Prescrizioni del Garante n. 737 del 04/12/2025

Ferrovie dello Stato Italiane S.p.A. - riscontro inidoneo e tardivo a istanza di accesso ai dati nella selezione del personale

Il Garante ha esaminato il reclamo di un candidato che aveva partecipato a procedure di selezione del personale promosse da Ferrovie dello Stato Italiane S.p.A. e che lamentava di non aver ricevuto un adeguato riscontro alla richiesta di accesso ai propri dati personali. Il procedimento è stato avviato dopo la regolarizzazione del reclamo e ha riguardato la correttezza del riscontro fornito dal titolare ai sensi degli artt. 12 e 15 GDPR.

Fatti e svolgimento del procedimento

L’interessato, con istanza del 9 maggio 2022, aveva chiesto conferma dell’esistenza di un trattamento, accesso e copia dei propri dati personali e delle informazioni relative alla selezione, inclusi i dati raccolti durante i test e i punteggi delle prove sostenute. La Società aveva risposto il 1° giugno 2022 fornendo informazioni generali sul trattamento, sulle finalità di ricerca e selezione del personale, sulle società del gruppo autorizzate ad accedere ai dati e sui tempi di conservazione, ma non aveva consegnato copia dei dati richiesti.

A fronte dei successivi solleciti del reclamante, la Società aveva trasmesso prima i dati conferiti tramite il portale di recruiting e solo con comunicazione dell’11 luglio 2023 anche i punteggi dei test preselettivi e gli esiti finali delle prove. L’interessato aveva nel frattempo ribadito di non voler ricevere l’elenco delle categorie di dati, ma una copia integrale dei dati riguardanti il processo selettivo.

Valutazioni dell’Autorità sulla richiesta di accesso

Il Garante ha ritenuto che la richiesta fosse sufficientemente chiara fin dall’origine: l’istanza era diretta non solo a conoscere l’esistenza del trattamento, ma anche a ottenere copia dei dati personali, compresi quelli relativi al processo di selezione. Secondo l’Autorità, il primo riscontro della Società non era conforme all’art. 15 GDPR, perché si limitava a descrivere categorie di dati senza trasmettere i dati in concreto richiesti.

L’Autorità ha osservato che il titolare aveva comunque compreso, sulla base dello scambio di e-mail, che l’interessato chiedeva anche i dati generati nel corso della procedura selettiva, oltre a quelli inseriti nel curriculum o nella piattaforma. La consegna completa è avvenuta soltanto dopo diversi solleciti e a distanza di circa 14 mesi dalla domanda originaria.

Difese del titolare e loro rigetto

La Società ha sostenuto di aver soddisfatto tempestivamente le richieste, che l’interessato le aveva più volte riformulate e che non fosse possibile trasmettere la batteria dei test perché documentazione riservata. Ha anche affermato che i dati erano accessibili nell’area personale riservata della piattaforma e che la produzione dei test avrebbe potuto esporre le società del gruppo a rischi di divulgazione di documentazione riservata e di alterazione delle prove.

Il Garante non ha accolto tali difese. Ha chiarito che la richiesta del reclamante non riguardava la trasmissione delle domande dei test, bensì i propri dati personali, e che la verifica dell’adempimento doveva concentrarsi sulla corrispondenza tra istanza e riscontro. Le argomentazioni sulla riservatezza della batteria dei test sono state quindi ritenute non decisive ai fini della valutazione dell’illecito.

Violazioni accertate e norme applicate

L’Autorità ha accertato la violazione di:

• art. 12, par. 3, GDPR, per il mancato rispetto del termine di riscontro e per la tardività della risposta completa;
• art. 15 GDPR, per l’omessa consegna iniziale di copia dei dati personali richiesti.

Il Garante ha pertanto dichiarato l’illiceità del trattamento effettuato da Ferrovie dello Stato Italiane S.p.A. nei termini descritti in motivazione, richiamando anche gli artt. 57, par. 1, lett. f), e 83 GDPR.

Esito finale e provvedimenti disposti

Pur non risultando applicata una sanzione pecuniaria nel testo fornito, il Garante ha preso atto che la Società aveva infine consegnato all’interessato i dati e le informazioni oggetto dell’istanza. In applicazione dei poteri correttivi, ha disposto:

• la pubblicazione del provvedimento sul sito internet del Garante, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento n. 1/2019.

Tutela giurisdizionale

Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.