Ordinanza ingiunzione o revoca n. 41 del 24/01/2024

2 Emme.ci Service s.r.l. - uso illecito dei dati nei bollettari aziendali e mancato riscontro a istanza di accesso

Il provvedimento riguarda 2 Emme.ci Service s.r.l. ed è stato adottato a seguito di due reclami presentati da ex dipendenti ai sensi dell'art. 77 GDPR. L'Autorità ha esaminato il trattamento di dati personali effettuato nei bollettari aziendali dopo la cessazione del rapporto di lavoro, nonché la gestione delle istanze di accesso e cancellazione relative a documentazione formativa.

Origine del procedimento e attività istruttoria

I reclamanti hanno lamentato:

• l'utilizzo, dopo la fine del rapporto di lavoro, di bollettari aziendali recanti i loro nominativi;
• la presunta permanenza attiva di un account di posta elettronica per mesi dopo la cessazione;
• la mancata consegna di attestati di frequenza relativi a un corso base PLE.

Nel corso dell'istruttoria la società ha replicato sostenendo, tra l'altro, di non trattare più i dati personali dei reclamanti, di avere eliminato i bollettari residui, di non essere in possesso dell'attestato richiesto e di avere già risposto in precedenza ad altre istanze. Ha inoltre cercato di ricondurre la questione a una conciliazione intervenuta in sede di Ispettorato territoriale del lavoro, ma il Garante ha ritenuto tale circostanza non decisiva, osservando che le doglianze riguardavano fatti successivi o comunque protrattisi oltre la conciliazione.

Trattamento dei dati nei bollettari aziendali

Il Garante ha accertato che la società ha continuato a utilizzare bollettari contenenti l'iniziale del nome e il cognome dei reclamanti nell'intestazione e nei recapiti dei tecnici anche dopo la cessazione del rapporto di lavoro. I dati trattati erano dati comuni e il loro impiego non risultava sorretto da una base giuridica idonea ai sensi dell'art. 6 GDPR, con conseguente violazione del principio di liceità di cui all'art. 5, par. 1, lett. a), GDPR.

L'Autorità ha rilevato anche la violazione del principio di correttezza, nonché degli artt. 12 e 17 GDPR, perché:

• a fronte dell'istanza di cancellazione del 28 dicembre 2020, la società aveva promesso di eliminare i vecchi bollettari;
• tuttavia, dalla documentazione in atti è emerso che tali bollettari sono stati ancora utilizzati in date successive, fino a un modulo riferito a un ordine del 9 marzo 2023.

Diritto di accesso agli attestati di formazione

L'ulteriore violazione riguarda il diritto di accesso ex art. 15 GDPR, connesso all'istanza dei reclamanti relativa agli attestati del corso PLE. Il Garante ha precisato che, anche quando il titolare ritenga di non poter soddisfare la richiesta perché non possiede il documento o lo ritiene privo di utilità, deve comunque rispondere entro il termine previsto dall'art. 12 GDPR, indicando i motivi dell'inottemperanza e la possibilità di presentare reclamo o ricorso.

La società non ha fornito un riscontro idoneo alla richiesta del 28 aprile 2021, reiterata l'8 maggio 2021. I precedenti riscontri del 2020 non sono stati ritenuti sufficienti, perché riferiti ad altre richieste e privi di una chiara risposta all'istanza successiva. Il Garante ha inoltre ricordato che:

• il GDPR non impone requisiti formali particolari per la domanda di accesso;
• l'istanza può essere presentata anche tramite un avvocato o altro terzo autorizzato;
• non è necessario che sia espressamente citato l'art. 15 GDPR, se il contenuto della richiesta è chiaro.

Profili archiviati: account di posta elettronica

Per il profilo relativo all'account di posta elettronica, il Garante non ha riscontrato elementi sufficienti per affermare una violazione della disciplina privacy. Di conseguenza, su questo aspetto i reclami sono stati archiviati.

Valutazione finale e misure adottate

L'Autorità ha concluso che la società ha tenuto una condotta illecita in relazione:

• al trattamento dei dati dei reclamanti nei bollettari aziendali dopo la cessazione del rapporto;
• al mancato riscontro all'istanza di accesso agli attestati di formazione.

Non sono state adottate ulteriori misure correttive, perché la condotta aveva già esaurito i propri effetti: la società aveva dichiarato di avere adottato nuovi bollettari privi dei dati dei reclamanti e di non essere in possesso degli attestati richiesti.

Sanzione amministrativa e pubblicazione

Ai fini della sanzione, il Garante ha considerato le due condotte come distinte e ha applicato:

• euro 1.000 per la violazione relativa ai bollettari;
• euro 1.000 per la violazione relativa al diritto di accesso;
• totale complessivo: euro 2.000.

Nella quantificazione sono stati richiamati i criteri dell'art. 83 GDPR, in particolare natura, gravità e durata della violazione, grado di responsabilità, assenza di precedenti e condizioni economiche del contravventore. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante.

Dispositivo

Il Garante ha:

• dichiarato l'illiceità del trattamento effettuato da 2 Emme.ci Service s.r.l. ai sensi dell'art. 143 Codice privacy, per violazione degli artt. 5, par. 1, lett. a), 6, 12, 15 e 17 GDPR;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 2.000;
• ingiunto il pagamento entro 30 giorni dalla notifica;
• disposto la pubblicazione del provvedimento sul sito istituzionale;
• indicato la possibilità di opposizione all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR e della normativa processuale richiamata.