Con il provvedimento sanzionatorio del 16 novembre 2023 [doc. web. n. 9960875], l’Autorità Garante per la privacy ha dato ragione ad un ex dipendente di Amazon Italia Transport s.r.l. il quale aveva richiesto – senza ricevere alcun riscontro – di poter accedere ai suoi dati che l’ex datore di lavoro ancora trattava.
L’art. 12, par.3, del GDPR stabilisce che il titolare del trattamento debba dare riscontro alle richieste di accesso ai dati personali entro un mese dalla richiesta. L’art. 15, invece, riporta i diritti di accesso dei soggetti interessati (cioè di coloro che hanno comunicato i loro dati ad un titolare del trattamento, come per esempio fanno i lavoratori con il proprio datore). Nel caso esaminato dal Garante, l’ex dipendente aveva richiesto ad Amazon l’accesso ai propri dati ed Amazon aveva risposto solo dopo 6 mesi, a seguito di diversi solleciti.
Il Garante ha ritenuto insufficienti le dichiarazioni, la documentazione e le ricostruzioni fornite da Amazon ed ha sancito come illecito il trattamento realizzato dalla società, con riferimento al mancato riscontro all’istanza di accesso presentata dal reclamante.
Questo tipo di violazioni sono considerate dall’Autorità Privacy “non minori e rilevanti”, e nonostante il “pronto adeguamento alle indicazioni rese nel coso del procedimento e la cooperazione nel corso dell’istruttoria”, il Garante ha ingiunto alla società di pagare una sanzione amministrativa di € 40.000.
Nonostante quello che si pensa, questo tipo si sanzioni sono tutt’altro che rare: le persone stanno prendendo consapevolezza dei propri diritti in materia privacy e oramai da qualche tempo ricorrono all’Autorità Garante quando non vengono rispettati. E’ pertanto importante che tutte le aziende si dotino di adeguate procedure per il riscontro delle istanze privacy che possono arrivare da (ex) dipendenti, ma anche da clienti, fornitori, o semplici utenti del sito web.