Premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice della Privacy, alle istanze di accesso occorre sempre fornire un preciso e puntuale riscontro essendo sanzionabile il comportamento di chi non provvede a rendere noti i motivi della mancata consegna della documentazione ulteriore, pur essendo stata oggetto di specifica richiesta.
Il principio è enunciato nel provvedimento n. 137 del 7 marzo 2024 con cui il Garante per la protezione dei dati personali ha disposto l’applicazione di una sanzione amministrativa pecuniaria di ventimila Euro nei confronti di una banca, in relazione all’accoglimento di un reclamo presentato da una ex dipendente che rappresentava di aver ricevuto un riscontro non idoneo a una richiesta di accesso agli atti formulata con riferimento a un procedimento disciplinare concluso con l’irrogazione di una sanzione a suo carico.
L’istanza, in particolare, era volta ad ottenere “l’accesso ai dati personali contenuti nel proprio fascicolo personale, una copia degli stessi e segnatamente ai dati racchiusi nel fascicolo del procedimento disciplinare (…) per conoscere, in maniera precisa e puntuale, tutte le informazioni che la riguardano (dati valutativi e non) aventi ad oggetto i fatti e i comportamenti (…) confluiti nella sanzione disciplinare irrogata dalla Banca”.
A fronte di tale specifica richiesta, la reclamante lamentava che il riscontro fornito dalla Banca non fosse idoneo, in quanto consistente in una “comunicazione ed elencazione, peraltro non completa, della sola corrispondenza intercorsa tra le parti relativa al suindicato procedimento disciplinare”, mancando delle ulteriori informazioni in base alle quali le era stata irrogata la sanzione disciplinare.
In relazione al reclamo l’Ufficio, dopo aver invitato la Banca a fornire osservazioni in merito a quanto rappresentato e a chiarire se tutti i dati contenuti nel fascicolo personale della reclamante, e in particolare gli atti relativi al procedimento disciplinare, fossero stati già comunicati all’istante e, in caso negativo, a fornirne copia, apriva il procedimento e disponeva formale istruttoria.
All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese dalla parte nel corso del procedimento emergeva che la Banca, a fronte dell’istanza di esercizio dei diritti formulata dalla reclamante, aveva fornito un riscontro parziale e, solo a seguito dell’avvio dell’istruttoria da parte dell’Autorità, aveva consegnato l’ulteriore documentazione contenuta nel fascicolo personale della reclamante.
La parzialità del riscontro era riconosciuta dalla Banca la quale affermava di aver omesso l’ostensione di informazioni riservate di un correntista (fratello della reclamante) e utilizzate dalla reclamante nell’ambito di un procedimento giudiziario, per le implicazioni che ne sarebbero derivate al diritto di difesa e alla tutela della riservatezza del terzo.
Al riguardo, il garante osserva come non risultasse che tali motivi fossero stati resi noti alla reclamante, a cui era stata solo omessa la documentazione integrativa richiesta e segnalato “il difetto di interesse all’accesso sia perché il rapporto di lavoro è cessato nel lontano 2014 sia perché la sanzione disciplinare emessa (…) non è stata impugnata nei termini”.
Alla luce di quanto sopra, la condotta della Banca era ritenuta non conforme alla disposizione dell’art. 12, par. 4, del Regolamento, non avendo provveduto a rendere noti i motivi della mancata consegna della documentazione ulteriore, pur essendo stata oggetto di specifica richiesta.
Di estremo interesse appaiono le osservazioni del Garante formulate in punto diritto nel provvedimento in esame.
In via generale, l’Autorità considera che il diritto di accesso ha lo scopo di consentire all’interessato di avere il controllo sui dati personali che lo riguardano e, in particolare, di “essere consapevole del trattamento e verificarne la liceità”; tuttavia, ciò non comporta che tale diritto debba essere negato o limitato quando alla base della richiesta vi sia il perseguimento di un obiettivo diverso.
Infatti, dalla lettura del combinato disposto degli artt. 12 e 15 del Regolamento non risulta la necessità per gli interessati di indicare un motivo o una particolare esigenza per giustificare le proprie richieste di esercizio dei diritti, né risulta riconosciuta al titolare del trattamento la possibilità di chiedere i motivi della richiesta.
Tale interpretazione è stata chiarita anche dall’European Data Protection Board (EDPB) mediante l’approvazione delle Linee guida sul diritto di accesso, in particolare, nel punto 2.1 in cui si legge che “i titolari del trattamento non dovrebbero valutare “perché” l’interessato richiede l’accesso, ma solo “cosa” richiede l’interessato (cfr. sezione 3 sull’analisi della richiesta) e se detengono dati personali relativi a tale persona”. Pertanto, ad esempio, il titolare del trattamento non dovrebbe negare l’accesso sulla base del sospetto che i dati richiesti possano essere utilizzati dall’interessato per difendersi in giudizio in caso di licenziamento o di controversia commerciale con il responsabile del trattamento. Si tratta di un costante orientamento giurisprudenziale della Corte di Giustizia Europea (sentenza C307/22).
In definitiva, posto che la richiesta della reclamante di accedere a tutti i dati e alle informazioni facenti parte del suo fascicolo personale e sottese al procedimento disciplinare che la riguarda è lecita, il Garante rileva che la sua evasione non poteva essere subordinata al verificarsi di determinate condizioni o al perseguimento di particolari obiettivi, tra l’altro non previsti dal legislatore.
La pronuncia della Cassazione civile, richiamata dalla parte nelle proprie memorie difensive, secondo cui il datore di lavoro non è obbligato a mettere a disposizione del lavoratore la documentazione aziendale riferita ai fatti alla base di un procedimento disciplinare, attiene a una situazione differente e non comparabile con quella in esame. Tale pronuncia, infatti, si riferisce alla particolare situazione in cui la richiesta è avanzata dal lavoratore nell’ambito del procedimento disciplinare di cui all’art. 7 della legge n. 300/1970.
Diversamente, osserva il Garante nel provvedimento che ci occupa, la giurisprudenza di merito ha in diverse occasioni ribadito che il diritto di accesso deriva, oltre che dalla normativa in materia di protezione dei dati personali, dal “rispetto dei canoni di buona fede e correttezza che incombe sulle parti del rapporto di lavoro ai sensi degli artt. 1175 e 1375 c.c., come del resto è confermato dal fatto che, da tempo, la contrattazione collettiva del settore in oggetto prevede che l’azienda datrice di lavoro debba conservare, in un apposito fascicolo personale, tutti gli atti e i documenti, prodotti dall’ente o dallo stesso dipendente, che attengono al percorso professionale, all’attività svolta ed ai fatti più significativi che lo riguardano e che il dipendente ha diritto di prendere visione liberamente degli atti e documenti inseriti nel proprio fascicolo personale” (Corte di Cass. 7 aprile 2016, n. 6775).
Coerentemente con questa impostazione, l’Autorità, nei propri provvedimenti, ha spesso richiamato i titolari del trattamento a dare riscontro alle istanze provenienti dagli interessati in relazione alle richieste attinenti al rapporto di lavoro e, quindi, relative a dati e informazioni contenute nel fascicolo personale, anche quando si tratta di informazioni sottese a procedimenti disciplinari (da ultimo si veda il provvedimento n. 290 del 06/07/2023, doc. web n. 9927300).
Infine, con riferimento al formato con cui i dati devono essere resi disponibili all’istante e, cioè, se sia sufficiente fornire i dati e non anche i documenti in cui gli stessi sono presenti, il provvedimento afferma che, ai sensi dell’art. 12, del Regolamento “Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro”.
Tale norma, correttamente interpretata, attribuisce al titolare del trattamento, nell’ambito del principio di accountability, il compito di individuare la forma più completa e soddisfacente con cui riscontrare le istanze di accesso, nel rispetto di quanto previsto dall’art. 12 sopra richiamato.
Anche in tal caso, il Garante richiama i chiarimenti resi dall’European Data Protection Board (EDPB) nelle Linee Guida sul diritto di accesso laddove, rispetto a tale particolare questione, si precisa che “L’obbligo di fornire una copia non va inteso come un diritto supplementare dell’interessato, ma come modalità di accesso ai dati” e che, dunque, “non mira ad ampliare la portata del diritto di accesso: si riferisce (solo) a una copia dei dati personali oggetto di trattamento, non necessariamente a una riproduzione dei documenti originali” (sezione 2, punto 23, delle Linee Guida).
Per cui, “fare una sorta di compilazione e/o estrazione dei dati in modo da rendere le informazioni facili da comprendere potrebbe, in alcuni casi, essere un modo per soddisfare questi requisiti. In altri casi le informazioni sono meglio comprese fornendo una copia dell’effettivo documento contenente i dati personali. Pertanto, la forma più adatta deve essere decisa caso per caso” (punto 153 delle Linee Guida), e rispetto al caso in esame, la consegna della documentazione contenente i dati personali della reclamante sottesa al procedimento disciplinare costituiva l’unica modalità idonea a consentire l’accesso secondo i richiamati principi di correttezza e trasparenza.
