Il Garante per la protezione dei dati personali ha pubblicato sul proprio sito web un provvedimento nei confronti di una banca per l’illiceità del trattamento dei dati effettuato a seguito di una istanza presentata da una ex dipendente (scarica il file pdf).
FATTO
L’istanza era volta ad ottenere “l’accesso ai dati personali contenuti nel proprio fascicolo personale, una copia degli stessi e segnatamente ai dati racchiusi nel fascicolo del procedimento disciplinare per conoscere, in maniera precisa e puntuale, tutte le informazioni che la riguardano (dati valutativi e non) aventi ad oggetto i fatti e i comportamenti confluiti nella sanzione disciplinare irrogata dalla Banca”.
La reclamante lamentava che il riscontro fornito dalla Banca non fosse idoneo, in quanto consistente in una “comunicazione ed elencazione, peraltro non completa, della sola corrispondenza intercorsa tra le parti relativa al procedimento disciplinare” mancando delle ulteriori informazioni in base alle quali le era stata irrogata la sanzione disciplinare.
In relazione al reclamo, il GPDP invitava la Banca a fornire osservazioni in merito a quanto rappresentato, a chiarire se tutti i dati contenuti nel fascicolo personale della reclamante, e in particolare gli atti relativi al procedimento disciplinare, fossero stati già comunicati all’istante e, in caso negativo, a fornirne copia.
La Banca ha affermato che il corrispondente diritto di difesa nel procedimento disciplinare della ex dipendente non trova alcuna ragione di essere tutelato attraverso l’accesso alle informazioni”, essendo intervenuto in un momento in cui il procedimento disciplinare non poteva più essere impugnato.
Inoltre, secondo la Banca il diritto di accesso dovrebbe riguardare i dati personali nonché le informazioni previste dal par. 1 dell’art. 15 e, almeno di regola, non i documenti che li contengono, né tantomeno i documenti contenenti le informazioni riferite a vicende e soggetti terzi e può essere limitato per tutelare i diritti e le libertà altrui, come il diritto di difesa della banca titolare del trattamento”.
L’Autorità, esaminato il reclamo e le richieste ad esso sottese, ha invitato la Banca a chiarire se fossero in suo possesso ulteriori dati e informazioni relative alla reclamante (riferite in particolare al procedimento disciplinare avviato nei suoi confronti) che non fossero state già consegnate, invitandola, se del caso, a provvedere.
A fronte dell’invito ad aderire, la Banca procedeva a trasmettere documentazione integrativa, consistente nella corrispondenza intercorsa tra la Banca stessa e un terzo e che, sulla base di quanto emerso dall’istruttoria svolta nonché delle dichiarazioni della Banca stessa, costituiva parte integrante degli atti sottesi al procedimento disciplinare.
Si trattava, in particolare, della corrispondenza intrattenuta dalla Banca con un terzo che lamentava l’illecita comunicazione di informazioni riservate di un correntista (fratello della reclamante) e utilizzate dalla reclamante nell’ambito di un procedimento giudiziario.
La Banca ha motivato la mancata iniziale ostensione di tale documentazione per le implicazioni che ne sarebbero derivate al diritto di difesa e alla tutela della riservatezza del terzo.
Tuttavia, non risulta che tali motivi siano stati resi noti alla reclamante, a cui è stata solo omessa la documentazione integrativa e segnalato “il difetto di interesse all’accesso sia perché il rapporto di lavoro è cessato nel lontano 2014 e sia perché la sanzione disciplinare emessa non sia stata
impugnata nei termini”.
CONSIDERAZIONI DEL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
In via generale, si osserva che il diritto di accesso ha lo scopo di consentire all’interessato di avere il controllo sui dati personali che lo riguardano e, in particolare, di “essere consapevole del trattamento e verificarne la liceità” (v. Cons.63); tuttavia, ciò non comporta che tale diritto debba essere negato o limitato quando alla base della richiesta vi sia il perseguimento di un obiettivo diverso.
La pronuncia della Cassazione civile, richiamata dalla parte nelle proprie memorie difensive, secondo cui il datore di lavoro non è obbligato a mettere a disposizione del lavoratore la documentazione aziendale riferita ai fatti alla base di un procedimento disciplinare, attiene a una situazione differente e non comparabile con quella in esame. Tale pronuncia, infatti, si riferisce alla particolare situazione in cui la richiesta è avanzata dal lavoratore nell’ambito del procedimento disciplinare di cui all’art. 7 della legge n. 300/1970.
Il diritto di accesso deriva, oltre che dalla normativa in materia di protezione dei dati personali, dal “rispetto dei canoni di buona fede e correttezza che incombe sulle parti del rapporto di lavoro ai sensi degli artt. 1175 e 1375 c.c., come del resto è confermato dal fatto che, da tempo, la contrattazione collettiva del settore in oggetto prevede che l’azienda datrice di lavoro debba conservare, in un apposito fascicolo personale, tutti gli atti e i documenti, prodotti dall’ente o dallo stesso dipendente, che attengono al percorso professionale, all’attività svolta ed ai fatti più significativi che lo riguardano e
che il dipendente ha diritto di prendere visione liberamente degli atti e documenti inseriti nel proprio fascicolo personale” (Corte di Cass. 7 aprile 2016, n. 6775).
In ultimo, con riferimento al formato con cui i dati devono essere resi disponibili all’istante e, cioè, se sia sufficiente fornire i dati e non anche i documenti in cui gli stessi sono presenti, deve osservarsi che, ai sensi dell’art. 12, del Regolamento “Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro”.
Tale norma, correttamente interpretata, attribuisce al titolare del trattamento, nell’ambito del principio di accountability, il compito di individuare la forma più completa e soddisfacente con cui riscontrare le istanze di accesso, nel rispetto di quanto previsto dall’art. 12 sopra richiamato.
Anche in tal caso, giova ricordare i chiarimenti resi dall’EBDP nelle Linee Guida sul diritto di accesso laddove, rispetto a tale particolare questione, si precisa che “L’obbligo di fornire una copia non va inteso come un diritto supplementare dell’interessato, ma come modalità di accesso ai dati” e che, dunque, “non mira ad ampliare la portata del diritto di accesso: si riferisce (solo) a una copia dei dati personali oggetto di trattamento, non necessariamente a una riproduzione dei documenti originali”.
Per cui, “fare una sorta di compilazione e/o estrazione dei dati in modo da rendere le informazioni facili da comprendere potrebbe, in alcuni casi, essere un modo per soddisfare questi requisiti. In altri casi le informazioni sono meglio comprese fornendo una copia dell’effettivo documento contenente i dati personali. Pertanto, la forma più adatta deve essere decisa caso per caso” (v. punto 153 delle Linee Guida).
CONCLUSIONE
La condotta della Banca è stata ritenuta non conforme alla disposizione dell’art. 12, par. 4, del Regolamento, non avendo provveduto a rendere noti i motivi della mancata consegna della documentazione ulteriore, pur essendo stata oggetto di specifica richiesta.
Infatti, dalla lettura del combinato disposto degli artt. 12 e 15 del Regolamento non risulta la necessità per gli interessati di indicare un motivo o una particolare esigenza per giustificare le proprie richieste di esercizio dei diritti, né risulta riconosciuta al titolare del trattamento la possibilità di chiedere i motivi della richiesta.
Pertanto, il Garante ha dichiarato, ai sensi degli artt. 57, par. 1, lett. f) e 83, l’illiceità del trattamento effettuato per la violazione degli artt. 12, par. 3. e 4, e 15 e di pagare, ai sensi dell’art. 58, par. 2, lett. i), la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate.
