Il rifiuto del datore di lavoro di consegnare gli attestati di formazione viola i diritti del dipendente ed è una violazione della normativa privacy, in quanto costituisce un rifiuto di fornire una copia dei dati personali del lavoratore. Di conseguenza, il dipendente può presentare un reclamo al Garante e il datore di lavoro potrebbe essere soggetto a sanzioni pecuniarie.
Con il provvedimento n. 571 dell’11.09.2025, il Garante per la protezione dei dati personali ha affrontato un caso relativo al diritto di accesso ai dati personali. Il caso riguardava un ex dipendente di una società del settore ristorazione che aveva richiesto di accedere ai propri attestati di formazione ed al certificato medico di idoneità. Nonostante le ripetute richieste via e-mail, l’azienda aveva risposto solamente sulla riconsegna dei beni aziendali, rifiutando il rilascio dei documenti con la motivazione che fossero a carico dell’azienda. Solo dopo l’avvio del procedimento da parte del Garante, la società ha quindi fornito tutta la documentazione richiesta. Durante il procedimento, l’azienda ha precisato che gli attestati di formazione erano stati conseguiti presso il precedente datore di lavoro e non erano ancora in suo possesso, mentre il certificato medico avrebbe dovuto essere consegnato direttamente dal medico competente, secondo la normativa sulla sorveglianza sanitaria. Inizialmente, quindi, la società aveva rifiutato la consegna. Il Garante, però, ha chiarito che anche le richieste informali, prive di riferimenti espliciti alla normativa privacy o più in generale al GDPR, costituiscono istanze di accesso ai dati personali. Il titolare del trattamento non può, allora, imporre un formato specifico per tali richieste e deve rispondere in modo completo e tempestivo, entro un mese. Gli attestati di formazione contengono dati personali dell’interessato, ai quali lo stesso ha dunque diritto di accesso. L’azienda non poteva quindi rinviare l’ex dipendente al precedente datore. Il Garante ha sottolineato che, in caso di diniego, il titolare deve informare l’interessato della possibilità di presentare reclamo o ricorso all’autorità giudiziaria. Nel caso esaminato, la società ha, però, risposto in modo tardivo e parziale, sette mesi dopo la richiesta, violando i principi di correttezza, trasparenza e tempestività previsti dalla normativa in tema privacy.
Per questo motivo, il Garante ha accertato l’illiceità del trattamento ed ha irrogato una sanzione amministrativa di mille euro, disponendo anche la pubblicazione del provvedimento sul proprio sito e l’annotazione della violazione nel registro interno. Nel definire la sanzione, l’Autorità ha considerato la gravità minima della violazione, la durata del comportamento illecito e la collaborazione successiva dell’azienda, che ha infine fornito la documentazione richiesta.
Il provvedimento conferma l’importanza del diritto di accesso per la tutela della trasparenza e della consapevolezza dei lavoratori in ordine ai propri dati personali, ribadendo l’obbligo per le aziende di agevolarne l’esercizio senza indugi, anche nei casi di successione aziendale.
