Il Garante Privacy, con provvedimento n. 137 del 7 marzo 2024, ha sanzionato una banca per non aver consentito al lavoratore l’accesso integrale ai dati conservati nel proprio fascicolo personale.
Nel caso di specie, una dipendente aveva chiesto alla banca di accedere al proprio fascicolo personale, al fine di conoscere quali informazioni potevano aver dato origine ad una sanzione disciplinare nei suoi confronti.
La banca, tuttavia, non aveva dato un adeguato riscontro alla richiesta, fornendo solo un elenco incompleto della documentazione raccolta, ed omettendo alcune informazioni in base alle quali era stata irrogata la sanzione disciplinare; solo a seguito dell’avvio dell’istruttoria da parte dell’Autorità, l’istituto di credito aveva consegnato all’ex dipendente l’ulteriore documentazione contenuta nel fascicolo.
Si trattava, in particolare, della corrispondenza intrattenuta dalla banca con una terza persona, che lamentava l’illecita comunicazione di informazioni riservate del marito correntista, alla reclamante, che le aveva utilizzate nell’ambito di un procedimento giudiziario: la banca, a propria difesa, aveva sostenuto di non aver fornito all’ex dipendente tale documentazione per tutelare il diritto di difesa e la riservatezza dei terzi coinvolti, nonché per l’assenza di interesse all’accesso da parte della reclamante.
Il Garante ha osservato che, in via generale, il diritto di accesso ha lo scopo di consentire all’interessato di avere il controllo sui propri dati personali e di verificarne l’esattezza: tale diritto non può essere negato o limitato a secondo della finalità della richiesta.
Infatti, in base agli artt. 12, par. 4, e 15 del GDPR, non è chiesto agli interessati di indicare un motivo o una particolare esigenza per giustificare le proprie richieste di esercizio dei diritti, né risulta riconosciuta al titolare del trattamento la possibilità di chiedere i motivi della richiesta.
Tale interpretazione è stata chiarita anche dal Comitato europeo per la protezione dei dati (EDPB) nelle Linee guida sul diritto di accesso: il punto 2.1 prevede in particolare che i titolari del trattamento non dovrebbero valutare “perché” l’interessato richieda l’accesso, ma solo “cosa” richieda l’interessato e se detengono dati personali relativi a tale persona: il titolare del trattamento non dovrebbe quindi negare l’accesso per motivi o il sospetto che i dati richiesti possano essere utilizzati dall’interessato per difendersi in giudizio in caso di licenziamento o di controversia commerciale con il responsabile del trattamento.
Il Garante ricorda inoltre che la giurisprudenza di legittimità (come la sentenza della Cassazione 7 aprile 2016, n. 6775), e di merito, ha in diverse occasioni ribadito che il diritto di accesso del lavoratore deriva, oltre che dalla normativa in materia di protezione dei dati personali, dal rispetto dei canoni di buona fede e correttezza che incombe sulle parti del rapporto di lavoro ai sensi degli artt. 1175 e 1375 c.c.; la contrattazione collettiva del settore in oggetto prevede peraltro che l’azienda datrice di lavoro debba conservare, in un apposito fascicolo personale, tutti gli atti e i documenti, prodotti dall’ente o dallo stesso dipendente, che attengono al percorso professionale, all’attività svolta ed ai fatti più significativi che lo riguardano e che il lavoratore dipendente ha diritto di accesso e di prendere visione liberamente degli atti e documenti inseriti nel proprio fascicolo personale.