Prescrizioni del Garante n. 84 del 13/02/2025

SEKI s.r.l. – riscontro inidoneo a istanza di accesso di ex dipendente

Il Garante per la protezione dei dati personali ha esaminato il reclamo di una ex dipendente di SEKI s.r.l. relativo al riscontro ritenuto insufficiente e non tempestivo a un'istanza di accesso ai dati personali ex art. 15 GDPR, presentata anche per verificare la gestione dell'account di posta elettronica aziendale dopo le dimissioni.

Origine del reclamo e richieste dell'interessata

La reclamante ha riferito di aver notato che l'account di posta elettronica aziendale individualizzato, assegnatole nel corso del rapporto di lavoro, risultava ancora raggiungibile dopo le dimissioni. Per verificare l'effettiva disattivazione dell'account e per esercitare i propri diritti, ha chiesto alla società:

• copia della privacy policy aziendale sulla posta elettronica;
• accesso a tutti i dati contenuti nell'account di posta elettronica nominativa aziendale;
• copia del contratto di assunzione;
• copie delle buste paga dalla data di assunzione al 31/12/2016.

Riscontro della società e vicenda dell'account di posta elettronica

SEKI s.r.l. ha sostenuto di aver disattivato l'account aziendale l'11 maggio 2023, cioè otto giorni dopo la cessazione dell'attività lavorativa, precisando che nel periodo successivo alle dimissioni non era stato consentito accesso da parte di terzi. In fase iniziale la società ha negato la possibilità di dare seguito alla richiesta di accesso ai dati perché l'indirizzo non era più attivo. Successivamente, in sede procedimentale, ha affermato che parte della documentazione richiesta era già nella disponibilità dell'interessata o consultabile su piattaforma aziendale e che i cedolini anteriori al 2014 non erano più conservati per decorso del termine decennale ex art. 2220 c.c.

Istruttoria del Garante e avvio del procedimento

A seguito del reclamo, l'Ufficio ha chiesto chiarimenti alla società. In esito alle valutazioni istruttorie, il 12 febbraio 2024 è stato avviato il procedimento per l'adozione di provvedimenti correttivi e sanzionatori ai sensi dell'art. 166, comma 5, del Codice, contestando la violazione degli artt. 12, par. 3, e 15 GDPR.

Valutazioni sul diritto di accesso ex art. 15 GDPR

Il Garante ha richiamato il principio secondo cui il diritto di accesso consente all'interessato di ottenere conferma del trattamento, copia dei dati personali e informazioni sul trattamento svolto, al fine di verificarne la liceità. L'Autorità ha ricordato che:

• l'art. 15 GDPR riguarda i dati personali disponibili al momento della risposta, ma non esclude il diritto di conoscere i dati trattati in passato;
• i titolari non sono tenuti a fornire dati che non detengono più;
• il fatto che una documentazione sia già stata consegnata o sia consultabile dall'interessato non elimina l'obbligo di fornire un riscontro idoneo all'istanza.

Sono state richiamate anche le Linee guida EDPB sul diritto di accesso e le precedenti indicazioni del Garante in materia di posta elettronica e internet.

Esito del procedimento

All'esito dell'istruttoria, il Garante ha ritenuto che il primo riscontro della società fosse parziale e non idoneo a soddisfare l'istanza ex art. 15 GDPR. Solo nel corso del procedimento, e precisamente il 27 febbraio 2024, SEKI s.r.l. ha messo a disposizione della reclamante la documentazione richiesta, anche tramite la piattaforma aziendale e mediante PEC.

L'Autorità ha quindi dichiarato illecito il trattamento, limitatamente al riscontro inidoneo e tardivo, per violazione degli artt. 12, par. 3, e 15 GDPR.

Misure finali e adempimenti disposti

Il provvedimento dispone:

• la pubblicazione del provvedimento sul sito web del Garante;
• l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità.

Non risulta irrogata una sanzione pecuniaria. È inoltre indicata la possibilità di opposizione dinanzi all'autorità giudiziaria ordinaria nei termini di legge.