Ordinanza ingiunzione o revoca n. 461 del 18/06/2026

Union Facility s.r.l. - mancato riscontro a un’istanza di accesso ex art. 15 GDPR di una ex dipendente

Il Garante ha esaminato il reclamo di una ex dipendente contro Union Facility s.r.l. per il mancato riscontro a una richiesta di accesso ai dati personali trattati nel corso del rapporto di lavoro. Il procedimento trae origine dall’omessa risposta nei termini di cui all’art. 12, par. 3, GDPR e si conclude con la dichiarazione di illiceità del trattamento limitatamente al ritardo nel riscontro.

Origine del reclamo e avvio dell’istruttoria

La reclamante aveva presentato il 28/07/2023, tramite PEC, un’istanza espressamente qualificata come richiesta di accesso ai sensi dell’art. 15 GDPR, volta a ottenere copia dei dati personali trattati dalla società ex datrice di lavoro, con particolare riferimento agli attestati di formazione. L’istanza era stata regolarmente notificata ma non aveva ricevuto risposta entro il termine di un mese previsto dall’art. 12, par. 3, GDPR.

A seguito del reclamo ex art. 77 GDPR, l’Ufficio ha avviato l’istruttoria con nota del 26/03/2024. La società ha riscontrato il 05/04/2024, trasmettendo un attestato di formazione e sostenendo di non essere più responsabile dei dati della interessata per effetto della cessazione del rapporto di lavoro.

Difese del titolare

Nelle memorie difensive la società ha sostenuto che la richiesta non sarebbe stata una vera istanza di accesso ex art. 15 GDPR, in quanto riferita alla consegna di uno specifico documento e non a dati personali. Ha inoltre rappresentato di essersi dotata, dopo l’avvio del procedimento, di una procedura interna per la gestione delle istanze sui diritti riconosciuti dal GDPR.

Ha anche eccepito che la contestazione sarebbe stata tardiva, assumendo che il termine per la notifica delle violazioni dovesse decorrere dal 05/04/2024, data del riscontro fornito all’Autorità.

Valutazione del Garante sull’ambito del diritto di accesso

Il Garante ha ritenuto infondate le difese del titolare. Ha osservato che l’istanza richiamava espressamente l’art. 15 GDPR e chiedeva sia le informazioni di cui al par. 1 sia la copia dei dati ai sensi del par. 3. Inoltre, ha chiarito che gli attestati dei corsi di formazione contengono dati personali del lavoratore e sono accessibili ai sensi dell’art. 15 GDPR.

L’Autorità ha rilevato che nell’istanza non vi era un riferimento limitato al solo documento attestato di formazione, ma una richiesta più ampia relativa a tutti i dati trattati nel rapporto di lavoro. È stato anche precisato che la cessazione del rapporto di lavoro non fa venir meno gli obblighi del titolare rispetto a una richiesta di accesso già formulata.

Violazioni accertate e accertamento del momento rilevante

All’esito dell’istruttoria, il Garante ha confermato la violazione degli artt. 12, par. 3, e 15 GDPR, in quanto la società non aveva fornito alcun riscontro nei termini e aveva soddisfatto la richiesta soltanto dopo l’apertura del procedimento. Il fatto che il titolare abbia poi consegnato un solo documento non è stato ritenuto sufficiente a escludere la violazione, poiché il riscontro è stato tardivo e non spontaneo.

L’Autorità ha respinto anche l’eccezione sulla decorrenza del termine per la contestazione, richiamando il principio secondo cui il termine per l’accertamento decorre dal momento in cui le verifiche preliminari consentono di tradurre la constatazione dei fatti in un vero e proprio accertamento, non dalla mera acquisizione di un riscontro iniziale.

Esito del procedimento e misure disposte

Il Garante ha dichiarato l’illiceità del trattamento effettuato da Union Facility s.r.l. nei limiti del mancato tempestivo riscontro all’istanza di accesso, rilevando che nel corso del procedimento la società ha comunque aderito alla richiesta della interessata.

Non risultano irrogate sanzioni pecuniarie nel testo esaminato. Sono state invece disposte:

• la pubblicazione del provvedimento sul sito internet del Garante, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del Regolamento n. 1/2019.

Norme richiamate

Nel provvedimento sono richiamati, tra gli altri:

• art. 12, par. 3, GDPR;
• art. 15 GDPR;
• art. 57, par. 1, lett. f), GDPR;
• art. 58, par. 2, GDPR;
• art. 77 GDPR;
• art. 78 GDPR;
• art. 83 GDPR;
• art. 166, comma 5, Codice privacy;
• art. 154-bis, comma 3, Codice privacy.

Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.