L’autorità italiana per la protezione dei dati personali, il Garante, ha multato di 100.000 euro Autostrade per l’Italia per aver violato gli articoli 12 e 15 del GDPR, a seguito delle richieste di accesso di 50 dipendenti.

I cinquanta lavoratori hanno presentato una richiesta di accesso all’azienda nel dicembre 2020, richiedendo informazioni, ma anche copia dei dati relativi alla propria retribuzione, Senza però mai ricevere alcuna risposta, nemmeno negativa. A seguito del ricorso al Garante nel febbraio 2021, le autorità italiane hanno chiesto alla società perché non avevano mai risposto alle richieste di accesso ricevute.

L’azienda attribuisce la sua manipolazione a tre ragioni principali:

In primo luogo, a causa delle informazioni richieste è stata data ai dipendenti attraverso l’aggiornamento dell’articolo 13 al momento della loro assunzione, in secondo luogo, a causa di queste informazioni disponibili su piattaforme dedicate che ha creato e dove sono pubblicate tutte le informazioni ufficiali del dipendente e in terzo luogo, perché è in fase di contenzioso con l’interessato. Secondo quest’ultima affermazione, la società si astiene dal rispondere negativamente alle richieste di accesso che riceve, come ad esempio Ha valutato che la risposta sarebbe stata sicuramente sottoposta al laboratorio per le controversie di lavoroche i dipendenti usavano come argomento per il suo comportamento scortese nei loro confronti.

Nessuno dei tre motivi sopra esposti ha convinto il Garante, che ha riscontrato una violazione degli obblighi previsti dagli articoli 12 e 15 del Regolamento generale sulla protezione dei dati.

In merito all’aggiornamento all’articolo 13 GDPR, il Garante ricorda che i diritti sono disciplinati in tale provvedimento è un diritto diverso dal diritto di accesso sulla base dell’articolo 15.

Anche se l’interessato ha ricevuto l’informativa generale art. 13 GDPR, al momento della raccolta dei suoi dati ha il diritto di ricevere informazioni più specifiche ed aggiornate in merito al trattamento dei suoi dati attraverso una richiesta di accesso art. 15 GDPR. In questo caso, l’informativa che deve essere fornita all’interessato non è uguale a quella originariamente fornita, ma è personalizzata in base alle caratteristiche del trattamento effettuato e ai dati dell’interessato.

Per quanto riguarda la piattaforma intranet, attraverso la quale – secondo la società – gli interessati possono reperire e ottenere le informazioni richieste, il Garante precisa che il suo funzionamento non costituisce scusa per non dare seguito alle loro richieste di accesso inoltrate. L’azienda deve rispondere alla richiesta, anche con un semplice riferimento alla piattaformada dove possono essere prelevati i dati.

Infine, in relazione ad un contenzioso pendente che secondo la società giustificherebbe il suo rifiuto di rispondere alle richieste di accesso, le autorità italiane hanno stabilito che tale diritto non esiste. Il titolare si riserva il diritto di non accogliere le richieste di accesso e di non dar seguito alle stesse, ma non aveva il diritto di non rispondere mai. Il Garante richiama il comma 4 dell’articolo 12 GDPR, che recita: “Se il titolare del trattamento non dà seguito alla richiesta dell’interessato, il titolare del trattamento comunica all’interessato, senza ritardo e comunque entro un mese dal ricevimento della richiesta, i motivi dell’inerzia e la possibilità di proporre reclamo con l’autorità di controllo e di adire le vie legali.».

Pertanto, poiché la società ritiene che l’adempimento della richiesta presentata potrebbe ledere i propri interessi in considerazione del contenzioso legale in corso, la società è tenuta ad informare gli interessati, informandoli delle possibilità riconosciute nelle disposizioni sopra indicate.

Su questa base il Garante ha accertato la violazione degli articoli 12 e 15 del GDPR e ha sanzionato l’azienda con una sanzione di 100.000 euro, condannandola a ottemperare alla richiesta di accesso entro 60 giorni.