[doc. web n. 10162944]

Provvedimento del 21 maggio 2025

Registro dei provvedimenti
n. 289 del 21 maggio 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Claudio Filippi, segretario generale reggente;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dal Sig. XX nei confronti di Bertazzoni S.p.A.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo nei confronti della Società e l’attività istruttoria.

Con reclamo del 24 giugno 2024, il Sig. XX ha lamentato presunte violazioni del Regolamento, da parte di Bertazzoni S.p.A. (di seguito, la Società), con particolare riferimento all’omesso riscontro all’esercizio del diritto di accesso dell’interessato ai propri dati personali trattati nell’ambito del rapporto di lavoro e segnatamente al “fascicolo personale integrale” nonché a “informazioni sui rischi specifici e sui possibili danni […] a cui è stato esposto, in relazione all’attività svolta nel periodo compreso tra il rientro dall’infortunio e l’episodio a cui si riferisce la contestazione disciplinare” datata 15/3/2024.

In particolare, con il reclamo è stato lamentato che, a fronte dell’esercizio del diritto di accesso da parte del reclamante mediante comunicazione effettuata con posta elettronica certificata, inviata in data 31/3/2024 all’indirizzo XX, la Società non avrebbe fornito alcuna risposta.

Ciò posto, con il reclamo è stato chiesto all’Autorità di ingiungere al titolare del trattamento di soddisfare le richieste di esercizio dei diritti “e/o di conformare i trattamenti alle disposizioni vigenti”.

L’Autorità ha avviato l’istruttoria preliminare, con nota del 14 ottobre 2024, contenente l’invito ad aderire alle richieste dell’interessato, ai sensi art. 15 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali.

La Società ha fornito riscontro alla richiesta rivolta dall’Ufficio, con nota del 21 novembre 2024, con la quale ha rappresentato che:

diversamente da quanto sostenuto dal reclamante, la Società ha fornito riscontro alla istanza di accesso, con nota del 5/4/2024, con la quale “il Direttore delle Risorse Umane […], proprio per poter esaudire la richiesta del lavoratore, faceva presente di avere riscontrato «alcune imprecisioni»” e, dopo averle elencate, ha chiesto al reclamante di inviare chiarimenti;

i chiarimenti richiesti con la nota del 5/4/2024 “non sono mai arrivati”, “di conseguenza [la Società] non ha esaudito la richiesta del [reclamante]”;

la Società “intende mettere a disposizione [del reclamante] il fascicolo personale integrale, escluse le asserite testimonianze «citate nel provvedimento», in realtà mai rilasciate in forma scritta”;

a Società “è disponibile a rilasciare anche le informazioni richieste dal [reclamante] al punto n. 2

della sua domanda, allorquando il medesimo abbia risposto alla domanda di chiarimenti di cui alla mail del 5/4/2024”.

Il reclamante, in riscontro ad una richiesta di chiarimenti formulata dall’Autorità, con nota del 2/12/2024, ha dichiarato, tra l’altro, che:

diversamente da quanto sostenuto dalla Società, con comunicazione Pec del 7 aprile 2024 (allegata in copia al riscontro) il reclamante ha fornito riscontro alla richiesta della Società di inviare “chiarimenti” relativi alla istanza di accesso;

“le «imprecisioni» nella denominazione delle postazioni indicate […] nell’istanza di accesso del 31/03/2024 […] sono dovute principalmente all’inesperienza del sottoscritto allo svolgimento del lavoro in questi nuovi compiti nei quali ero ancora in addestramento, e che la denominazione corretta delle postazioni a cui ero stato assegnato doveva essere ben nota all’azienda”;

in ogni caso “le «imprecisioni» contestate non avrebbero […] dovuto ostacolare l’ostensione del «fascicolo personale», ma neppure delle «informazioni sui rischi e possibili danni dei compiti a cui sono stato adibito» svolgendo un compito ripetitivo in catena di montaggio”.

La Società, riscontrando una richiesta di ulteriori chiarimenti rivolta dall’Autorità, con nota del 13/1/2025 ha dichiarato che:

dopo la comunicazione del Garante è stato verificato che “la Pec del 7/04/2024 è pervenuta alla Società ma, per motivi […] sconosciuti, non è stata trasmessa né al [Procuratore speciale] né al Responsabile delle Risorse Umane”;

“ritenuti comunque infondati tutti i motivi di doglianza esposti dal [reclamante] a far data dal 14.01.2025 metterà a disposizione del medesimo i documenti richiesti”;

“si precisa che sulla App aziendale che resta a disposizione del lavoratore fino a 500 giorni dopo la fine del rapporto di lavoro, ogni dipendente ha a disposizione una sezione denominata HRWindow con il dettaglio di tutti gli aspetti contrattuali ed economici (aumenti, scatti di anzianità, etc.)”.

2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e le deduzioni della Società.

Il 22 gennaio 2025, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione alla Società delle presunte violazioni del Regolamento riscontrate, con riferimento agli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento.

Con le memorie difensive inviate in data 11 febbraio 2025, la Società ha rappresentato che:

“la Società, così come espressamente riferito nella comunicazione al Garante del 13/01/2025, ha adempiuto ai propri obblighi in quanto con pec del 14/01/2025 che si allega […] ha inviato al [reclamante] quanto dallo stesso richiesto e cioè il fascicolo personale integrale e le informazioni sui rischi specifici di cui alle postazioni indicate nella pec del medesimo [reclamante] del 07/4/2024” (nota 11/2/2025, p. 4);

“La Società scrivente ha dunque risposto con la comunicazione del 13/01/2025 dando atto che per un disguido interno -le cui cause non erano state individuate- la precisazione fornita dal [reclamante] con pec del 07/4/2024 non era stata trasmessa né al Responsabile Risorse Umane […], né al Direttore Generale […] e riferendo che avrebbe messo a disposizione del [reclamante] i documenti «a far data dal 14/01/2025»” (nota cit., p. 4);

"Pertanto, preso atto -purtroppo solo a seguito della suddetta comunicazione del Garante del 16/12/2024- delle precisazioni fornite dal [reclamante] nella pec del 7/4/24, la Società, dopo avere effettuato le necessarie verifiche in merito e dopo avere valutato le postazioni lavorative dallo stesso [reclamante] ivi precisate, ha adempiuto con la massima rapidità possibile […] all’invio all’interessato del materiale richiesto” (nota cit., p. 5);

“Tra la conoscenza delle precisazioni rese [dal reclamante] (16/12/2024) e l’invio delle informazioni dallo stesso richieste a mezzo pec (14/1/2025, doc. n. 5) sono intercorsi 29 giorni, comprensivi peraltro delle festività natalizie e delle ferie aziendali, con chiusura anticipata dal 18/12/2024 sino al 7/1/2025” (nota cit., p. 5);

“Si contesta, pertanto, siccome non vera e ingiustamente punitiva nei confronti della Società esponente, l’affermazione di cui alla comunicazione del Garante del 22/1/2025, secondo la quale la Società “ha dichiarato di voler adempiere alle richieste di accesso sebbene allo stato non abbia fornito elementi dai quali emerga l’effettiva messa a disposizione del reclamante dei dati richiesti” (nota cit., p. 5);

“Il tempo intercorso tra la richiesta iniziale del lavoratore e l’invio della documentazione è infatti dipeso esclusivamente da un errore incolpevole, concretatosi nello “smarrimento” e nella mancata comunicazione della pec di chiarimenti [del reclamante] ai Responsabili Aziendali” (nota cit., p. 5);

“si rileva inoltre che la pec 05/04/2024 del Responsabile Risorse Umane […] di richiesta di chiarimenti [al reclamante], era stata inviata a quest’ultimo dall’indirizzo XX […]. Il [reclamante] avrebbe più correttamente dovuto inviare i propri chiarimenti all’indirizzo pec […] dal quale gli era pervenuta la richiesta, mentre […] la stessa è stata inviata all’indirizzo XX” (nota cit., p. 6);

“se i principi di correttezza, lealtà e buona fede valgono per il titolare del trattamento, valgono anche per il lavoratore nell’ambito del rapporto di lavoro. Si vuole dire che, attesa la mancata risposta alla pec del 7/4/2024 in cui forniva i chiarimenti richiestigli, il dipendente ben avrebbe potuto inviare un sollecito all’Azienda ovvero una semplice mail al Responsabile delle Risorse Umane (ufficio dal quale proveniva la richiesta di chiarimenti) riferendo che a fronte della pec del 7/4/24 non aveva ancora ricevuto quanto richiesto” (nota cit., p. 6);

il reclamante, invece, “ha atteso due mesi e si è quindi rivolto direttamente al Garante con reclamo del 24/6/2024” (nota cit., p. 6);

posto che nella istanza di accesso il reclamante “ha indicato svariate postazioni relativamente alle quali richiedeva le “Informazioni sui rischi specifici”, ma si trattava di indicazioni che non erano coerenti con le linee di lavoro esistenti e che non consentivano di individuare con certezza l’oggetto della richiesta” la Società “non avrebbe potuto rispondere con certezza alla richiesta del lavoratore” in assenza delle precisazioni richieste (nota cit., p. 7);

“La circostanza della mancanza di richieste di chiarimenti in merito al fascicolo personale, non pare rilevante. La richiesta originaria aveva carattere unitario e come tale è stata trattata. La ritenuta mancata risposta ai chiarimenti richiesti in ordine alle postazioni lavorative, inoltre, unitamente alla mancanza di qualsivoglia sollecito da parte del dipendente, ha indotto la Società a ritenere che la stessa non fosse più attuale. Anche perché […] il dipendente era stato nel frattempo licenziato con procedimento disciplinare iniziato il 21/5/2024. La richiesta del fascicolo personale, inoltre, era motivata dalla asserita intenzione di venire a conoscenza “degli atti istruttori per l’emanazione della contestazione e del provvedimento disciplinare (tra cui le testimonianze citate nel provvedimento stesso)” e cioè il provvedimento del 21/3/2024, preceduto dalla contestazione del 14/3/2024. Nel fascicolo personale non erano contenuti atti di indagine in quanto non erano state raccolte testimonianze scritte. La richiesta, pertanto, non si palesava, neppure per la Società, quale urgente o di una qualche utilità per il lavoratore” (nota cit., p. 8-9);

con riferimento, infine, agli elementi indicati dall’art. 83, par. 2, del Regolamento, la Società, ha tra l’altro rappresentato che: “non può che essere riconosciuto carattere meramente colposo [della] condotta Aziendale cagionata dall’errore nella gestione della mail di risposta del lavoratore, mai giunta a conoscenza dei Responsabili”; “la vicenda ha riguardato un solo lavoratore [e] lo stesso non ha subito alcun danno”; “la Società ha agito tempestivamente provvedendo a inviare quanto richiesto al lavoratore dopo 29 giorni dalla conoscenza dei chiarimenti del lavoratore” (nota cit., p. 11).

La Società ha chiesto pertanto all’Autorità l’archiviazione del procedimento o, in alternativa, di voler disporre l’audizione del Responsabile delle risorse umane, in relazione a due specifiche circostanze già ampiamente e specificamente rappresentate dalla Società nelle proprie memorie difensive (la mancata ricezione della Pec di chiarimenti inviata dal reclamante con Pec del 7/4/2024 e l’avvenuta conoscenza, da parte del responsabile delle risorse umane e del direttore generale della Società dell’invio della medesima Pec solo a seguito della comunicazione del Garante del 16/12/2024).

A seguito dell’invio di una nota di chiarimenti (del 3/4/2025) relativa alla funzione dell’audizione davanti al Garante, ai sensi dell’art. 13 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, la Società non ha inviato ulteriori memorie.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

3.1  Il quadro normativo applicabile.

In materia di esercizio dei diritti da parte dell’interessato, l’art. 15, par. 1 del Regolamento stabilisce che “L’interessato ha il diritto […] di ottenere l’accesso ai dati personali” nonché informazioni specifiche sul trattamento effettuato, anche con riferimento alle “categorie di dati personali”. In proposito “il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento […]” (v. art. 15, cit., par. 3).

Quanto alle specifiche modalità di riscontro alle richieste di esercizio dei diritti, ai sensi dell’art. 12 del Regolamento “il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”. Inoltre, il paragrafo 4 dell’art. 12 del Regolamento precisa che “se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”.

Inoltre il titolare del trattamento è altresì tenuto ad osservare i principi generali della materia, in particolare quello di correttezza dei trattamenti (art. 5, par. 1, lett. a) del Regolamento).

3.2 Esito dell’istruttoria. Violazione degli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento.

All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, risulta che la Società, in qualità di titolare, ha effettuato alcune operazioni di trattamento, riferite al reclamante, che risultano non conformi alla disciplina in materia di protezione dei dati personali.

In proposito, si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.
Nel merito, è emerso che il reclamante ha inviato, in data 31 marzo 2024, all’indirizzo Pec della Società (XX), un’istanza di accesso ad alcuni dati personali a sé riferiti trattati nell’ambito del rapporto di lavoro.

In particolare, l’istanza aveva ad oggetto i dati contenuti nel “fascicolo personale integrale, comprendente, tra l’altro, gli atti istruttori per l’emanazione della contestazione e del provvedimento disciplinare (tra cui le testimonianze citate nel provvedimento stesso)”, nonché ulteriori dati costituiti dai “rischi specifici” e i “possibili danni” cui il reclamante stesso sarebbe stato esposto in occasione dello svolgimento della sua attività lavorativa in un determinato periodo temporale indicato nell’istanza stessa (“nel periodo compreso tra il rientro dall’infortunio e l’episodio a cui si riferisce la contestazione disciplinare”), presso le postazioni lavorative e le linee produttive cui nell’occasione il reclamante era assegnato.

Il Direttore delle risorse umane della Società, in data 5 aprile 2024, ha fornito un primo riscontro interlocutorio, chiedendo al reclamante di fornire “chiarimenti” relativi alla esatta denominazione delle postazioni e linee produttive presso le quali aveva lavorato nel periodo indicato nella istanza di accesso.

Il reclamante, tempestivamente, con nota del 7 aprile 2024, inviata via Pec al medesimo indirizzo della precedente comunicazione trasmessa al datore di lavoro - e da questo riscontrata, sebbene in via esclusivamente interlocutoria -, ha fornito i chiarimenti richiesti, elencando per ciascuna giornata lavorativa la linea e la postazione occupate (v. nota del reclamante 2/12/2024).

La Società, tuttavia, tranne la prima nota interlocutoria del 5 aprile 2024, non ha provveduto a riscontrare l’istanza di accesso, né con riguardo alla richiesta relativa al fascicolo personale, né in relazione all’ulteriore richiesta, riferita a specifici dati riguardanti i rischi correlati all’attività svolta dal reclamante, in un periodo temporale determinato.

A tale ultimo proposito, la Società ha dichiarato che la nota contenente i chiarimenti forniti dal reclamante (il 7/4/2024), pur essendo stata ricevuta dagli uffici, a causa di un “disguido interno” o di uno “smarrimento”, non sarebbe stata trasmessa al procuratore speciale o al direttore delle risorse umane.

Solo a seguito del ricevimento della richiesta di informazioni da parte dell’Autorità (del 16/12/2024), la Società, avveduta delle precisazioni fornite dal reclamante, si è impegnata a fornire riscontro all’istanza “a far data dal” 14 gennaio 2025.

La motivazione fornita dalla Società nel corso del procedimento davanti all’Autorità per spiegare l’omesso riscontro alle richieste dell’interessato (ossia la sussistenza di “disguido interno”, senza peraltro indicare, in concreto, gli specifici elementi che avrebbero determinato il “disguido”), non è tuttavia idonea a far venire meno l’obbligo, posto in capo al titolare del trattamento, di rispondere alle istanze di esercizio dei diritti, approntando misure anche organizzative volte ad agevolarne la presentazione (v. art. 12, par. 2 del Regolamento).

Preso atto che la Società, per ragioni non chiarite, non si è avveduta della risposta fornita dal reclamante, pur essendo questa stata ricevuta dai propri sistemi di posta elettronica, non può essere accolto quanto dedotto nelle memorie difensive ossia che il reclamante “avrebbe più correttamente dovuto inviare i propri chiarimenti all’indirizzo pec […] dal quale gli era pervenuta la richiesta”, considerato che il reclamante ha utilizzato il medesimo indirizzo pec (XX) al quale aveva inviato l’istanza di accesso, in quel caso correttamente ricevuta dal datore di lavoro che, nella persona del responsabile delle risorse umane e aveva avanzato una richiesta di chiarimenti sui dati oggetto di accesso.

Il reclamante ha, pertanto, del tutto ragionevolmente, fatto affidamento sulla validità dell’indirizzo e-mail utilizzato in precedenza (v. sul punto le Guidelines 01/2022 on data subject rights - Right of access, EDPB, del 28 marzo 2023, hanno chiarito che il titolare non può richiedere un formato specifico per le istanze di esercizio del diritto di accesso né, in linea di principio, specifici requisiti che gli interessati debbano osservare nella scelta di un canale di comunicazione attraverso il quale entrano in contatto con il titolare del trattamento: v. punto 52).

Né può essere condiviso l’assunto, contenuto nelle memorie difensive della Società, secondo il quale il reclamante, dopo l’invio dei chiarimenti richiesti, non ricevendo la risposta attesa, avrebbe dovuto ulteriormente sollecitare la Società, in applicazione dei principi di correttezza e buona fede.

In primo luogo, il dipendente aveva una ragionevole aspettativa che i chiarimenti richiesti fossero stati ricevuti attraverso il canale utilizzato, così come in precedenza l’istanza di accesso.

Inoltre, come rilevato dalla stessa Società, il reclamante ha “atteso due mesi” prima di rivolgersi formalmente al Garante, concedendo al datore di lavoro un più ampio periodo di tempo - rispetto a quanto stabilito dalla disciplina in materia di protezione dei dati personali - prima di rivolgersi all’autorità di controllo.

In ogni caso, si rammenta che, in base al richiamato art. 12 del Regolamento, il titolare ha l’obbligo di fornire riscontro “senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta” di esercizio dei diritti, pertanto il reclamante non era tenuto ad effettuare alcun sollecito nei confronti del datore di lavoro.

Inoltre, proprio a mente di quanto stabilito dall’art. 12 del Regolamento, la Società avrebbe ben potuto fornire riscontro, senza ritardo, all’istanza di accedere al fascicolo personale, in relazione alla quale non sussisteva alcuna esigenza di richiedere chiarimenti all’interessato (come d’altra parte si era dichiarata disponibile a fare nel riscontro fornito all’Autorità il 21/11/2024).

Anche a tal proposito, non può essere accolto quanto sostenuto nelle memorie difensive, ossia che l’istanza avrebbe avuto un “carattere unitario” e che in ogni caso la (ritenuta) mancanza di risposta alla richiesta di chiarimenti del responsabile delle risorse umane, nonché alcune circostanze del caso concreto (sopravvenuto licenziamento del dipendente, assenza di “testimonianze scritte” raccolte nel corso del procedimento disciplinare) hanno fatto ritenere alla Società che l’istanza di accesso “non fosse più attuale” e non avesse “una qualche utilità per il lavoratore”.

In primo luogo, non spetta al titolare del trattamento valutare i motivi sottostanti alla richiesta di esercizio dei diritti, né l’interessato è tenuto a fornire spiegazioni relative alle ragioni della presentazione dell’istanza (v. sul punto EDPB, Guidelines 01/2022 on data subject rights - Right of access, 28 marzo 2023, punti 10 e 13).

In ogni caso, anche in applicazione del principio generale di correttezza che deve caratterizzare ogni operazione di trattamento di dati personali, in particolare nell’ambito del rapporto di lavoro (art. 5, par. 1, lett. a) del Regolamento), la Società avrebbe potuto e dovuto riscontrare la richiesta presentata dal reclamante (formalmente qualificata come atto di esercizio di uno dei diritti “ex artt. 15-22 del GDPR (UE/2016/679”), quantomeno in relazione ai dati contenuti nel fascicolo personale, tenuto anche conto che l’interessato era sottoposto a un procedimento disciplinare e aveva pertanto necessità di accedere ad ogni possibile elemento a propria difesa (come esplicitato nella richiesta di accesso).

Inoltre, con riguardo ai dati ulteriori oggetto di esercizio del diritto di accesso (“informazioni sui rischi specifici e sui possibili danni […] a cui è stato esposto, in relazione all’attività svolta nel periodo compreso tra il rientro dall’infortunio e l’episodio a cui si riferisce la contestazione disciplinare” del 15/3/2024”), la Società avrebbe potuto individuare, in base alla consultazione del registro dei turni di servizio, le postazioni e le linee assegnate al reclamante, nel periodo temporale indicato e in concreto utilizzate, anche in assenza delle specificazioni richieste in proposito al dipendente stesso, considerato che spetta al datore di lavoro l’organizzazione del lavoro e l’assegnazione delle mansioni ai prestatori d’opera.

Ciò, tenuto anche conto che in base all’art. 12, par. 2, del Regolamento il titolare del trattamento ha l'obbligo di agevolare l'esercizio dei diritti dell'interessato.

Da ultimo, si prende atto che la Società, in data 14 gennaio 2025, nel corso del procedimento davanti al Garante, ha inviato al reclamante il riscontro alla richiesta di accesso presentata il 31 marzo 2024.

La Società, pertanto, nei termini sopra descritti, dal 31 marzo 2024 al 14 gennaio 2025, non ha dunque ottemperato all’obbligo di fornire riscontro all’interessato a seguito dell’esercizio di uno dei diritti previsti dal Regolamento - nel caso di specie il diritto di accesso ai sensi dell’art. 15 -, nei termini e con le modalità prescritte dall’art. 12 del Regolamento. La condotta è altresì avvenuta in violazione del principio generale di correttezza stabilito dall’art. 5, par. 1, lett. a) del Regolamento, che costituisce uno dei principi generali in materia anche con particolare riguardo all’ambito del rapporto di lavoro (art. 5, par. 1, lett. a) del Regolamento).

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato dalla Società e segnatamente l’omesso riscontro alla richiesta di accesso ai dati personali del reclamante avanzata con istanza del 31 marzo 2024, fino alla data del 14 gennaio 2025, nel corso del procedimento davanti al Garante, risulta infatti illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento.

La violazione, accertata nei termini di cui in motivazione, non può essere considerata “minore”, tenuto conto della natura delle plurime violazioni accertate, che hanno riguardato i principi generali del trattamento e le disposizioni in materia di esercizio dei diritti.

L’Autorità ha altresì tenuto conto del livello medio di gravità della violazione, alla luce di tutti i fattori rilevanti nel caso concreto, e, in particolare, la natura e la gravità della violazione, tenendo in considerazione la natura, l'oggetto o la finalità del trattamento in questione nonché il numero di interessati lesi dal danno e il livello del danno da essi subito.

L’Autorità ha altresì preso in considerazione i criteri relativi al carattere doloso o colposo della violazione e le categorie di dati personali interessate dalla violazione nonché la maniera in cui l'autorità di controllo ha preso conoscenza della violazione (v. art. 83, par. 2 e Considerando 148 del Regolamento), nonché le circostanze attenuanti rilevanti nel caso concreto.

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2 del Regolamento si dispone una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i) Regolamento).

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

All’esito del procedimento, risulta quindi che Bertazzoni S.p.A. ha violato gli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento.

Per la violazione delle predette disposizioni è prevista l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a) e b) del Regolamento, mediante adozione di un’ordinanza ingiunzione (art. 18, l. 24.11.1981, n. 689).

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere da Bertazzoni S.p.A., di cui è stata accertata l’illiceità, nei termini sopra esposti

Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5.

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini della applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, ritenuto che il livello di gravità della violazione sia medio, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

a) in relazione alla natura della violazione, questa ha riguardato fattispecie punite più severamente ai sensi dell’art. 83, par. 5 del Regolamento in ragione dell’interesse protetto dalle norme violate (principi generali del trattamento e disposizioni relative all’esercizio dei diritti);

b) in relazione alla durata della violazione, questa si è protratta per circa dieci mesi;

c) in relazione alla gravità della violazione, è stata presa in considerazione la natura del trattamento che ha riguardato trattamenti effettuati nell’ambito del rapporto di lavoro, caratterizzato da uno squilibrio tra il titolare e gli interessati; nel caso specifico è stato preso in particolare in considerazione il fatto che l’interessato era destinatario di un procedimento disciplinare;

d) in relazione al numero di interessati concretamente coinvolti, è stata presa in considerazione la circostanza che la violazione ha riguardato un interessato;

e) con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare, sono stati presi in considerazione gli elementi oggettivi della condotta della Società e il grado di responsabilità della stessa che ha violato l’obbligo di diligenza previsto dall’ordinamento e non si è conformata alla disciplina in materia di protezione dei dati, relativamente a una pluralità di disposizioni;

f) come fattore attenuante, a favore della Società, si è tenuto conto della cooperazione con l’Autorità di controllo, in particolare dell’invio al reclamante, nel corso del procedimento, dei dati personali oggetto della richiesta di accesso.

Si ritiene inoltre che assumano rilevanza, nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento) le condizioni economiche del contravventore, determinate in base ai ricavi conseguiti dalla Società con riferimento al bilancio ordinario d’esercizio per l’anno 2023, ultimo disponibile.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene pertanto di applicare, nei confronti di Bertazzoni S.p.A., la sanzione amministrativa del pagamento di una somma pari ad euro 20.000 (ventimila).

In tale quadro si ritiene che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito Internet del Garante.

Ciò in considerazione della tipologia delle violazioni accertate che hanno riguardato l’esercizio del diritto di accesso da parte dell’interessato, preordinato ad acquisire consapevolezza del trattamento effettuato dal titolare e verificarne la liceità (v. cons. 63 del Regolamento), nonché i principi generali del trattamento.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f) e 83 del Regolamento, rileva l’illiceità del trattamento effettuato da Bertazzoni S.p.A., in persona del legale rappresentante, con sede legale in Via Palazzina, 6/8, Guastalla (RE), C.F. 00140710351, nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento;

ORDINA

a Bertazzoni S.p.A. ai sensi dell’art. 58, par. 2, lett. i) del Regolamento, di pagare la somma di euro 20.000 (ventimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi alla medesima Società di pagare la predetta somma di 20.000 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato - di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1.9.2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice);

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 17 del Regolamento n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Catanzaro, 21 maggio 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE REGGENTE
Filippi