Ordinanza ingiunzione o revoca n. 311 del 29/04/2026

Pianeta s.r.l.: uso illecito dei dati della carta fidelizzazione in ambito disciplinare e mancato riscontro ai diritti dell’interessata

Il provvedimento riguarda Pianeta s.r.l., destinataria di un reclamo della dipendente per l’utilizzo di dati del programma di fidelizzazione Conad nella contestazione disciplinare poi sfociata nel licenziamento, nonché per la mancata risposta a una successiva istanza di esercizio dei diritti. Il Garante conclude per l’illiceità del trattamento e adotta un divieto di ulteriore trattamento insieme a una sanzione pecuniaria.

Origine del reclamo e svolgimento dell’istruttoria

La reclamante aveva segnalato due profili principali: da un lato, l’asserito trattamento illecito dei dati relativi alla carta Insieme Conad nell’ambito della contestazione disciplinare; dall’altro, l’assenza di riscontro all’istanza del 15 febbraio 2023. L’Ufficio ha richiesto informazioni alla Società ai sensi dell’art. 157 del Codice e, successivamente, ha notificato le presunte violazioni ai sensi dell’art. 166, comma 5, del Codice.

La Società ha sostenuto che i controlli erano stati svolti legittimamente in relazione a un anomalo utilizzo della carta fedeltà, che il trattamento per il programma fidelizzazione era distinto da quello lavoristico e che la contestazione disciplinare aveva anche assolto agli obblighi informativi nei confronti della dipendente. Ha inoltre giustificato la mancata risposta alla seconda istanza con il carattere ripetitivo delle richieste e con la fase di precontenzioso.

Quadro normativo richiamato

Il Garante richiama i principi di cui all’art. 5 GDPR, in particolare liceità, correttezza, trasparenza e limitazione della finalità, nonché gli artt. 6, 12, 13, 14, 15 e 17 GDPR. Viene richiamato anche l’art. 28, par. 3 e par. 10 GDPR sul ruolo del responsabile del trattamento e sulla riqualificazione del responsabile che determini finalità e mezzi del trattamento.

In relazione al rapporto di lavoro, l’Autorità ricorda che i trattamenti necessari alla gestione del rapporto devono rispettare la disciplina di protezione dei dati e che l’art. 7 della legge n. 300/1970 non vale, di per sé, come base giuridica del trattamento dei dati personali comuni. Vengono inoltre richiamati gli obblighi di riscontro alle richieste degli interessati entro i termini dell’art. 12 GDPR, compreso il dovere di informare l’interessato in caso di mancato accoglimento della richiesta.

Trattamento dei dati del programma fedeltà per finalità disciplinari

Dall’istruttoria è emerso che Pianeta s.r.l. ha incrociato dati relativi alla gestione del rapporto di lavoro con dati del programma di fidelizzazione Conad, che la stessa trattava come responsabile per conto di Conad Adriatico Soc. Coop. Tali dati sono stati usati per formulare una contestazione disciplinare nei confronti della reclamante, collegando l’utilizzo della carta fedeltà ai turni di lavoro e ad altre informazioni nella disponibilità della Società come datore di lavoro.

Il Garante considera tale condotta illecita perché i dati del programma fedeltà erano stati raccolti per finalità diverse, indicate nell’informativa originaria e nel regolamento del servizio carta di fidelizzazione, come fidelizzazione, marketing, profilazione, analisi statistiche aggregate, nonché adempimenti di legge e comunicazioni ad autorità competenti. L’utilizzo per una contestazione disciplinare è stato ritenuto una finalità ulteriore e incompatibile.

Assenza di base giuridica e violazione dei principi di liceità e finalità

L’Autorità esclude che l’art. 7 della l. n. 300/1970 possa costituire base giuridica sufficiente per il trattamento dei dati della reclamante effettuato nella fase di contestazione disciplinare. Ne deriva la violazione dell’art. 6 GDPR, oltre ai principi di liceità e limitazione della finalità di cui all’art. 5, par. 1, lett. a) e b).

Il provvedimento precisa anche che la pretesa natura “anonima” della carta non è idonea a escludere la natura personale dei dati, poiché la Società ha utilizzato tali informazioni proprio per identificare la reclamante e muovere una specifica contestazione disciplinare.

Informativa e trasparenza

Il Garante ritiene che la reclamante non sia stata adeguatamente informata del trattamento dei dati del programma fedeltà utilizzati per la contestazione disciplinare. L’informativa resa da Conad Adriatico Soc. Coop. non contemplava quel trattamento, e la Società non ha provato di aver fornito un’informativa autonoma e tempestiva ai sensi degli artt. 13 e 14 GDPR.

È stata respinta l’argomentazione secondo cui la lettera di contestazione disciplinare avrebbe integrato l’informativa dovuta: tale atto non è considerato idoneo a soddisfare gli obblighi informativi degli artt. 13 e 14 GDPR, né il riferimento dell’art. 14, par. 3, lett. c), è ritenuto pertinente alla fattispecie.

Mancato riscontro all’istanza di esercizio dei diritti

La Società non ha fornito riscontro all’istanza del 15 febbraio 2023, con la quale la reclamante chiedeva ulteriori informazioni, cancellazione e blocco dei dati. Il Garante rileva la violazione degli artt. 12, 15 e 17 GDPR, sottolineando che, qualora il titolare intenda non dare seguito alla richiesta, deve comunque informare l’interessato dei motivi e delle possibilità di reclamo e ricorso.

Non è stata ritenuta sufficiente la deduzione della Società circa la ripetitività della richiesta o la pendenza di una fase precontenziosa. Inoltre, il Garante osserva che, se la richiesta fosse stata manifestamente infondata o eccessiva, il titolare avrebbe dovuto dimostrarlo e comunque adottare le modalità previste dall’art. 12, par. 5, GDPR.

Valutazione complessiva dell’illiceità

L’Autorità conclude che le condotte accertate integrano violazioni plurime e non minori, incidendo su principi generali del trattamento, trasparenza, diritti dell’interessata e disciplina del responsabile del trattamento. Per tali ragioni il procedimento non è stato archiviato e il trattamento è stato dichiarato illecito nei termini descritti in motivazione.

Divieto, sanzione e pubblicazione

Ai sensi dell’art. 58, par. 2, lett. f), GDPR, il Garante ha disposto il divieto di effettuare, nel contesto del rapporto di lavoro, ulteriori operazioni di trattamento di dati personali relativi alla reclamante connessi all’utilizzo della carta di fidelizzazione, salvo quanto previsto dall’art. 160-bis del Codice.

Ai sensi dell’art. 58, par. 2, lett. i), e dell’art. 83 GDPR, è stata applicata una sanzione amministrativa pecuniaria di euro 34.000. Nella quantificazione sono stati considerati: gravità media della violazione, natura e durata delle condotte, numero e impatto sulle interessate, colpa della Società, categorie di dati coinvolti, assenza di precedenti specifici, cooperazione con l’Autorità e condizioni economiche del contravventore. Il Garante ha inoltre disposto la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul proprio sito istituzionale.

Termini di pagamento e opposizione

La Società deve pagare la somma entro 30 giorni dalla notifica del provvedimento; è richiamata la possibilità di definizione agevolata mediante pagamento della metà della sanzione entro il termine previsto per il ricorso. Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.