Il Garante per la protezione dei dati personali con il Provvedimento datato 7 marzo 2024, n. 137 ha ribadito che l’accoglimento della richiesta di accesso prescinde dai motivi posti a fondamento della stessa.
Come è noto, il Regolamento UE 2016/679 (GDPR), all’articolo 15, riconosce all’interessato il diritto di accedere ai propri dati personali trattati dal titolare del trattamento.
In altri termini, tale diritto consente all’individuo di conoscere in modo concreto e trasparente come i propri dati vengono raccolti, utilizzati, condivisi e conservati.
L’interessato ha il diritto di ottenere dal titolare, in prima battuta, la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano.
In tal caso, avrà poi il diritto di ottenere l’accesso ai dati personali ed a tutta una serie di informazioni quali le finalità del trattamento, le categorie di dati personali in questione, i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati o, quando possibile, il periodo di conservazione dei dati.
Il termine per la risposta all’interessato è, per tutti i diritti (compreso il diritto di accesso), 1 mese, estendibili fino a 3 mesi in casi di particolare complessità.
Va però sottolineato che il titolare è tenuto a dare un riscontro all’interessato entro 30 giorni dalla richiesta, anche in caso di diniego o di comunicazione di probabili ritardi.
Tale diritto come sopra descritto è stato fonte di diverse pronunce da parte del Garante per la protezione dei dati personali, in quanto particolarmente importante nel quadro di tutela costruito dal GDPR e al contempo fra i più violati.
Di recente, l’Autorità si è quindi trovata a doverne ribadire i caratteri, questa volta in favore dell’ex dipendente di un’azienda.
I fatti
In data 19 dicembre 2020 veniva presentato al Garante un reclamo da parte di una signora che lamentava di aver formulato un’istanza di esercizio dei diritti, ai sensi dell’art. 15 del Regolamento, nei confronti della banca di cui era stata dipendente, e di aver ricevuto un riscontro non idoneo.
In particolare, l’istanza mirava ad ottenere “l’accesso ai dati personali contenuti nel proprio fascicolo personale, una copia degli stessi e segnatamente ai dati racchiusi nel fascicolo del procedimento disciplinare (…) per conoscere, in maniera precisa e puntuale, tutte le informazioni che la riguardano (dati valutativi e non) aventi ad oggetto i fatti e i comportamenti (…) confluiti nella sanzione disciplinare irrogata dalla Banca”.
Quanto al riscontro ricevuto dall’istituto, questo era stato ritenuto alla stregua di un semplice elenco incompleto della sola corrispondenza intercorsa tra le parti relativa al menzionato procedimento disciplinare, mancando invece tutte le ulteriori informazioni in base alle quali le era stata irrogata la sanzione disciplinare.
Su richiesta dell’Autorità Garante, la Banca faceva presente di aver dato immediato riscontro all’istanza di esercizio dei diritti formulata dalla reclamante fornendo molte informazioni relative ai trattamenti dei suoi dati personali, attraverso documentazione riferita al procedimento disciplinare a suo carico, ritenendo, in tal modo, di averle consentito di conoscere le motivazioni all’origine del procedimento e delle valutazioni condotte. La Banca, sempre su input del Garante, provvedeva altresì a trasmettere ulteriore documentazione integrativa riferita al procedimento disciplinare.
Il provvedimento del Garante
Nel Provvedimento del 7 marzo 2024 n. 137, oggetto della newsletter del 3 maggio 2024, il Garante rileva in primo luogo che, a detta della banca, il mancato invio della documentazione completa era derivato dalla volontà di scongiurare implicazioni al diritto di difesa e alla tutela della riservatezza del terzo.
Tuttavia, tali motivi non erano stati resi noti alla reclamante, a cui è stata solo omessa la documentazione integrativa e segnalato “il difetto di interesse all’accesso sia perché il rapporto di lavoro è cessato nel lontano 2014 sia perché la sanzione disciplinare emessa (…) non è stata impugnata nei termini”.
Alla luce di ciò, il Garante ha ritenuto che la condotta della banca né da ritenersi non conforme alla disposizione dell’art. 12, par. 4, del Regolamento, non avendo provveduto a rendere noti i motivi della mancata consegna della documentazione ulteriore, pur essendo stata oggetto di specifica richiesta.
Quanto più specificamente all’esercizio del diritto di accesso, l’Autorità ribadisce che quest’ultimo ha lo scopo di “consentire all’interessato di avere il controllo sui dati personali che lo riguardano e, in particolare, di essere consapevole del trattamento e verificarne la liceità”.
Peraltro – prosegue il Garante – “dalla lettura del combinato disposto degli artt. 12 e 15 del Regolamento non risulta la necessità per gli interessati di indicare un motivo o una particolare esigenza per giustificare le proprie richieste di esercizio dei diritti, né risulta riconosciuta al titolare del trattamento la possibilità di chiedere i motivi della richiesta”.
Pertanto, dato che la richiesta della reclamante di accedere a tutti i dati e alle informazioni facenti parte del suo fascicolo personale e sottese al procedimento disciplinare che la riguarda è lecita, la banca non poteva subordinare l’adempimento al verificarsi di determinate condizioni o al perseguimento di particolari obiettivi.
L’unica modalità idonea a consentire l’accesso secondo i principi di correttezza e trasparenza, quindi, era la consegna della documentazione contenente i dati personali della reclamante sottesa al procedimento disciplinare.
Alla luce delle considerazioni che precedono, ritenuta sussistente una violazione della normativa vigente in materia di tutela dei dati personali, il Garante ha ingiunto alla banca di pagare la somma di euro 20.000 entro 30 giorni dalla notifica del provvedimento.
Fonte: Altalex