Prescrizioni del Garante n. 677 del 14/11/2024

Parafarmacia Eritrea s.r.l. – ritardo nel riscontro a istanza di accesso ex art. 15 GDPR

Il Garante per la protezione dei dati personali ha esaminato il reclamo di una ex dipendente nei confronti di Parafarmacia Eritrea s.r.l., relativo al mancato e tardivo riscontro a un’istanza di accesso ai dati personali. Il procedimento riguarda, in particolare, i dati di presenza e di entrata/uscita rilevati mediante badge magnetico nel corso del rapporto di lavoro.

Fatto e avvio dell’istruttoria

La reclamante aveva presentato alla società un’istanza ai sensi dell’art. 15 GDPR, chiedendo di ottenere copia dei propri dati personali, con riferimento specifico al registro presenze e alle rilevazioni di badge. L’istanza era stata notificata via PEC il 30 ottobre 2023. La società aveva risposto con nota dell’8 novembre 2023, dichiarando di aver preso in carico la richiesta e di stare predisponendo la documentazione necessaria, con futura presa visione presso il punto vendita. La reclamante aveva chiesto l’invio via PEC, ma non aveva ricevuto ulteriori riscontri.

A seguito del reclamo, il Garante ha invitato la società a fornire osservazioni e ad aderire all’istanza dell’interessata. Solo successivamente la società ha dichiarato di non poter recuperare i report dal gestionale perché i dati venivano cancellati mensilmente, salvo poi affermare di aver richiesto al fornitore del software una query per recuperare una parte delle informazioni. Il materiale è stato infine trasmesso all’Autorità.

Difese della società

La società ha sostenuto di essersi attivata tempestivamente e di aver già fornito un primo riscontro entro il termine di un mese, ritenendo la richiesta complessa e tecnicamente difficoltosa. Ha affermato che la comunicazione dell’8 novembre 2023 doveva essere letta come riscontro interlocutorio e che, in ragione della complessità, avrebbe avuto complessivamente tre mesi per rispondere. Ha inoltre evidenziato che i dati richiesti erano stati poi recuperati dal software house e trasmessi, sostenendo di aver soddisfatto la domanda dell’interessata.

Valutazioni del Garante sulle violazioni

Il Garante ha ritenuto che la società non abbia dato un valido riscontro all’istanza nei termini previsti dal GDPR. La nota dell’8 novembre 2023 non è stata considerata una proroga ai sensi dell’art. 12, par. 3, GDPR, poiché non conteneva l’esplicita informazione all’interessata della proroga, né la motivazione del ritardo. Inoltre, il riscontro effettivo è intervenuto solo dopo l’avvio dell’istruttoria, quindi circa due mesi oltre il termine previsto.

L’Autorità ha quindi accertato la violazione:

• dell’art. 12, par. 3, GDPR, per mancato rispetto delle regole sui tempi e sulle modalità del riscontro;
• dell’art. 15 GDPR, per mancata e tardiva soddisfazione del diritto di accesso;
• dell’art. 5, par. 1, lett. a), GDPR, in relazione ai principi di trasparenza e correttezza.

È stato inoltre richiamato l’art. 168 del Codice privacy, con riferimento alla falsità nelle dichiarazioni al Garante, pur senza che il provvedimento si sviluppi in una contestazione autonoma su tale profilo.

Qualificazione della violazione e misura adottata

Pur riconoscendo l’illiceità del trattamento, il Garante ha ritenuto il caso riconducibile a una “violazione minore” ai sensi dell’art. 83, par. 2, GDPR e del considerando 148. La valutazione ha tenuto conto del carattere colposo della condotta, dell’assenza di precedenti pertinenti, del primo riscontro reso in tempi brevi e della successiva collaborazione nel recupero dei dati presso il fornitore del software.

In applicazione dell’art. 58, par. 2, lett. b), GDPR, l’Autorità ha quindi adottato un ammonimento nei confronti di Parafarmacia Eritrea s.r.l., senza irrogare una sanzione pecuniaria.

Dispositivo e conseguenze

Il Garante ha dichiarato l’illiceità del trattamento effettuato da Parafarmacia Eritrea s.r.l. con riferimento alla violazione degli artt. 12, par. 3, e 15 GDPR, e ha ammonito la società quale titolare del trattamento. È stata inoltre disposta l’annotazione nel registro interno delle violazioni e delle misure adottate, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Avverso il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.