima con nota del 3 agosto 2023, poi con ulteriori consegne documentali in un incontro del 25 ottobre 2023. La banca ha sostenuto che la complessità della ricerca, l’arco temporale molto esteso delle richieste e alcune vicende societarie avevano reso più gravoso il reperimento dei documenti.

Trattamenti e dati oggetto della richiesta

La richiesta riguardava dati personali connessi al rapporto di lavoro, inclusi documenti e informazioni relative alla carriera del dipendente. La banca, nelle integrazioni successive, ha indicato:

• finalità del trattamento: gestione del rapporto di lavoro;
• categorie di dati trattati: identificativi, di contatto, di formazione, economici, relativi allo svolgimento del rapporto di lavoro e particolari categorie di dati, tra cui l’appartenenza sindacale;
• categorie di destinatari: capogruppo, enti fiscali e previdenziali, compagnie di assicurazione, società di servizi e professionisti;
• periodo di conservazione: durata del rapporto e successivamente secondo le prescrizioni normative/regolamentari;
• assenza di processi decisionali automatizzati;
• origine dei dati: conferimento diretto dell’interessato, dati raccolti nel corso del rapporto e dati originati dalla banca;
• responsabili del trattamento: outsourcer informatico e società incaricata della conservazione dei documenti cartacei.

Sono state inoltre consegnate le schede di valutazione degli anni 2010-2018; per gli anni 2003-2008 la banca ha sostenuto che la documentazione fosse già stata consegnata in occasione di una conciliazione del 2009, richiamando il verbale relativo.

Violazioni accertate degli artt. 12 e 15 GDPR

Il Garante ha ritenuto che la banca abbia fornito un riscontro inidoneo perché incompleto e tardivo. In particolare:

• il riscontro iniziale non conteneva tutte le informazioni richieste ex art. 15 GDPR;
• alcune informazioni fondamentali sono state rese solo il 3 agosto 2023, dopo l’avvio del procedimento e l’intervento dell’Autorità;
• ulteriore documentazione è stata consegnata solo il 25 ottobre 2023;
• non è stata indicata tempestivamente la proroga del termine né i motivi del ritardo;
• nel primo riscontro non erano state fornite le indicazioni sulla possibilità di proporre reclamo al Garante o ricorso all’autorità giudiziaria, come richiesto dall’art. 12, par. 4, GDPR in caso di diniego, anche parziale.

Il Garante ha sottolineato che il soddisfacimento del diritto di accesso è intervenuto circa un anno e due mesi dopo le istanze, ben oltre il termine ordinario di un mese e la possibile proroga di due mesi prevista dall’art. 12, par. 3, GDPR.

Portata del diritto di accesso e irrilevanza della pregressa conoscenza dei documenti

L’Autorità ha respinto la tesi secondo cui la richiesta sarebbe stata una reiterazione di precedenti vicende giuslavoristiche o che la banca potesse limitarsi a documentazione già conosciuta dall’interessato. È stato ribadito che il diritto di accesso serve a consentire la verifica della liceità del trattamento e non può essere ristretto alle sole informazioni nuove rispetto a quelle già note al titolare o all’interessato.

A supporto di tale conclusione, il provvedimento richiama la giurisprudenza della Corte di cassazione n. 32533 del 14 dicembre 2018 e le Linee guida EDPB 1/2022 sul diritto di accesso, secondo cui il titolare non può limitare l’oggetto di una nuova richiesta solo perché in passato ha già fornito parte della documentazione.

Valutazioni sulla responsabilità della banca

Il Garante ha ritenuto che la condotta della banca non potesse essere archiviata e che non ricorressero i presupposti per considerare la violazione come minore. La violazione è stata qualificata come di gravità media, tenendo conto della natura del diritto leso, della durata della violazione, del fatto che l’interessato coinvolto fosse uno solo e della precedente violazione già accertata con provvedimento n. 160 del 7 marzo 2024 in materia di esercizio dei diritti.

Sono stati altresì considerati, in senso attenuante, alcuni elementi organizzativi prodotti dalla banca: la policy di gruppo, la procedura sulla gestione dei diritti degli interessati, le attività di formazione e la sensibilizzazione interna per indirizzare tempestivamente le richieste al DPO.

Sanzione, criteri di quantificazione e misure accessorie

Ai sensi dell’art. 83 GDPR, il Garante ha applicato una sanzione amministrativa pecuniaria di euro 20.000. Nella quantificazione sono stati valorizzati:

• la gravità della violazione, incidente sull’esercizio dei diritti dell’interessato;
• la durata, pari a circa un anno e due mesi;
• il numero limitato di interessati coinvolti;
• la precedente violazione in materia analoga;
• il grado di responsabilità della società;
• le misure organizzative e formative adottate dalla banca;
• le condizioni economiche del contravventore, desunte dal bilancio 2023.

È stata inoltre disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Termini di pagamento e opposizione

La banca è stata ingiunta a pagare la somma entro trenta giorni dalla notifica del provvedimento, con la possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge. Contro il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.