Prescrizioni del Garante n. 426 del 17/07/2025

Società Tecnologie Avanzate s.r.l. – tardivo riscontro a istanza di accesso ex art. 15 GDPR

Il provvedimento riguarda una società datrice di lavoro e trae origine dal reclamo di una ex dipendente che chiedeva l’accesso e la copia dei propri dati personali conservati su un computer aziendale ad uso promiscuo. L’istanza non ha ricevuto riscontro nei termini di legge e la società ha differito la consegna sostenendo l’esigenza di preservare eventuali prove in un parallelo contenzioso di lavoro.

Fatti e svolgimento del procedimento

La reclamante aveva inoltrato alla società, il 2 maggio 2022, una richiesta di esercizio dei diritti ai sensi dell’art. 15 GDPR. Secondo quanto riferito, la richiesta non è stata soddisfatta entro il termine previsto dall’art. 12, par. 3, GDPR. A seguito del reclamo presentato al Garante il 13 settembre 2022, l’Autorità ha avviato l’istruttoria e ha invitato la società a fornire chiarimenti. Solo dopo tale intervento la società ha comunicato che il computer aziendale era disponibile per il recupero dei dati personali.

Difese della società

Nelle memorie difensive e nel corso dell’audizione, la società ha sostenuto che:

• il pc era stato restituito dalla lavoratrice il 28 aprile 2022 e conservato in un armadio blindato, chiuso a chiave;
• il dispositivo non era stato utilizzato da terzi ed era protetto da password personale;
• il differimento dell’accesso era stato disposto per non pregiudicare il procedimento giudiziario sul licenziamento e per evitare un possibile inquinamento delle prove;
• l’accesso era stato poi consentito il 20 febbraio 2023. La società ha inoltre affermato che, in ogni caso, non vi sarebbe stata alcuna compromissione dei diritti della lavoratrice.

Valutazioni del Garante

L’Autorità ha richiamato l’art. 12, par. 3, GDPR, che impone al titolare di fornire riscontro entro un mese dalla richiesta, nonché il par. 4 del medesimo articolo, che obbliga a informare l’interessato dei motivi dell’eventuale inottemperanza o del ritardo e delle possibilità di reclamo e ricorso. Sono state richiamate anche le Linee guida EDPB n. 1/2022 sul diritto di accesso, secondo cui il rifiuto totale o parziale deve essere motivato con riferimento alle circostanze concrete.

Il Garante ha poi esaminato il richiamo della società all’art. 2-undecies, lett. e), del Codice privacy, osservando che le limitazioni ai diritti dell’interessato sono ammissibili solo se necessarie e proporzionate, in conformità anche all’art. 23 GDPR. Nel caso concreto, tuttavia, la società non ha dimostrato l’esistenza di un pregiudizio effettivo e concreto al diritto di difesa che giustificasse il rinvio dell’accesso, né ha prodotto elementi documentali sufficienti a sostegno della propria tesi.

Esito

Il Garante ha quindi confermato la violazione degli artt. 12, par. 3, e 15 GDPR, qualificando come illecito il tardivo riscontro all’istanza di accesso. Pur non essendo riportata una sanzione pecuniaria, l’Autorità ha preso atto dell’avvenuto adempimento nel corso del procedimento e ha disposto:

• la pubblicazione del provvedimento sul sito istituzionale;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Profili operativi per i titolari del trattamento

Il provvedimento ribadisce che, anche in presenza di un contenzioso di lavoro o di esigenze difensive, il differimento del diritto di accesso non può essere automatico né generico. Il titolare deve:

• motivare puntualmente il ritardo o il rifiuto;
• dimostrare il concreto pregiudizio che deriverebbe dall’ostensione;
• informare comunque l’interessato entro i termini di cui all’art. 12 GDPR;
• documentare in modo adeguato le ragioni della limitazione, specie quando si invochi l’art. 2-undecies del Codice.