Il Garante Privacy ha emesso una sanzione nei confronti di un'azienda che ha negato l'accesso ai dati personali di un dipendente riguardanti le registrazioni di un sistema di geolocalizzazione.
Il Garante per la protezione dei dati personali, ha sanzionato una società incaricata della lettura dei contatori di gas, luce e acqua per non aver dato idoneo riscontro alle istanze di accesso ai dati di tre dipendenti.
Il fatto
Per verificare la correttezza della propria busta paga, i tre lavoratori avevano chiesto di accedere alle informazioni utilizzate per elaborare i rimborsi chilometrici e la retribuzione mensile oraria, nonché la procedura per stabilire il compenso dovuto.
In particolare, i tre lavoratori erano interessati a conoscere i dati raccolti tramite lo smartphone aziendale su cui era stato istallato un sistema di geolocalizzazione. Tale sistema permetteva agli operatori di individuare il tragitto da effettuare per raggiungere i contatori.
Attività istruttoria
Nel corso dell’istruttoria dell’Autorità è stato accertato che la società, in qualità di titolare del trattamento, non aveva fornito un riscontro idoneo, nonostante la chiarezza e l’analiticità delle istanze dei reclamanti.
La società si era, infatti, limitata a indicare le modalità e gli scopi per i quali i dati venivano trattati, senza comunicare ai lavoratori gli specifici dati trattati attraverso il GPS.
Il Garante ha, pertanto, ritenuto tale condotta illecita, in quanto in contrasto con i principi della disciplina sulla privacy, e ha ordinato alla società di fornire ai reclamanti i dati relativi alle rilevazioni/coordinate geografiche effettuate con il GPS, nonché tutte le altre informazioni richieste.
Infine, l’Autorità ha precisato che la società, anche qualora non avesse ritenuto di poter dare pieno riscontro alle richieste dei dipendenti, avrebbe comunque dovuto indicare i motivi specifici per i quali non poteva soddisfare le istanze di accesso.
Violazioni accertate e sanzione
Alla luce delle considerazioni esposte la Società è stata ritenuta responsabile per le violazioni dell’art. 12 e 15 del GDPR, l’Autorità ha pertanto comminato una sanzione amministrativa di 20 mila euro.
