Garante per la Protezione dei Dati Personali: la genericità della richiesta del dipendente non giustifica il ritardo del datore di lavoro.
Il Garante per la Protezione dei Dati Personali (con prov. n. 530/2023) si è pronunciato su un reclamo presentato da un lavoratore che aveva fatto richiesta al proprio ex datore di lavoro per ottenere copia di tutti i dati personali oggetto di trattamento da parte dello stesso, senza tuttavia ottenere alcun riscontro nei termini di legge.
Ai sensi del Regolamento generale sulla protezione dei dati (il cosiddetto GDPR), infatti: “L’interessato (in questo caso il lavoratore) ha il diritto di ottenere dal titolare del trattamento (datore di lavoro) la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali“, nonché ad altre informazioni specificamente indicate nel regolamento.
Lo stesso GDPR prevede inoltre che il termine massimo per fornire le informazioni richieste al lavoratore è pari ad un mese e che tale termine è prorogabile fino a due mesi, quando le richieste ricevute dal datore di lavoro siano molte o complesse. In tal caso, tuttavia, il datore di lavoro è comunque tenuto a informare il lavoratore (entro un mese dal ricevimento della richiesta) dell’allungamento del termine e dei motivi del ritardo.
Nell’ipotesi in questione, ricevuto il reclamo del lavoratore e l’avviso del Garante Privacy, la Società si difendeva sostenendo che la domanda di accesso ai dati presentata dall’ex-dipendente era stata troppo ampia e generica, ed aveva dunque causato l’allungamento dei tempi di gestione della stessa e la mancata risposta entro i termini.
Tali argomentazioni, tuttavia, non hanno convinto il Garante Privacy, che, all’esito dell’istruttoria e dell’apposito procedimento nei confronti della Società, l’ha sanzionata.
Secondo il Garante Privacy, infatti, la genericità e ampiezza della richiesta di accesso ai dati non giustifica la condotta del datore di lavoro, che avrebbe potuto chiedere al lavoratore le opportune specificazioni.
Ciò è infatti specificato nelle Linee guida sul diritto di accesso approvate dallo European Data Protection Board, secondo cui: “un responsabile del trattamento che tratta una grande quantità di informazioni relative all’interessato può chiedere all’interessato di specificare le informazioni o il trattamento cui si riferisce la richiesta prima che le informazioni siano fornite“.
Sulla base di tali considerazioni, alla Società veniva inflitta una sanzione amministrativa di importo pari a 40.000 euro.