Con Provvedimento del 14 settembre 2023 u.s., l’Autorità Garante per la protezione dei dati personali (il “Garante”) ha rilevato l’illiceità del trattamento di dati effettuato da parte di una società incaricata della lettura dei contatori di gas, luce e acqua (la “Società”), confermando che il datore di lavoro ha l’obbligo di fornire un completo riscontro alle istanze di esercizio del diritto di accesso, anche comunicando i dati relativi alla geolocalizzazione.
I fatti
La vicenda trae origine dal reclamo presentato al Garante da tre dipendenti della Società che non avevano ricevuto un riscontro soddisfacente alla richiesta di accesso ai propri dati personali raccolti attraverso lo smartphone aziendale, sul quale era stato istallato un sistema di geolocalizzazione che permetteva ai lavoratori di individuare il tragitto da effettuare per raggiungere i contatori oggetto dell’intervento tecnico.
In particolare, i dipendenti chiedevano di conoscere le informazioni utilizzate per elaborare i rimborsi chilometrici e la retribuzione mensile oraria, nonché la procedura per stabilire il compenso dovuto per verificare la correttezza della propria busta paga.
Il Garante, nel corso dell’attività istruttoria, ha rilevato che la Società non aveva fornito un riscontro idoneo rispetto a quanto richiesto dai tre lavoratori, nonostante la richiesta risultasse chiara ed analitica. Infatti, non aveva provveduto a comunicare ai dipendenti i dati trattati attraverso il sistema GPS, ma si era limitata ad indicare le modalità e gli scopi per i quali venivano trattati e a fornire l’informativa già sottoscritta dagli interessati.
L’esito dell’attività istruttoria
All’esito dell’attività istruttoria, il Garante ha rilevato che la Società, nella sua qualità di Titolare del trattamento, ha effettuato il trattamento in violazione:
- dell’art. 15 del Regolamento (UE) 2016/679 (il “GDPR”), per non aver fornito, nemmeno attraverso la documentazione allegata, un riscontro completo ed esaustivo rispetto a quanto richiesto attraverso le istanze. L’esercizio del diritto di “accesso ai dati personali” deve, infatti, consentire un accesso effettivo ai dati personali eventualmente trattati, che non sia una descrizione generale degli stessi, né un semplice riferimento alle categorie di dati personali trattati dal titolare (così specificato anche nelle “Linee guida 01/2022” sui Diritti degli Interessati dell’EDPB, 28 marzo 2023).
La Società avrebbe dovuto fornire tutti i dati raccolti attraverso il sistema di geolocalizzazione, riscontrando le richieste puntualmente pervenute dai tre reclamanti;
- dell’art. 12 del GDPR, nella parte in cui dispone che il Titolare del trattamento, a fronte di una richiesta di esercizio dei diritti da parte di un interessato, deve agevolarne l’esercizio fornendo “le informazioni relative all’azione intrapresa […] senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta” e “se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo […] dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”;
- dell’art. 5, par. 1, lett. (a) del GDPR, nella parte i cui prevede che i dati personali devono essere trattati in modo “lecito, corretto e trasparente nei confronti dell’interessato”. Il diritto riconosciuto all’interessato di accedere ai propri dati non può ritenersi soddisfatto attraverso il semplice rinvio a quanto contenuto nell’informativa, senza alcun riferimento al trattamento effettuato nel concreto.
La decisione del Garante
All’esito dell’attività istruttoria, il Garante chiarisce che, dal momento che la Società ha trattato, tra l’altro, dati relativi alla geolocalizzazione degli smartphone forniti ai dipendenti per lo svolgimento della prestazione lavorativa, da tale trattamento “è derivata indirettamente la geolocalizzazione dei reclamanti stessi”: per tale ragione, la Società avrebbe dovuto fornire un riscontro completo ed esaustivo alle istanze di esercizio del diritto di accesso, comunicando, in particolare, i dati relativi alla geolocalizzazione dei lavoratori oppure motivare una eventuale inottemperanza alle richieste ricevute.
Alla luce di tutto quanto sopra esposto, il Garante ha comminato alla Società datrice il pagamento di una sanzione amministrativa pecuniaria di 20mila euro disponendo, altresì, la pubblicazione del Provvedimento sul proprio sito web.
Altri insights correlati:
- Per la Corte Europea è legittimo il tracciamento del dipendente tramite il geolocalizzatore dell’auto di servizio (Norme e Tributi Plus Diritto, 23 gennaio 2023 – Alberto De Luca, Claudia Cerbone)
- Autorità Garante: il dipendente ha diritto di accedere alla relazione dell’agenzia investigativa incaricata dal datore di lavoro