Ordinanza ingiunzione o revoca n. 137 del 07/03/2024

Banca di Credito Cooperativo Appulo Lucana: riscontro parziale a istanza di accesso su fascicolo personale e procedimento disciplinare

Il Garante ha esaminato il reclamo di una ex dipendente nei confronti della banca, relativo al mancato integrale riscontro a una richiesta di accesso ai dati personali contenuti nel fascicolo personale e nella documentazione del procedimento disciplinare che aveva portato all’irrogazione di una sanzione.

Fatti e svolgimento del procedimento

La reclamante, ai sensi dell’art. 15 GDPR, aveva chiesto di accedere ai dati personali contenuti nel proprio fascicolo personale e, in particolare, agli atti e alle informazioni del procedimento disciplinare. Ricevuto un riscontro ritenuto insufficiente, aveva presentato reclamo al Garante ex art. 77 GDPR.

L’Ufficio aveva chiesto chiarimenti alla banca, invitandola a verificare se vi fossero ulteriori dati e documenti da comunicare. La banca aveva sostenuto di aver già fornito un ampio riscontro e, successivamente, aveva trasmesso ulteriore documentazione del procedimento, opportunamente oscurando i dati riferiti a terzi ai sensi dell’art. 15, par. 4, GDPR.

Posizione della banca

La banca ha difeso la completezza del riscontro sostenendo che:

• la documentazione già fornita consentiva alla reclamante di conoscere fatti, valutazioni e motivazioni del procedimento disciplinare;
• la richiesta sarebbe stata, in realtà, diretta a ottenere la corrispondenza con un terzo, documento distinto dall’originaria istanza;
• l’ostensione di tali atti avrebbe potuto ledere la riservatezza del terzo e i diritti della banca in sede giudiziaria;
• il diritto di accesso non dovrebbe estendersi ai documenti, ma solo ai dati personali, e può essere limitato per tutelare diritti e libertà altrui;
• il diritto di accesso ex art. 15 GDPR non potrebbe essere utilizzato per ottenere utilità non previste dalla normativa giuslavoristica.

Valutazione del Garante sul diritto di accesso

Il Garante ha ricordato che il diritto di accesso ha la funzione di consentire all’interessato il controllo sui dati personali che lo riguardano e la verifica della liceità del trattamento, senza che il titolare possa subordinare il riscontro alla prova di un interesse specifico o alla finalità perseguita dall’interessato.

L’Autorità ha richiamato:

• il combinato disposto degli artt. 12 e 15 GDPR;
• le Linee guida EDPB sul diritto di accesso, secondo cui il titolare non deve chiedersi "perché" l’interessato richieda l’accesso, ma solo "cosa" chieda e se detenga i dati richiesti;
• la giurisprudenza della Corte di giustizia, in particolare la sentenza C-307/22.

È stato altresì evidenziato che, nel caso concreto, la consegna della documentazione del fascicolo personale contenente i dati della reclamante era la modalità più idonea per rendere effettivo il diritto di accesso.

Riscontro incompleto e violazione dell’art. 12, par. 4, GDPR

L’Autorità ha ritenuto che la banca avesse fornito un riscontro solo parziale e non avesse informato la reclamante dei motivi del mancato rilascio della documentazione integrativa, limitandosi a richiamare il difetto di interesse all’accesso e il fatto che il rapporto di lavoro era cessato da tempo e la sanzione disciplinare non era stata impugnata.

Poiché tali ragioni non erano state comunicate come motivazione del diniego parziale, il Garante ha accertato la violazione dell’art. 12, par. 4, GDPR, che impone di rendere noti i motivi dell’eventuale mancato riscontro all’interessato.

Illiceità del trattamento e poteri correttivi

Alla luce dell’istruttoria, il Garante ha dichiarato fondato il reclamo e ha accertato l’illiceità del trattamento per violazione degli artt. 12, parr. 3 e 4, e 15 GDPR. Ha quindi esercitato i poteri correttivi di cui all’art. 58, par. 2, GDPR, disponendo l’applicazione della sanzione amministrativa pecuniaria.

Sanzione amministrativa pecuniaria

Ai fini della quantificazione, l’Autorità ha applicato i criteri dell’art. 83, par. 2, GDPR, considerando in particolare:

• la natura della violazione, relativa ai diritti degli interessati;
• l’assenza di precedenti violazioni pertinenti;
• il fatto che la banca abbia poi fornito il riscontro nel corso del procedimento;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2022.

La sanzione è stata determinata in euro 20.000,00, ai sensi dell’art. 83, par. 5, GDPR.

Ulteriori disposizioni

Il Garante ha ordinato il pagamento della sanzione entro 30 giorni dalla notifica del provvedimento, con facoltà di definizione agevolata mediante pagamento della metà dell’importo nei termini previsti dalla legge n. 150/2011 richiamata nel provvedimento.

È stata inoltre disposta la pubblicazione del provvedimento sul sito istituzionale del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del regolamento n. 1/2019.