Prescrizioni del Garante n. 250 del 29/04/2025

Monte Titoli S.p.A. – ritardo nel riscontro a una richiesta di accesso ai dati personali nel rapporto di lavoro

Il provvedimento riguarda Monte Titoli S.p.A., destinataria di un reclamo per il mancato tempestivo riscontro a un’istanza di accesso ai dati personali presentata da un dipendente/interessato nell’ambito del rapporto di lavoro. L’istruttoria prende avvio a seguito della segnalazione dell’interessato e si conclude con la rilevazione dell’illiceità del trattamento per violazione degli artt. 12, par. 3, e 15 GDPR.

Origine del reclamo e richieste dell’interessato

Il reclamante aveva inizialmente chiesto copia dei propri dati personali trattati dalla società. Successivamente, dopo un primo riscontro ritenuto non soddisfacente, aveva formulato un’ulteriore richiesta per ottenere anche informazioni e documentazione relative a:

• corsi di formazione frequentati;
• valutazioni di performance e relativi ricorsi;
• informazioni raccolte all’assunzione e durante il rapporto di lavoro;
• informazioni riferite ai ruoli di RSA e RLS.

A fronte di tali richieste e di numerosi solleciti, la società non aveva fornito un riscontro completo e tempestivo, limitandosi inizialmente a rappresentare difficoltà nel reperire la documentazione.

Svolgimento dell’istruttoria

Dopo l’invito ad aderire formulato dall’Autorità, Monte Titoli S.p.A. ha trasmesso al reclamante, in data 18/04/2023, una nota di riscontro con l’indicazione delle tipologie di dati trattati e con allegazione di tutta la documentazione richiesta in una cartella .zip. In sede difensiva la società ha sostenuto che la richiesta fosse inizialmente generica e che il ritardo derivasse da un errore umano e da un contesto organizzativo complesso, dovuto anche alla trasformazione societaria seguita all’acquisizione da parte del gruppo XX.

Nel corso dell’audizione del 25/02/2025, la società ha illustrato ulteriori misure organizzative adottate per migliorare la gestione delle istanze di esercizio dei diritti e prevenire il ripetersi di analoghe criticità.

Valutazioni del Garante

Il Garante ha ritenuto che l’accesso ai dati e alle informazioni richieste sia stato effettivamente soddisfatto solo il 18/04/2023, cioè quasi un anno dopo la prima richiesta e soltanto dopo l’intervento dell’Autorità. Ha evidenziato che, dopo i solleciti dell’interessato dell’11/10/2022 e del 09/11/2022, la società non aveva fornito alcuna informazione, neppure sulle eventuali difficoltà nel reperimento dei dati.

L’Autorità ha quindi richiamato l’art. 12, par. 3, GDPR, secondo cui il titolare deve fornire riscontro senza ingiustificato ritardo e comunque entro un mese, con possibilità di proroga di ulteriori due mesi solo in presenza di complessità o numero elevato di richieste. È stato altresì richiamato il par. 5.3, n. 162, delle Linee guida EDPB sui diritti dell’interessato n. 1/2022, che sottolinea come la proroga sia eccezionale e non debba essere abusata. Nel caso concreto, neppure la proroga ulteriore è risultata rispettata.

Esito del procedimento e provvedimenti adottati

Il Garante ha quindi confermato la violazione degli artt. 12, par. 3, e 15 GDPR e ha rilevato l’illiceità del trattamento effettuato da Monte Titoli S.p.A. in relazione al mancato riscontro tempestivo all’istanza di accesso. Contestualmente ha preso atto che la società, nel corso del procedimento, aveva comunque aderito all’istanza e trasmesso la documentazione in suo possesso.

Nel dispositivo non risulta applicata una sanzione pecuniaria. Sono invece disposte:

• la pubblicazione del provvedimento sul sito web dell’Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Rilievi pratici

Il provvedimento conferma che, in materia di accesso ai dati personali, il ritardo nel riscontro può integrare violazione autonoma anche quando il titolare, prima o poi, consegni la documentazione richiesta. Per i titolari del trattamento, specie nei contesti aziendali complessi e nel rapporto di lavoro, emerge la necessità di:

• strutturare procedure interne per la gestione delle richieste ex artt. 12-15 GDPR;
• monitorare i termini di risposta e le eventuali proroghe;
• documentare tempestivamente eventuali difficoltà nel reperimento dei dati;
• evitare che sovraccarichi organizzativi o errori di smistamento determinino il mancato riscontro agli interessati.