[doc. web n. 10065911]

Provvedimento del 12 settembre 20204

Registro dei provvedimenti
n. 550 del 12 settembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dal sig. XX in data 02/05/2022, ai sensi dell’art. 77 del Regolamento con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di Top Quality Corporation S.r.l.s.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. Il reclamo nei confronti della Società e l’avvio dell’attività istruttoria.

Con il reclamo presentato in data 02/05/2022 e regolarizzato in data 05/07/2022, il sig. XX, tramite l’ufficio legale della XX, ha rappresentato a questa Autorità di aver presentato, in data 07/04/2022, un’istanza di esercizio dei diritti ai sensi dell’art. 15 del Regolamento, nei confronti di Top Quality Corporation s.r.l.s. (di seguito “la Società”), al fine di accedere “a tutti i dati personali inerenti la persona afferenti al rapporto di lavoro intrattenuto con l’azienda, in particolare i cedolini paga (…)”.

Il reclamante rappresentava che, a fronte di tale istanza, regolarmente notificata all’indirizzo pec della Società non riceveva alcun riscontro nei termini previsti dall’art. 12, par. 3, del Regolamento.
Pertanto, con la nota datata 14/11/2022, l’Autorità avviava l’istruttoria preliminare, invitando la Società a fornire osservazioni in ordine a quanto lamentato e ad aderire alle richieste del reclamante.

Considerato che tale richiesta, regolarmente notificata all’indirizzo pec della Società, non riceveva riscontro, la stessa veniva reiterata in data 16/01/2023, ai sensi dell’art. 157 del Codice.

A fronte del mancato riscontro anche a tale ultima richiesta di informazioni, l’Ufficio delegava il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza a procedere alla notifica di una nuova richiesta di informazioni, anch’essa formulata ai sensi dell’art. 157 del Codice, e dell’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, in relazione alla violazione dell’art. 157 del Codice stesso (nota del 13/04/2023).

Entrambi gli atti venivano notificati alla Società, in data 31/05/2023, come risulta dal verbale di operazioni compiute redatto dal Nucleo in pari data. 

In occasione dell’accertamento ispettivo, la Società dichiarava che:

- “il Sig. XX, dopo un prolungato periodo di assenza, ha presentato dimissioni volontarie a questa Società. A seguito delle dimissioni ho fornito tutta la documentazione che mi è stata chiesta dallo stesso, tramite messagistica di whatsapp”;

- “Nello specifico, in data 07 marzo 2022 ho inviato i dati della società, richiesti per presentare le dimissioni. In data 09 marzo 2022, su richiesta gli ho inviato la lettera di assunzione e il contratto. In data 16 marzo 2022, mi è stato chiesto di fornire la busta paga che gli ho consegnato a mano il giorno successivo presso la mia abitazione”;

- “Per quanto riguarda il mancato riscontro alle due richieste di informazioni del Garante per la protezione dei dati personali, notificatemi via pec, all’epoca avevo dato mandato di analizzare la cosa al mio Commercialista. Di concerto con lo stesso, avendo già fornita la documentazione al reclamante, già in data precedente all’esposto, abbiamo ritenuto non necessario dare riscontro (…)”.

Per quanto sopra, l’Ufficio provvedeva a notificare alla Società l’atto di avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83 del Regolamento, in conformità a quanto previsto dall’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3, e 15 del Regolamento (nota dell’11/09/2023).

La Società, nonostante sia stata informata dall’Ufficio della possibilità di produrre scritti difensivi o documenti in relazione ai procedimenti sanzionatori a suo carico, non ha fatto pervenire alcuna documentazione al riguardo. 

2. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi.

L’esito dell’esame della documentazione prodotta e delle dichiarazioni rese dalla parte nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice, risulta accertato quanto segue.

In primo luogo, occorre rilevare che la Società ha omesso di fornire riscontro alla richiesta di informazioni formulata dall’Autorità, ai sensi dell’art. 157 del Codice. L’art. 166, comma 2, del Codice stabilisce che la violazione dell’art. 157 del Codice è soggetta alla sanzione amministrativa di cui all’art.83, par. 5, del Regolamento.

In particolare, la nota dell’Autorità datata 16/01/2023, regolarmente notificata all’indirizzo pec della Società come risulta dalle ricevute di avvenuta consegna agli atti del procedimento, sulla base delle dichiarazioni rese non è stata riscontrata nei termini perché ritenuto “non necessario” in considerazione dei contatti già avviati con il reclamante.

Tale argomentazione non è idonea ad escludere la responsabilità della parte.

Preme evidenziare che la condotta per la quale si procede deriva dalla completa inerzia manifestata dal titolare rispetto a due distinte comunicazioni inviate dall’Autorità: la prima, riportante l’invito alla Società di aderire alla richiesta dell’’interessato manifestata attraverso l’esercizio dei diritti a lui riconosciuti dal Regolamento (inviata via pec il 14/11/2022); la seconda, contente una richiesta di informazioni, ai sensi dell’art. 157 del Codice, con la quale si rinnovava l’invito a far pervenire all’Ufficio, entro 20 giorni dal ricevimento, un riscontro alle richieste già formulate con la nota inviata il 14/11/2022 (trasmessa via pec il 13/04/2023).

In questa seconda comunicazione era espressamente riportato che “in caso di inottemperanza alla presente richiesta, sarà applicata la sanzione amministrativa pecuniaria prevista dall’art. 166, comma 5, del Codice”.

La reiterazione delle richieste inviate dall’Autorità e le chiare indicazioni in esse contenute non lasciavano dubbi in ordine alla necessità di fornire all’Autorità un riscontro circa i fatti che potevano essere conosciuti solo dalla Società e, comunque, la stessa non ha raccolto l’invito, formalmente contenuto nella prima comunicazione, a contattare l’Ufficio per ogni eventuale chiarimento. Ciò vale a maggior ragione in considerazione del coinvolgimento nelle decisioni, rappresentato a verbale dalla parte, di un professionista.

Si evidenzia inoltre che il mancato riscontro alla predetta richiesta di informazioni ha reso necessario chiedere il coinvolgimento del Nucleo privacy della Guardia di finanza, incaricato di notificare un’ulteriore richiesta di informazione e di raccogliere gli elementi istruttori, con conseguente notevole aggravio del procedimento in termini di costi e di tempi.

Sulla base di quanto emerso in sede ispettiva, è stato possibile accertare che, a fronte dell’istanza di esercizio dei diritti, la Società ha omesso di fornire la documentazione richiesta.

Nello specifico, si rileva come la richiesta del reclamante abbia riguardato in via esclusiva il diritto di ottenere copia dei cedolini paga relativi al rapporto di lavoro. Mentre la documentazione fornita dalla Società con i messaggi del 7, 9 e 16 marzo 2022 (che sono comunque precedenti all’istanza ex art. 15 del Regolamento che è datata 07/04/2022) è riferita alla procedura di dimissioni e contenga dati relativi alla Società e al contratto di lavoro appena concluso.

Alla luce di quanto stabilito dall’artt. 12, par. 3, del Regolamento (“il titolare del trattamento [debba fornire] all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”), e dall’art. 15 del Regolamento (“l'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e [a talune] informazioni”), si rileva come la Società abbia omesso di fornire un idoneo riscontro alle richieste avanzate dal reclamante, anche successivamente all’avvio dell’istruttoria dell’Autorità.

3. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ai sensi dell’art. 58, par. 2, del Regolamento.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Per i suesposti motivi, si dichiara fondato il reclamo presentato ai sensi dell’art. 77 del Regolamento e, nell’esercizio dei poteri correttivi attribuiti all’Autorità ai sensi dell’art. 58, par. 2, del Regolamento, si dispone:

di soddisfare le richieste dell’interessato, provvedendo a comunicare allo stesso le informazioni già oggetto dell’istanza datata 07/04/2022 (art. 58, par. 2, lett. c) del Regolamento);

l’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i) Regolamento).

4. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al mancato riscontro alla richiesta  di informazioni formulata ai sensi dell’art. 157 del Codice e all’omesso riscontro all’istanza di esercizio dei diritti avanzata dal reclamante.

La violazione, accertata nei termini di cui in motivazione, non può essere considerata "minore", tenuto conto della natura, della gravità e della durata della violazione stessa, del grado di responsabilità e della maniera in cui l'autorità di controllo ha preso conoscenza della violazione (cons. 148 del Regolamento).

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini della applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

- in relazione alla natura, gravità e durata della violazione, sono stati considerati rilevanti la natura della violazione che ha riguardato l’esercizio dei diritti dell’interessato e la circostanza che, a seguito dell’avvio dell’istruttoria dell’Autorità, non è stato fornito ancora alcun riscontro;

- con riferimento al carattere colposo o doloso della violazione e al grado di responsabilità del titolare, si è tenuto conto della condotta tenuta dalla Società che, con coscienza e volontà, non ha dato seguito alle comunicazioni inviate dall’Autorità nel corso del procedimento;

- la scarsa collaborazione dimostrata dalla Società con l’Autorità nel corso del procedimento che ha determinato un notevole aggravio del procedimento, in termini di costi e di tempi, nonché l’inerzia nel porre in essere atti idonei a porre rimedio alle violazioni e attenuarne i possibili effetti negativi, tanto da rendere necessario ingiungere, con il presente provvedimento, di soddisfare le richieste dell’interessato.

Si ritiene inoltre che assumano rilevanza nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), in primo luogo le condizioni economiche del contravventore, determinate in base ai ricavi conseguiti dalla Società con riferimento al bilancio ordinario d’esercizio per l’anno 2021.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Top Quality Corporation S.r.l.s., la sanzione amministrativa del pagamento di una somma pari ad euro 5.000,00 (cinquemila).

In tale quadro si ritiene, altresì, in considerazione della tipologia delle violazioni accertate che hanno riguardato l’esercizio dei diritti dell’interessato, che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito Internet del Garante.

Si ritiene, altresì, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

rileva l’illiceità del trattamento effettuato da Top Quality Corporation s.r.l.s., in persona del legale rappresentante pro tempore, con sede legale in Torri di Quartesolo (VI), via Camisana n. 91, P.I. 04297510242, per la violazione degli artt. 12, par. 3, e 15 del Regolamento, e dell’art. 157 del Codice;

ORDINA

ai sensi dell’art. 58, par. 2, lett. c), del Regolamento, a Top Quality Corporation s.r.l.s., di soddisfare le richieste dell’interessato, provvedendo a comunicare allo stesso le informazioni già oggetto dell’istanza datata 07/04/2022, entro 30 giorni dalla data di notifica del presente provvedimento, fornendo contestualmente comunicazioni all’Autorità;

ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, alla medesima Società di pagare la somma di euro 5.000,00 (cinquemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi alla medesima Società di pagare la predetta somma di euro 5.000,00 (cinquemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato - di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1.9.2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice);

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019la pubblicazione del presente provvedimento sul sito web del Garante, e ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Si dispone, inoltre, che siano comunicate le iniziative intraprese al fine di dare attuazione a quanto disposto con il presente provvedimento e di fornire comunque riscontro adeguatamente documentato ai sensi dell’art. 157 del Codice, entro il termine di 30 giorni dalla data di notifica del presente provvedimento; l’eventuale mancato riscontro può comportare l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. e) del Regolamento

Roma, 12 settembre 2024                  

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei