Prescrizioni del Garante n. 251 del 29/04/2025

Coin S.p.a. - mancato riscontro a istanza di accesso ai dati dei dipendenti

Il provvedimento riguarda Coin S.p.a. ed è originato da un reclamo presentato da sei interessati che avevano chiesto, quale esercizio del diritto di accesso, copia di documenti contenenti dati personali riferiti al proprio rapporto di lavoro. L’Autorità ha esaminato il ritardo nel riscontro e le giustificazioni fornite dalla Società, concludendo per l’illiceità del trattamento limitatamente al mancato tempestivo riscontro all’istanza.

Fatto e origine del reclamo

Gli interessati avevano trasmesso in data 24 gennaio 2024 una richiesta di accesso a documentazione relativa al rapporto di lavoro, chiedendo in particolare:

• copia del Libro Unico del Lavoro;
• copia del Registro Presenze;
• copia delle timbrature di entrata e uscita;
• con riferimento all’ultimo quinquennio.

Secondo quanto rappresentato nel reclamo del 7 marzo 2024, la richiesta era rimasta priva di riscontro. Il Garante ha avviato l’istruttoria e, con invito del 18 aprile 2024, ha chiesto alla Società di fornire osservazioni e di aderire all’istanza.

Riscontro tardivo e contenuto della documentazione

Coin S.p.a. ha poi riscontrato la richiesta con nota del 7 maggio 2024, trasmettendo sei file PDF, uno per ciascun interessato, contenenti copia del LUL comprensivo del registro presenze e dei dettagli delle timbrature di entrata e uscita, a decorrere dal mese di dicembre 2018 fino al mese di febbraio 2024, ultimo disponibile. La documentazione è quindi stata resa disponibile solo dopo il reclamo e l’intervento dell’Autorità, con un ritardo di oltre due mesi rispetto al termine previsto dal GDPR.

Difese della Società

Nei propri scritti difensivi del 26 agosto 2024, la Società ha sostenuto che il ritardo fosse dipeso da un errore operativo involontario nel processo di gestione della richiesta. Ha spiegato che, poiché la missiva dei legali degli interessati riguardava anche contestazioni di presunte inadempienze contrattuali, il personale HR aveva coinvolto i consulenti giuslavoristici, omettendo per errore di informare il Responsabile della protezione dei dati e di dare seguito alla richiesta sotto il profilo privacy.

La Società ha richiamato l’esistenza di procedure interne e istruzioni di trattamento per la gestione delle richieste di esercizio dei diritti, nonché l’uso di diversi canali di contatto dedicati, inclusi indirizzi email specifici per clienti, titolari di carte fedeltà, candidati e personale.

Valutazioni del Garante

L’Autorità ha ritenuto non superati i rilievi contestati con l’atto di avvio del procedimento. In particolare, ha osservato che il titolare non può imporre un formato specifico o requisiti particolari per le istanze di esercizio del diritto di accesso, né può subordinare la gestione della richiesta alla scelta di uno specifico canale di comunicazione da parte dell’interessato, richiamando le Guidelines 01/2022 on data subject rights - Right of access dell’EDPB, in particolare il punto 52.

Alla luce di ciò, il Garante ha ritenuto integrata la violazione:

• dell’art. 5, par. 1, lett. a), GDPR, per difetto dei principi di trasparenza e correttezza;
• dell’art. 12, par. 3, GDPR, per mancato riscontro tempestivo, intelligibile e facilmente accessibile;
• dell’art. 15 GDPR, per mancata immediata soddisfazione del diritto di accesso.

Esito del procedimento e misure adottate

Il Garante ha dichiarato l’illiceità del trattamento ai sensi dell’art. 143 del Codice privacy, con riferimento alla violazione degli artt. 12, par. 3, e 15 GDPR. Non risulta applicata una sanzione pecuniaria nel testo fornito.

Sono invece disposte misure di carattere pubblicistico e organizzativo:

• pubblicazione del provvedimento sul sito dell’Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019;
• annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

Profili procedurali finali

Il provvedimento richiama infine la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.