g-docweb-display Portlet

Provvedimento dell'11 febbraio 2021 [9567218]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9567218 ]

Provvedimento dell'11 febbraio 2021

Registro dei provvedimenti
n. 63 dell'11 febbraio 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza e il dott. Agostino Ghiglia, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato al Garante ai sensi dell’articolo 77 del Regolamento in data 13 maggio 2019 dal sig. XX, nei confronti di Teco s.r.l. (di seguito, “la società”), con il quale sono state lamentate presunte violazioni del Regolamento con riferimento al diritto di accesso dell’interessato al proprio fascicolo personale ed, in particolare, agli attestati di formazione in esso contenuti;

VISTO che il reclamante, in proposito, ha rappresentato di aver inviato alla società, in data 8 maggio 2019, istanza di accesso agli attestati di formazione relativi al “corso di formazione per lead auditor iso 14001” e al “corso di formazione per lead auditor 18001” frequentati “tra la fine del 2016 e l’inizio del 2017”, in quanto mai rilasciati allo stesso, e di aver ricevuto, il giorno successivo alla richiesta, risposta di diniego da parte della società non meglio motivata;

VISTO che il reclamante ha, inoltre, rappresentato di avere inviato  in seguito, in data 13 maggio 2019,  istanza di accesso al proprio fascicolo personale “con particolare riferimento a tutti gli attestati relativi alla formazione” relativi al periodo in cui era in essere il rapporto di lavoro con la società, e di avere ricevuto da quest’ultima, in pari data, un riscontro nel quale è stato precisato che tutta la documentazione richiesta era già stata consegnata e che la cartella sanitaria a lui relativa era pronta per il ritiro presso la sede di Teco s.r.l.;

VISTA la nota del 31 luglio 2019 con la quale l’Autorità ha invitato la società all’adesione spontanea a quanto richiesto nel reclamo;

VISTA la nota di riscontro del 6 settembre 2019 con la quale la società ha dichiarato che:

- “in conformità all’invito ricevuto con missiva datata 31 luglio […] e in adesione rispetto alle indicazioni in essa contenute, precisando che gli attestati di formazione sono stati di volta in volta consegnati al dipendente, si trasmette tutta la documentazione relativa alla formazione del dipendente medesimo in possesso di Teco s.r.l.” (v. nota 6 settembre 2019 cit., p. 1).

In allegato al predetto riscontro, inviato anche al reclamante, sono stati presentati 12 attestati di formazione relativi al reclamante.

VISTE le precisazioni inviate dal reclamante in data 6 settembre 2019 con le quali si è informata l’Autorità che “all’interno del file […] trasmesso […] dalla società mancano alcuni attestati di formazione che […] non […] sono mai stati consegnati. In particolare risultano mancanti quelli relativi alla formazione come Lead Auditor 18001 e Lead Auditor 14001 svolti in Fiorenzuola d’Arda ed organizzati da Bureau Veritas nonché quelli relativi alla formazione OHSAS Train the Trainer svoltasi in Fiorenzuola d’Arda nell’anno 2014”, chiedendo, contestualmente, “l’integrazione dei medesimi”;

VISTA la nota del 19 marzo 2020, in riscontro ad una nota di ulteriori chiarimenti presentata dall’Ufficio, con la quale la società ha dichiarato di:

- “non essere in condizione di integrare la documentazione già inviata e in possesso per i seguenti motivi: si conferma che non esistono attestati di formazione OHSAS Train the Trainer perché non sono stati emessi e rilasciati; gli attestati Lead Auditor 18001 Lead Auditor 14001 sono stati rilasciati in copia unica e sono stati consegnati al dipendente. Non si è pertanto in grado di rilasciare copia”;

VISTA la nota del 23 aprile 2020 con la quale la società ha integrato quanto dichiarato nella nota del 19 marzo 2020, precisando di trasmettere in allegato “la dichiarazione del docente intervenuto nell’ambito del corso di formazione OHSAS Train the Trainer che conferma il fatto, già da[lla società] rappresentato [nel riscontro del 19 marzo 2020], che non sono stati emessi né rilasciati certificati” in occasione di quel corso di formazione. All’interno di tale dichiarazione il professore suddetto si è anche dichiarato disponibile a rilasciare un certificato di partecipazione relativo allo stesso corso;

VISTO che il 13 agosto 2020 l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione al titolare del trattamento delle presunte violazioni del Regolamento;

VISTO, altresì, che con nota dell’11 settembre 2020 la società ha rappresentato che:

“nella prima comunicazione dell’8 maggio 2019 [il reclamante] – che […] aveva […] già ricevuto tutti gli attestati di formazione al medesimo rilasciati durante il rapporto di lavoro con la […] società Teco srl […] – non ha azionato una formale richiesta ai sensi dell’art. 15 del Regolamento ma ha inviato una semplice e informale richiesta di ricevere copia di solo due attestati (lead auditor ISO 14001 e lead auditor 18001)” (v. nota 11 settembre 2020 cit., p. 1);

“la risposta di Teco del 9 maggio 2019 era dunque una comunicazione del tutto informale, in risposta alla altrettanto informale domanda del [reclamante], ed è sintetica perché [quest’ultimo] aveva già ricevuto tutti gli attestati di formazione dei corsi erogati in possesso di Teco” (v. nota cit., p. 1);

“al momento della cessazione del rapporto di lavoro, la procedura aziendale di Teco prevede che al dipendente cessato vengano consegnati gli attestati di formazione, come risulta dalla istruzione operativa I.O. 6.2.03 «Personale in uscita» […]. E che tale procedura sia stata pienamente rispettata da Teco si ricava anche dalla circostanza che Teco, come ricordato anche all’ex dipendente con la propria mail del 13 maggio 2019, ha anche avvisato il [reclamante] che la cartella sanitaria del dipendente era da tempo e ancora a disposizione per il ritiro” (v. nota cit., p. 1-2);

“avendo il [reclamante] richiesto l’invio a mezzo posta della propria cartella sanitaria, la società così ha provveduto, ma [il reclamante stesso] non ha neppure curato il ritiro e il plico è tornato al mittente che lo ha conservato ancora intonso a disposizione del[l’interessato]” (v. nota cit., p. 2);

“anche al [reclamante], in applicazione della procedura citata, sono stati consegnati tutti gli attestati di formazione esistenti in azienda in data 20.12.2018. Non corrisponde pertanto a verità quanto affermato dal [reclamante] ovvero che Teco avrebbe trasmesso gli attestati per la prima volta solo dopo il reclamo e l’intervento del Garante” (v. nota cit., p. 2);

“per quanto riguarda i due attestati (lead auditor ISO 14001 e lead auditor 18001) […], come ben noto al [reclamante], i medesimi sono stati rilasciati in copia unica dall’ente erogatore accreditato e consegnati al [reclamante]. Per tale ragione Teco in data 13 maggio 2019 ha ricordato al [reclamante tramite email] che tutta la documentazione relativa agli attestati gli era già stata consegnata” (v. nota cit., p. 2);

“ciò nonostante Teco, in adesione spontanea, ha trasmesso all’ex dipendente e per conoscenza al Garante, con nota del 6 settembre 2019, tutti gli attestati relativi alla formazione del [reclamante] in suo possesso, precisando, anche in tale occasione, che tale documentazione era comunque già stata consegnata al medesimo” (v. nota cit., p. 2);

“con riferimento alla richiesta di certificato relativo alla formazione Train the Trainer 2014 Teco ha anche prodotto, con pec del 23 aprile 2020, una dichiarazione del docente a conferma del fatto che non sono stati emessi certificati” (v. nota cit., p. 2);

“la prima richiesta dell’8 maggio 2019 del [reclamante], per come è stata formulata e per l’oggetto che aveva, non può intendersi né interpretarsi come richiesta ai sensi dell’art. 15 Regolamento. Ne consegue che, anche sotto il profilo formale, non appare in alcun modo censurabile il comportamento di Teco che ha immediatamente dato riscontro alla richiesta ricordando che la documentazione era stata già tutta consegnata al dipendente e in seguito ha prontamente aderito alla richiesta del Garante, ritrasmettendo le certificazioni in suo possesso sempre in piena buona fede e trasparenza, mai neppure pensando di sottrarsi agli obblighi sulla stessa gravanti” (v. nota cit., p. 2);

“per mero scrupolo di completezza e senza alcuna ammissione di responsabilità […] si evidenzia quanto segue: nella condotta di Teco […] non si ritrovano elementi che confermino l’esistenza di dolo o colpa, trattandosi al più della mancata tempestiva comunicazione, in risposta alla prima informale richiesta del ricorrente, di circostanze allo stesso già note; Teco si è comunque immediatamente attivata, non appena ricevuta la comunicazione del Garante ritrasmettendo al [reclamante] gli unici attestati di cui possedeva copia e che comunque aveva già in precedenza consegnato al medesimo; il [reclamante] non ha subito comunque alcun danno ben potendo, quale unico legittimato, richiedere agli enti eroganti la formazione copia dei due attestati di formazione; Teco, a carico della quale non si segnala alcuna precedente violazione, ha spontaneamente aderito alla richiesta nei limiti delle proprie possibilità; Teco si è dotata di un modello di organizzazione e gestione ai sensi del D. Lgs. 231/2001 nonché in particolare di misure per il rispetto della normativa sulla riservatezza dei dati” (v. nota cit., p. 3);

VISTO, infine, che in sede di audizione richiesta dalla società e tenutasi il 10 dicembre 2020, quest’ultima ha dichiarato che:

“secondo la procedura aziendale, adottata sin dal 2003 dall’azienda, all’atto di cessazione del rapporto di lavoro vengono consegnati al lavoratore tutti i documenti relativi al rapporto di lavoro, comprensivi del fascicolo sanitario. […] tale procedura è stata attuata nei confronti del [reclamante]. Successivamente, il reclamante ha chiesto di avere copia di due attestati mediante una prima richiesta informale. Alla quale è stato dato un riscontro altrettanto informale, comunicandogli di non poter dare seguito alla richiesta. Questo perché tutti gli attestati la cui copia era in possesso dell’azienda erano già stati consegnati al lavoratore all’atto della risoluzione del rapporto”;

“alla seconda richiesta di accesso, invece, presentata formalmente, la società ha fornito riscontro altrettanto formale, precisando che tutta la documentazione in possesso della società era stata già consegnata, ad eccezione della cartella sanitaria”;

“la procedura aziendale relativa alla consegna della documentazione al lavoratore, all’atto della cessazione del rapporto di lavoro, non prevede altresì il rilascio di una ricevuta che attesti l’avvenuta consegna dei documenti”;

“si precisa, infine, la totale buona fede della società che non ha inteso in alcun modo violare la normativa tanto meno intenzionalmente”;

CONSIDERATO che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”;

RILEVATO che, in base alle risultanze dell’istruttoria, è emerso che la società ha dato, in un primo momento, un riscontro insufficiente all’istanza di accesso agli attestati relativi al “corso di formazione per lead auditor ISO 14001” e al “corso di formazione per lead auditor 18001” presentata dal reclamante, dichiarando esclusivamente di non potere dare seguito alla stessa, omettendo di precisare i motivi dell’inottemperanza; successivamente la società, a seguito di una ulteriore istanza di accesso presentata sempre dal reclamante, si è limitata a dichiarare di avere già consegnato la documentazione relativa allo stesso in suo possesso e di mettere a sua disposizione la cartella sanitaria;

RITENUTO che in base alla costante giurisprudenza di legittimità, il diritto di accesso ai propri dati personali, anche nell’ambito del rapporto di lavoro, “non può intendersi, in senso restrittivo, come il mero diritto alla conoscenza di eventuali dati nuovi ed ulteriori rispetto a quelli già entrati nel patrimonio di conoscenza […] atteso che lo scopo del [diritto] è garantire, a tutela della dignità e riservatezza del soggetto interessato, la verifica ratione temporis dell’avvenuto inserimento, della permanenza ovvero  della rimozione di dati, indipendentemente dalla circostanza che tali eventi fossero già stati portati per altra via a conoscenza dell’interessato” (v. Corte di Cass. 14.12.2018, n. 32533);

RILEVATO che in base all’art. 12, par. 2 del Regolamento “il titolare agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 15 a 22”;

RILEVATO, altresì, che l’art. 12, par. 3, del Regolamento statuisce che “il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento della richiesta stessa”;

RILEVATO, inoltre, che nel paragrafo 4 dell’art. 12 del Regolamento viene precisato che “se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”, e che, dunque, la norma prende in considerazione le ipotesi di diniego di istanze relative a tutti i diritti previsti dal Regolamento;

RILEVATO, altresì, che in base all’art. 12, par. 5, del Regolamento viene precisato che “se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può: a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l’azione richiesta; oppure b) rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta”; dunque, in base al Regolamento, al titolare del trattamento è riconosciuta la possibilità di rifiutare di soddisfare un’istanza di esercizio dei diritti presentata dall’interessato, con espressa motivazione, esclusivamente nel caso in cui le richieste siano manifestamente infondate o eccessive, sulla base della reiterazione ingiustificata della richiesta. Il diniego in merito ad un’istanza di accesso, quindi, non può essere manifestato sulla base della sola circostanza che l’interessato sia già in possesso dei dati personali oggetto di relativa istanza;

RILEVATO che in base all’art. 15, par. 1, del Regolamento “l’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso di ottenere l’accesso ai dati personali e alle […] informazioni [indicate nello stesso articolo 15], e che in base al paragrafo 3 del medesimo articolo “il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall’interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi”, ferma restando la non sovrapponibilità tra l’accesso ai dati personali e l’accesso ai documenti che contengono i dati;

PRESO ATTO, con riguardo alla richiesta del reclamante di “ingiungere al titolare del trattamento di soddisfare le richieste di esercizio dei diritti di cui agli artt. da 15 a 22 del Regolamento […]  e di conformare i trattamenti alle disposizioni vigenti in materia anche nei confronti del responsabile del trattamento […]”, che la società ha dichiarato di avere consegnato, anche in data antecedente rispetto all’intervento del Garante, in base ad una prassi aziendale, a ridosso della cessazione del rapporto di lavoro con il reclamante, tutti gli attestati di formazione relativi al reclamante dei quali era in possesso, e che ha trasmesso di nuovo tali attestati successivamente all’invito ad aderire inviato da questa Autorità a seguito di reclamo, precisando che, per quanto riguarda gli attestati relativi al “corso di formazione per lead auditor ISO 14001”, al “corso di formazione per lead auditor 18001” nonché al “corso di formazione OHSAS Train the Trainer” non è in grado di soddisfare la richiesta, considerato che dei primi due è stata rilasciata esclusivamente copia al lavoratore e del terzo non è stata rilasciata copia alcuna;

RITENUTO pertanto che, relativamente a tale istanza, considerata pure l’assenza di controdeduzioni del reclamante sul punto, non vi siano i presupposti per l’adozione di provvedimenti da parte dell’Autorità;

RITENUTO che, sebbene si ravvisi una violazione dell’art. 12, par. 4 con riferimento all’art. 15 del Regolamento in relazione alla mancanza di indicazione precise, all’interessato, relativamente ai motivi di diniego del diritto di accesso con riferimento agli attestati relativi al “corso di formazione per lead auditor ISO 14001”, al “corso di formazione per lead auditor 18001” nonché al “corso di formazione OHSAS Train the Trainer” e all’assenza dell’indicazione della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale, e che quindi, in relazione a tale illiceità del trattamento, il reclamo sia fondato, le richiamate circostanze inducono a qualificare il caso come “violazione minore”, ai sensi dell’art. 83, par. 2, e del considerando 148 del Regolamento;

RITENUTO, tuttavia, che, relativamente al caso in esame occorra ammonire il titolare del trattamento, ai sensi degli artt. 143 del Codice e 58, par. 2, lett. b), del Regolamento, sulla necessità di fornire ai sensi dell’art. 12, par. 4, del Regolamento, nel caso di diniego dell’istanza di accesso ex art. 15 del Regolamento, gli specifici motivi dell’inottemperanza e l’indicazione della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale nonché di agevolare l’esercizio stesso dei diritti degli interessati riconosciuti in materia di protezione dei dati personali, come sopra rappresentato;

RITENUTO che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

TUTTO CIÒ PREMESSO, IL GARANTE

a. ai sensi dell’art. 143 del Codice dichiara illecita la condotta tenuta da Teco s.r.l., con sede legale in Via F.lli Magni, 2, Fiorenzuola D’Arda (PC), P.I. 01161120330, e descritta nei termini di cui in motivazione, consistente nella violazione dell’art. 12, par. 4 con riferimento all’art. 15 del Regolamento, in relazione al riscontro che la società ha fornito al reclamante, privo dell’indicazione dei motivi dell’inottemperanza all’esercizio del diritto di accesso e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale;

b. ai sensi dell’art. 58, par. 2, lett. b), del Regolamento ammonisce Teco s.r.l. sulla necessità di fornire un riscontro motivato nel caso di diniego di esercizio dei diritti relativamente ad istanze presentate dagli interessati e di agevolare l’esercizio stesso dei diritti degli interessati riconosciuti in materia di protezione dei dati personali come rappresentato in motivazione;

c. ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 11 febbraio 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei