[doc. web n. 10138744]

Provvedimento del 13 febbraio 2025

Registro dei provvedimenti
n. 84 del 13 febbraio 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Claudio Filippi vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dalla sig.ra XX, tramite il proprio legale  Avv. XX, in data 30/06/2023, ai sensi dell’art. 77 del Regolamento con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di Seki s.r.l.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo nei confronti della Società e l’avvio dell’attività istruttoria.

Con il reclamo presentato in data 30/06/2023, la sig.ra XX ha rappresentato a questa Autorità di aver presentato un’istanza di esercizio dei diritti ai sensi dell’art. 15 del Regolamento, nei confronti di SEKI s.r.l. (di seguito “la Società”) alle cui dipendenze aveva prestato l’attività lavorativa fino alla presentazione di dimissioni volontarie.

In particolare, la reclamante rappresentava che l’account di posta elettronica aziendale di tipo individualizzato (XX), assegnatole in costanza del rapporto di lavoro, continuava a ricevere e-mail nonostante fossero intervenute le sue dimissioni. Infatti, “provava ad inviare una e-mail dai suoi account personali (…) al proprio account aziendale e l’invio andava a buon fine, non ricevendo alcun messaggio automatico relativo all’eventuale disattivazione del predetto indirizzo di posta elettronica”.

Al fine di verificare l’effettiva disattivazione dell’account di posta elettronica, l’interessata formulava, nei confronti della Società, un’istanza di esercizio dei diritti con cui chiedeva di ricevere, oltre alla copia della privacy policy aziendale inerente all’utilizzo della posta elettronica, anche l’accesso “a tutti i dati trattati e contenuti nell’account di posta elettronica nominativa aziendale”, copia del contratto di assunzione e delle buste paga dalla data di assunzione fino al 31/12/2016 (istanza datata 26/05/2023).

La Società forniva riscontro con nota del 01/06/2023, rappresentando di non poter dare seguito alla richiesta di accesso ai dati, in quanto “l’indirizzo di posta elettronica (…) non è più attivo, essendo stato dismesso in data 11 maggio 2023, ovvero ben 8 giorni dopo dalla data di decorrenza delle dimissioni (…)”. Non veniva, invece, fornita l’ulteriore documentazione richiesta dall’istante.

Con nota datata 05/10/2023, questa Autorità invitava la Società a fornire osservazioni in ordine ai fatti oggetto di reclamo, con particolare riferimento alla lamentata persistente attivazione dell’account di posta elettronica e ad aderire all’istanza di esercizio dei diritti.

La Società forniva riscontro con nota del 23/10/2023, dichiarando che:

- ”al momento dell’assunzione, la Società ha consegnato alla sig.ra XX l’informativa sul trattamento dei dati personali ai sensi dell’art. 13 del d.lgs. 196/2003, dalla stessa debitamente sottoscritta” in data 08/02/2010, producendo idonea documentazione a supporto;

- “nel corso del rapporto di lavoro, in qualità di dipendente della Società, è stata messa a disposizione della sig.ra XX tutta la documentazione inerente al trattamento dei dati personali dei dipendenti della Società e all’utilizzo della posta elettronica”, in particolare: il “Regolamento aziendale” con la descrizione delle modalità di utilizzo degli strumenti informatici da parte dei dipendenti (aggiornata al 2021), la privacy policy aziendale “con l’indicazione del titolare del trattamento, del data protection officer, delle finalità e base giuridica del trattamento, destinatari dei dati personali, oggetto del trattamento, periodo di conservazione dei dati personali e diritti dell’interessato”;

- “a seguito del ricevimento delle dimissioni, la Società ha immediatamente provveduto alla disattivazione dell’account di posta elettronica della lavoratrice (…), il quale è stato definitivamente bloccato dal sistema in data 11 maggio 2023, alle ore 9,30”, come risultante dalla documentazione allegata;

- “dalla data di effettiva interruzione dell’attività lavorativa (3 maggio 2023) alla data in cui è stato concretamente bloccato l’account della reclamante non è stato consentito alcun accesso da parte di terzi (…)”;

- “l’account è stato definitivamente e ufficialmente bloccato solo in data 11 maggio 2023, a distanza di 8 giorni dalla data di effettiva cessazione dell’attività lavorativa, per ragioni in nessun modo legate all’inerzia della Società bensì esclusivamente a causa delle tradizionali tempistiche di accoglimento della richiesta da parte del sistema informatico”.

2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

Alla luce di quanto emergeva dall’istruttoria, l’Ufficio provvedeva a notificare alla Società, con nota del 12/02/2024, l’atto di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3, e 15 del Regolamento.

La Società inviava in data 11/03/2024 propri scritti difensivi, ai sensi dell’art. 18 della legge n. 689/1981, con cui forniva le proprie osservazioni rispetto a quanto sollevato con l’atto di notifica delle violazioni, rappresentando che:

- “alla richiesta ai sensi degli articoli da 15 a 22 avente ad oggetto l’accesso ai soli dati personali contenuti nell’account di posta elettronica (…), la Società ha risposto tempestivamente e senza ritardo, precisamente in data 31 maggio 2023 (…) informandola (…) che era impossibilitata a dar seguito alla richiesta della stessa in ragione dell’intervenuta cancellazione dei dati personali contenuti nella sua e-mail e conseguentemente dell’interruzione di qualsivoglia trattamento sugli stessi a seguito del blocco dell’account disposto a far data dal ricevimento delle dimissioni (…) definitivamente avvenuto in data 11 maggio 2023 (…)”;

- “non essendo in corso alcun trattamento dei dati personali contenuti nell’account di posta elettronica da parte della Società al momento della richiesta (…), [l’interessato] non era più in titolare di alcun diritto di accesso ai sensi dell’art. 15 del Regolamento”;

- “con riferimento alla richiesta (…) di prendere visione e ricevere copia del contratto di assunzione, delle buste paga e della policy privacy aziendale, si evidenzia che la documentazione richiesta era già in possesso della [istante], in quanto la copia del contratto di assunzione è stata consegnata al momento dell’inizio della prestazione lavorativa, le buste paga sono state consegnate al momento della corresponsione della retribuzione relativa a ciascun prospetto di paga (…), e la policy privacy aziendale, (…), è stata messa a disposizione [dell’interessato] fin dalla sua predisposizione, è stata letta (…) in data 10 ottobre 2021, alle ore 11.49, ed è attualmente visibile dalla stessa sulla piattaforma Worketix”;

- “le buste paga relative al periodo antecedente al 1° gennaio 2014 (…) non sono più in possesso della società (…) in ottemperanza di quanto disposto dall’art. 2220 c.c. (Conservazione delle scritture contabili) decorso il termine di 10 anni ivi previsto per la conservazione delle scritture contabili (…)”;

- “le buste paga relative al periodo dal 1° gennaio 2014 al 31 dicembre 2016 (…), la copia del contratto di assunzione e la copia di tutti i contratti sottoscritti tra la società e la signora (…) sono stati inviati (…) con pec del 27 febbraio 2024 (…)”;

- “le buste paga relative al periodo dal 1° febbraio 2017 fino alla cessazione del rapporto (ultimo cedolino paga) (…) sono disponibili sulla piattaforma Worketix (utilizzata dalla società a decorrere dall’anno 2016) ancora accessibile alla signora (…) come alla stessa noto”.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese all’Autorità nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice (“Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), è emerso che la Società, in qualità di titolare del trattamento, a fronte dell’istanza di esercizio dei diritti avanzata dalla reclamante in data 26/05/2023, ha fornito un primo riscontro parziale e, solo a seguito dell’avvio dell’istruttoria da parte dell’Autorità, ha consegnato l’ulteriore documentazione richiesta dall’istante.

Come è stato chiarito nell’atto di avvio del procedimento, notificato alla Società il 12/02/2024, l’Autorità ha, sin da subito, rappresentato che i rilievi sollevati con il reclamo, attinenti alla persistente attivazione dell’account di posta elettronica e al connesso diritto di accedere al contenuto della corrispondenza, devono considerarsi superati sulla base della documentazione acquisita nel corso dell’istruttoria.

Infatti, la Società aveva rappresentato, anche alla reclamante, che, conformemente alle indicazioni rese dall’Autorità con i propri provvedimenti (in primis con il provvedimento n. 13 del 01/03/2007 recante “Linee guida per posta elettronica e internet”, doc. web n. 1387522) e alle disposizioni e ai principi generali in materia di protezione dei dati personali, non poteva consentire l’accesso alla corrispondenza in transito sull’account di posta elettronica utilizzata nel corso del rapporto di lavoro, in quanto, a seguito delle dimissioni rappresentate dalla reclamante, lo stesso era stato disattivato e la corrispondenza cancellata.

Deve essere, in ogni modo, chiarito che sebbene l’art. 15, par. 1, del Regolamento faccia riferimento ai dati personali “in corso di trattamento”, nel senso che la “la risposta [del titolare] dovrebbe comprendere tutti i dati disponibili in quel momento” (v. “Linee guida n. 1/2022 sul diritto di accesso”, adottato dall’EDPB il 28/03/2023, punto 2.3.3., par. 37), non viene meno il diritto dell’interessato di accedere ai dati e alle informazioni personali che sono state trattate dal titolare in passato e di conoscere le modalità con cui il trattamento è stato svolto (viceversa “i titolari del trattamento non sono pertanto tenuti a fornire dati personali che hanno trattato in passato ma di cui non dispongono più”, Linee guida cit. punto 2.3.3., par. 37).

Per quanto riguarda l’ulteriore documentazione, oggetto della richiesta ex art. 15 del Regolamento, la circostanza rappresentata dalla Società che questa sia stata nella disponibilità dell’istante, sin dalla loro predisposizione o della loro consegna (come nel caso delle buste paga), non fa venir meno l’obbligo del titolare del trattamento di fornire un riscontro idoneo.

D’altra parte, il diritto di accesso ha lo scopo di consentire all’interessato di avere il controllo sui dati personali che lo riguardano e, in particolare, di “essere consapevole del trattamento e verificarne la liceità” (v. Cons.63); “il diritto di accesso garantisce, tra l'altro, all'interessato il diritto di ottenere a seconda dei casi, la rettifica, la cancellazione o il congelamento dei dati personali. Gli interessati non sono però tenuti a motivare o giustificare la propria richiesta” (Linee guida cit, par. 6.1, par. 167).

Si osserva, inoltre, che l’art. 15 del Regolamento non prevede alcuna limitazione in ordine alle informazioni riferite all’interessato che possono essere oggetto di accesso, mentre attribuisce all’interessato la possibilità di presentare più richieste di accesso (salva la possibilità per il titolare del trattamento, in caso di richieste “eccessive, in particolare per il loro carattere ripetitivo” di addebitare un contributo spese ragionevole, art. 12, par. 5, del Regolamento).

Deve tenersi conto che, nel corso dell’istruttoria (precisamente in data 27/02/2024), la Società ha provveduto a rendere disponibile alla reclamante, mediante la piattaforma Worketix, la documentazione relativa alla privacy policy aziendale, alle buste paga, alla copia del contratto di assunzione e degli altri contratti sottoscritti dalle parti.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ai sensi dell’art. 58, par. 2, del Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento posto in essere dalla Società, con riferimento al riscontro inidoneo all’istanza di accesso presentata dal reclamante, risulta infatti illecito, nei termini su esposti, in relazione agli artt. 12, par. 3, e 15 del Regolamento.

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2, del Regolamento si prende atto della circostanza che la Società, nel corso del procedimento, ha provveduto ad aderire all’istanza di esercizio dei diritti dell’interessata.

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

[OMISSIS]

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f) e 83, del Regolamento, rileva l’illiceità del trattamento effettuato da SEKI s.r.l. nei termini di cui in motivazione, per la violazione degli artt. 12, par. 3, e 15 del Regolamento;

[OMISSIS]

DISPONE

ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web dell’Autorità;

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 13 febbraio 2025                      

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL VICE SEGRETARIO GENERALE
Filippi