Prescrizioni del Garante n. 55 del 02/03/2023

Dedimax s.r.l. - riscontro inidoneo a istanza di accesso nel rapporto di lavoro

Il Garante ha esaminato un reclamo presentato da una lavoratrice nei confronti di Manifatture del Nord s.r.l., società poi incorporata in Dedimax s.r.l., relativo sia al presunto trattamento illecito di un documento di valutazione delle prestazioni, sia alla gestione della richiesta di accesso ai dati personali. Il provvedimento si concentra soprattutto sull'idoneità del riscontro fornito dalla società ai sensi degli artt. 12 e 15 GDPR.

Origine del reclamo e oggetto delle contestazioni

La reclamante lamentava tre profili principali:

• l'asserita illecita condivisione, sul server aziendale, del documento di valutazione riferito alla sua persona;
• la tardività, genericità e incompletezza del riscontro all'istanza di accesso;
• l'invio del riscontro a un indirizzo generale dello studio legale del difensore. La richiesta di accesso era stata presentata il 21 agosto 2019 e regolarizzata il 4 ottobre 2019.

Difese della società e ricostruzione dei fatti

La società ha sostenuto che il documento di valutazione fosse stato predisposto dalla supervisor su un PC personale protetto da credenziali e memorizzato nella relativa casella e-mail personale, escludendo caricamenti sul gestionale aziendale o diffusione ad altri dipendenti o terzi. Ha inoltre affermato di avere inviato il riscontro all'istanza di accesso in data 4 giugno 2019, poi nuovamente il 7 giugno 2019 e infine il 10 giugno 2019 a un indirizzo alternativo ricavato dalla carta intestata del difensore.

Valutazioni sull'asserito trattamento illecito del documento di valutazione

All'esito dell'istruttoria, il Garante ha rilevato che non sono emersi elementi sufficienti per accertare il presunto caricamento, memorizzazione o diffusione illecita del documento di valutazione sul server o su altri sistemi aziendali. Su questo profilo, pertanto, non sono stati adottati provvedimenti.

Diritto di accesso: incompletezza del riscontro

L'Autorità ha invece ritenuto che la società non abbia fornito un riscontro idoneo all'istanza di accesso. In particolare, non è stata trasmessa copia dei dati richiesti con specifico riferimento al documento di valutazione, benché la reclamante ne avesse fatto espressa richiesta tramite il proprio avvocato.

Il Garante ha ribadito che il diritto di accesso ex art. 15 GDPR non si riduce alla conoscenza di dati nuovi rispetto a quelli già noti all'interessato. Esso consente di verificare, in chiave di trasparenza e tutela della riservatezza, quali dati siano stati raccolti, conservati o rimossi. Nel rapporto di lavoro, la richiesta di accesso al fascicolo personale è inoltre tutelata anche dai principi di buona fede e correttezza.

Modalità del trattamento e ambito di comunicazione

Nel riscontro fornito, la società non ha indicato in modo completo le modalità del trattamento né l'ambito di comunicazione dei dati relativi al documento di valutazione. Il Garante ha precisato che:

• l'informativa ex artt. 13 e 14 GDPR non coincide con il riscontro dovuto ai sensi dell'art. 15 GDPR;
• le informazioni generali dell'informativa devono essere adattate alla concreta situazione dell'interessato che esercita il diritto di accesso;
• il semplice richiamo all'informativa generale non è sufficiente se non accompagnato da informazioni "su misura" sul trattamento effettivamente svolto.

Esclusione della violazione del termine di riscontro

La contestazione relativa alla tardività ex art. 12 GDPR non è stata confermata. Il Garante ha valorizzato le evidenze documentali fornite dalla società, ritenendo provato l'invio di un primo riscontro tramite l'indirizzo del DPO il 4 giugno 2019, con successivi rinvii il 7 e il 10 giugno 2019. Per questo motivo è stata disposta l'archiviazione limitatamente alla violazione dell'art. 12 con riferimento all'art. 15 GDPR.

Violazione accertata, qualificazione e misure adottate

Il Garante ha dichiarato l'illiceità del trattamento effettuato da Dedimax s.r.l. per violazione degli artt. 5, par. 1, lett. a), e 15 GDPR, limitatamente al mancato idoneo riscontro all'istanza di accesso.

La violazione è stata considerata "minore", in ragione:

• del numero ristretto di interessati coinvolti, pari a uno;
• dell'assenza di precedenti violazioni pertinenti.

Sulla base di tale valutazione, il Garante ha adottato un provvedimento di ammonimento nei confronti di Dedimax s.r.l. ai sensi dell'art. 58, par. 2, lett. b), GDPR e dell'art. 143 del Codice privacy.

Dispositivo finale

Il provvedimento dispone in sintesi:

• la rilevazione dell'illiceità del trattamento da parte di Dedimax s.r.l., quale società incorporante Manifatture del Nord s.r.l.;
• l'ammonimento del titolare del trattamento per il mancato idoneo riscontro all'istanza di accesso;
• l'archiviazione della contestazione relativa alla violazione dell'art. 12 GDPR, in relazione all'art. 15 GDPR.

È inoltre ricordata la possibilità di proporre opposizione davanti all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR e degli artt. 152 del Codice e 10 d.lgs. 150/2011.