Banche: consultazioni dati di dipendenti/creditori, diritti e limiti – il Caso Pankki S

Chiunque ha il diritto di conoscere la data e le ragioni per cui i suoi dati personali sono stati consultati: lo stabilisce una sentenza della Corte di giustizia europea nella causa C-579/21 | Pankki Sche riguarda un caso sorto all’interno di una banca, titolare del trattamento.

Il Caso Pankki – audito interno e trattamento dei dati

2014, Finlandia: un dipendente e cliente della banca Pankki S viene a conoscenza del fatto che i suoi dati personali sono stati consultati da altri membri del personale della banca in un audit interno, in più occasioni, tra il 1° novembre e il 31  dicembre 2013. A seguito del suo licenziamento, il dipendente chiede di conoscere chi aveva consultato i suoi dati e la data in cui tali consultazioni sarebbero avvenute.

La Banca rifiuta adducendo che tali informazioni costituivano dati personali di detti impiegati e ha chiarito che le ragioni della consultazione riguardavano la verifica dell’identità di un cliente della banca, ma tutti gli impiegati che avevano consultato i suoi dati avevano rilasciato al servizio di audit interno una dichiarazione in merito ai motivi del trattamento dei dati.

Banche e trattamento dati: quando si applica il RGDP

La Corte di giustizia, adita dal Tribunale amministrativo della Finlandia conferma l’applicazione della normativa europea in materia di dati personali: il RGDP che è applicabile dal 25 maggio 2018 e anche a d una domanda presentata successivamente a tale data, quando essa riguarda operazioni di trattamento di dati personali effettuate prima della data di entrata in vigore del RGDP.

Consultazione dei dati da parte dell’azienda: il diritto del titolare del trattamento e della persona

Secondo il RGDP, la persona i cui dati sono stati consultati ha il diritto di ottenere dal titolare del trattamento le informazioni relative a operazioni di consultazione dei dati personali, le date e le finalità di tali operazioni.

Non riconosce tale diritto con riferimento alle informazioni relative all’identità dei dipendenti che hanno svolto le consultazioni conformemente alle istruzioni del titolare del trattamento (la banca), a meno che tali informazioni siano indispensabili per consentire all’interessato di esercitare effettivamente i diritti che gli sono conferiti dal Regolamento europeo.

 Secondo la Corte, e qui c’è il passaggio importante, in caso di conflitto tra, da un lato, l’esercizio di un diritto di accesso che assicura l’effetto utile dei diritti riconosciuti dal RGPD all’interessato e, dall’altro, i diritti o le libertà altrui, si deve effettuare un bilanciamento tra i diritti e le libertà in questione .Ove possibile, occorre scegliere modalità che non ledano tali diritti o tali libertà.

Clienti e dipendenti: trattamento dati

Peraltro, la circostanza che il titolare del trattamento eserciti un’attività bancaria nell’ambito un’attività regolamentata e che la persona i cui dati personali sono stati trattati in qualità di cliente del titolare del trattamento sia stata anche dipendente di detto titolare non incide, in linea di principio, sulla portata del diritto di cui beneficia tale persona.