Ordinanza ingiunzione o revoca n. 570 del 25/09/2025

Officine Serena s.r.l. – mancato e tardivo riscontro a un’istanza di accesso dell’ex dipendente

Il Garante per la protezione dei dati personali ha definito un reclamo proposto da un ex dipendente nei confronti di Green.mec. s.r.l., poi incorporata in Officine Serena s.r.l., relativo all’omesso e tardivo riscontro a una richiesta di accesso ai dati personali e alla documentazione connessa al rapporto di lavoro e al procedimento disciplinare/licenziamento.

Origine del reclamo e svolgimento dell’istruttoria

L’interessato aveva inviato, in data 22 agosto 2023, un’istanza ai sensi dell’art. 15 GDPR per ottenere:

• gli attestati dei corsi di formazione svolti durante il rapporto di lavoro;
• copia delle comunicazioni relative alla condotta tenuta presso il cantiere indicato, utilizzate come base per l’interruzione del rapporto.

Poiché la richiesta non aveva ricevuto risposta entro il termine di cui all’art. 12, par. 3, GDPR, l’interessato ha presentato reclamo al Garante il 24 settembre 2023.

Nel corso dell’istruttoria la società ha dichiarato di voler adempiere e ha trasmesso il registro dei trattamenti ex art. 30 GDPR e l’informativa ex art. 13 GDPR. Tuttavia, dai successivi riscontri è emerso che la documentazione inviata all’interessato consisteva soltanto in due attestati formativi, senza la restante documentazione richiesta. Anche dopo l’avvio del procedimento sanzionatorio, la società ha prodotto ulteriore documentazione, ma l’Autorità ha rilevato che parte dei documenti relativi al procedimento disciplinare non risultavano comunque consegnati.

Violazioni accertate

Il Garante ha ritenuto integrata la violazione di:

• art. 15 GDPR, perché il titolare non ha fornito una copia completa dei dati personali e delle informazioni richieste dall’interessato;
• art. 12, par. 3, GDPR, perché il riscontro è stato reso soltanto dopo l’intervento dell’Autorità e comunque ben oltre il termine di un mese;
• art. 12, par. 4, GDPR, poiché, in caso di mancato accoglimento totale dell’istanza, il titolare avrebbe dovuto indicare i motivi dell’inottemperanza e informare l’interessato della possibilità di proporre reclamo.

L’Autorità ha osservato che il diritto di accesso copre anche le categorie di dati trattati e, ove i dati non siano raccolti presso l’interessato, le informazioni disponibili sulla loro origine. Nel caso esaminato, tali informazioni non risultavano adeguatamente fornite.

Effetti della fusione societaria

Green.mec. s.r.l. risultava cancellata a seguito di fusione per incorporazione in Officine Serena s.r.l. Il provvedimento è stato quindi adottato nei confronti della società incorporante, che subentra nei rapporti attivi e passivi della incorporata.

Valutazione del Garante e misure ordinate

Alla luce dell’istruttoria, il Garante ha dichiarato fondato il reclamo e ha disposto, ai sensi dell’art. 58, par. 2, lett. c), GDPR, di soddisfare le richieste dell’interessato, comunicando le informazioni già oggetto dell’istanza del 22 agosto 2023 entro 30 giorni dalla notifica del provvedimento, con contestuale comunicazione all’Autorità.

Sanzione amministrativa pecuniaria

Per la violazione degli artt. 12, par. 3, e 15 GDPR è stata applicata, ai sensi dell’art. 83 GDPR, una sanzione amministrativa pecuniaria di euro 1.000,00 nei confronti di Officine Serena s.r.l. Il Garante ha richiamato i criteri di cui all’art. 83, par. 2, tenendo conto in particolare:

• della natura, gravità e durata della violazione;
• della mancata consegna di parte della documentazione anche dopo l’avvio dell’istruttoria;
• della condotta poco collaborativa della società;
• delle condizioni economiche del contravventore risultanti dal bilancio 2024.

L’Autorità ha inoltre escluso che la violazione potesse essere considerata minore, richiamando il cons. 148 GDPR, e ha applicato il principio di cumulo di cui all’art. 83, par. 3, entro il massimo edittale previsto dall’art. 83, par. 5.

Pubblicazione, adempimenti e rimedi

Il provvedimento dispone:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito istituzionale;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È inoltre indicata la possibilità di opposizione innanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero. Il Garante richiede infine di comunicare le iniziative adottate per dare esecuzione al provvedimento e di fornire riscontro documentato entro 30 giorni, avvertendo che l’eventuale mancata risposta può comportare l’applicazione della sanzione di cui all’art. 83, par. 5, lett. e), GDPR.