Con Provvedimento del 14 settembre 2023 u.s., l’Autorità Garante per la protezione dei dati personali (il “Garante”) ha rilevato l’illiceità del trattamento di dati effettuato da parte di una società incaricata della lettura dei contatori di gas, luce e acqua (la “Società”), confermando che il datore di lavoro ha l’obbligo di fornire un completo riscontro alle istanze di esercizio del diritto di accesso, anche comunicando i dati relativi alla geolocalizzazione.
La vicenda trae origine dal reclamo presentato al Garante da tre dipendenti della Società che non avevano ricevuto un riscontro soddisfacente alla richiesta di accesso ai propri dati personali raccolti attraverso lo smartphone aziendale, sul quale era stato istallato un sistema di geolocalizzazione che permetteva ai lavoratori di individuare il tragitto da effettuare per raggiungere i contatori oggetto dell’intervento tecnico.
In particolare, i dipendenti chiedevano di conoscere le informazioni utilizzate per elaborare i rimborsi chilometrici e la retribuzione mensile oraria, nonché la procedura per stabilire il compenso dovuto per verificare la correttezza della propria busta paga.
Il Garante, nel corso dell’attività istruttoria, ha rilevato che la Società non aveva fornito un riscontro idoneo rispetto a quanto richiesto dai tre lavoratori, nonostante la richiesta risultasse chiara ed analitica. Infatti, non aveva provveduto a comunicare ai dipendenti i dati trattati attraverso il sistema GPS, ma si era limitata ad indicare le modalità e gli scopi per i quali venivano trattati e a fornire l’informativa già sottoscritta dagli interessati.
All’esito dell’attività istruttoria, il Garante ha rilevato che la Società, nella sua qualità di Titolare del trattamento, ha effettuato il trattamento in violazione:
La Società avrebbe dovuto fornire tutti i dati raccolti attraverso il sistema di geolocalizzazione, riscontrando le richieste puntualmente pervenute dai tre reclamanti;
All’esito dell’attività istruttoria, il Garante chiarisce che, dal momento che la Società ha trattato, tra l’altro, dati relativi alla geolocalizzazione degli smartphone forniti ai dipendenti per lo svolgimento della prestazione lavorativa, da tale trattamento “è derivata indirettamente la geolocalizzazione dei reclamanti stessi”: per tale ragione, la Società avrebbe dovuto fornire un riscontro completo ed esaustivo alle istanze di esercizio del diritto di accesso, comunicando, in particolare, i dati relativi alla geolocalizzazione dei lavoratori oppure motivare una eventuale inottemperanza alle richieste ricevute.
Alla luce di tutto quanto sopra esposto, il Garante ha comminato alla Società datrice il pagamento di una sanzione amministrativa pecuniaria di 20mila euro disponendo, altresì, la pubblicazione del Provvedimento sul proprio sito web.
Altri insights correlati:
Con Provvedimento del 6 luglio 2023 u.s., l’Autorità Garante per la protezione dei dati personali (il “Garante”) ha rilevato l’illiceità del trattamento di dati effettuato da parte di un’azienda di servizi di pubblica utilità (la “Società”), stabilendo che il datore di lavoro ha l’obbligo di consentire ad un lavoratore di accedere a tutti i suoi dati personali, compresi quelli contenuti nella relazione prodotta dall’agenzia investigativa incaricata dal datore di lavoro di raccogliere informazioni sul suo conto ed utilizzate dalla Società per finalità disciplinari.
La vicenda trae origine a seguito del reclamo presentato al Garante da un dipendente che non riceveva integrale riscontro alle molteplici richieste di accesso ai propri dati personali presentate alla Società datrice dopo aver ricevuto una contestazione disciplinare, cui faceva seguito il licenziamento del lavoratore, che conteneva dei “puntuali riferimenti” a condotte estranee all’attività lavorativa vera e propria e che quindi denotavano un possibile controllo “contrario alle norme vigenti (condotta non iure) e lesivo di una situazione giuridica soggettiva altrui protetta dalla legge (condotta contra ius) e, conseguentemente l’inutilizzabilità dei dati raccolti”.
La Società motivava il diniego all’accesso dei dati personali trattati sostenendo che le richieste presentate dal lavoratore erano troppo generiche e che lo stesso avrebbe dovuto indicare nel dettaglio le informazioni cui voleva accedere.
Emergeva, inoltre, che solamente in occasione della costituzione della Società nel giudizio di impugnazione del licenziamento dinanzi alle competenti autorità giudiziarie, il dipendente aveva potuto conoscere dell’esistenza e del contenuto della relazione investigativa.
All’esito dell’attività istruttoria, l’Autorità ha rilevato che la Società, nella sua qualità di Titolare del trattamento, ha effettuato il trattamento in violazione:
Nel caso di specie, la Società avrebbe dovuto fornire tutti i dati raccolti con la relazione investigativa, considerato che la stessa conteneva anche informazioni relative al lavoratore ma che non erano state menzionate nella contestazione disciplinare;
Per tutte le ragioni sopra esposte, il Garante ha rilevato l’illiceità del trattamento effettuato dalla Società in relazione agli artt. 5, par. 1, lett. a), 12 e 15 del GDPR; ha ribadito che “salvo diversa richiesta esplicita dell’interessato, la richiesta di esercitare il diritto di accesso è intesa in termini generali, comprendendo tutti i dati personali che li riguardano”; ha, pertanto, comminato alla Società datrice il pagamento di una sanzione amministrativa pecuniaria di 10mila euro ed ha disposto la pubblicazione del Provvedimento sul proprio sito web.
Altri insights correlati:
L’Ispettorato Nazionale del Lavoro (“INL”), con la nota n. 2572 del 14 aprile 2023, ha fornito indicazioni operative per il rilascio di provvedimenti autorizzativi dei sistemi di videosorveglianza e degli strumenti dai quali deriva la possibilità di controllo a distanza dei lavoratori ai sensi dell’articolo 4 dello Statuto dei Lavoratori (L. 300/1970). Le indicazioni – si legge nella nota operativa – traggono spunto dall’esperienza applicativa e dalle problematiche operative emerse nel tempo anche alla luce dell’evoluzione tecnologica degli strumenti adottabili tenendo, altresì, conto degli orientamenti dell’Autorità Garante per la protezione dei dati personali.
L’INL ha, tra le altre, precisato che:
La nota in commento chiarisce anche le modalità di utilizzo dei sistemi di geolocalizzazione. L’INL, riferendosi espressamente alle conclusioni che l’Autorità Garante per la protezione dei dati personali ha nel tempo condiviso sul tema, richiama le prescrizioni fornite dall’Autorità circa le modalità di configurazione dei sistemi. Questi ultimi, infatti, devono:
L’INL chiarisce, altresì, che la procedura imposta dall’art. 4 della L. 300/1970 si applica anche alle tipologie di lavoro in relazione alle quali sono normativamente estese le medesime tutele del lavoro subordinato tra cui rientrano le collaborazioni che si concretano in prestazioni prevalentemente personali, continuative ed eseguite secondo modalità etero organizzate anche qualora organizzate mediante piattaforme anche digitali.
Altri insights correlati:
Videosorveglianza: non occorre rinnovare la procedura per modifica degli assetti proprietari
Videosorveglianza: nota del Ministero del Lavoro n. 1241 del 1° giugno 2016
Con Ordinanza di ingiunzione dello scorso 11 gennaio 2023, il Garante per la Protezione dei dati Personali (il “Garante” o l’”Autorità”) ha comminato ad una società il pagamento di una sanzione amministrativa pari a euro 5.000 per aver mantenuto attivo l’account di posta elettronica di una collaboratrice e aver preso visione del contenuto dello stesso.
Una società, nel corso di alcune trattative volte a definire l’acquisizione di una società cooperativa, concordava che una esponente di quest’ultima collaborasse, spendendo il nome della società acquirente, alla promozione di un fornitore comune in occasione di un evento fieristico.
Alla collaboratrice veniva quindi attivato un account di posta elettronica aziendale al fine di consentirle di relazionarsi con i potenziali clienti conosciuti in occasione dell’evento.
A distanza di qualche mese, le trattative tra le due società venivano interrotte e la reclamante richiedeva la disattivazione dell’account di posta elettronica assegnatole. La società, al fine di non perdere i contatti di potenziali nuovi clienti raccolti durante l’evento, manteneva attivo l’account e impostava un sistema di inoltro delle comunicazioni in entrata alla mail del direttore commerciale, disattivando l’indirizzo di posta della reclamante solamente trascorsi (circa) sei mesi dall’attivazione.
Il Garante ha innanzitutto rilevato che la società non ha adempiuto all’obbligo di informare la reclamante circa il trattamento dei dati effettuato sul suo account di posta così come invece prescritto dall’articolo 13 del Regolamento (UE) 2016/679 (il “Regolamento“). Tale obbligo, ricorda l’Autorità, vige anche nell’ambito di eventuali trattative precontrattuali quale espressione dei principi di correttezza e trasparenza (cfr. art. 5, Regolamento).
Nel caso di specie, la società:
◊◊◊◊
Ciò detto, il Garante ricorda che: “[…] il legittimo interesse a trattare dati personali per difendere un proprio diritto in giudizio non [può] comportare un aprioristico annullamento del diritto alla protezione dei dati personali riconosciuto agli interessati […]”.
Con il provvedimento in oggetto viene, altresì, richiamato un consolidato orientamento dell’Autorità secondo cui un adeguato bilanciamento degli interessi come menzionati alla precedente lett. b) si realizza attivando un sistema di risposta automatico con il quale vengono forniti al mittente degli indirizzi alternativi attraverso cui contattare la società, titolare del trattamento, senza accedere alle comunicazioni in entrata, come invece fatto nel caso di specie in violazione, tra le altre, del principio di minimizzazione (cfr. art. 5 del Regolamento).
Con sentenza n. 28398 del 29 settembre 2022, la Corte di Cassazione, sezione Lavoro, si è espressa circa l’utilizzabilità, a fini difensivi, di registrazioni di colloqui tra il dipendente ed i colleghi sul luogo di lavoro.
Nel caso sottoposto all’attenzione della Suprema Corte, una dipendente era stata licenziata per giusta causa per avere violato alcune procedure aziendali di conservazione dei dati. Il licenziamento era stato ritenuto illegittimo dai giudici di merito sul presupposto che gli addebiti contestati alla lavoratrice fossero privi del carattere di gravità e non giustificassero l’irrogazione della sanzione espulsiva, essendo al più sanzionabili con una misura conservativa, secondo le previsioni del contratto collettivo applicato.
La Corte d’Appello di Salerno aveva tuttavia escluso il carattere ritorsivo del licenziamento (invocato dalla lavoratrice), ritenendo che, il carattere ritorsivo non potesse ritenersi provato in base alle deposizioni testimoniali raccolte né attraverso le “abusive, illegittimamente captate e registrate conversazioni” tra la lavoratrice e alcuni propri colleghi.
Nell’ambito del ricorso per la cassazione della sentenza proposto dalla società datrice di lavoro, la lavoratrice proponeva ricorso incidentale, censurando la sentenza impugnata per avere escluso la ritorsività del licenziamento sulla base di un presupposto errato e cioè la non utilizzabilità delle registrazioni dei colloqui tra presenti, in contrasto con l’orientamento di legittimità e sebbene controparte non avesse in alcun modo contestato lo svolgimento dei colloqui registrati e il relativo contenuto.
Nell’accogliere il ricorso incidentale proposto dalla lavoratrice, la Suprema Corte coglie l’occasione per fare il punto sui limiti e le condizioni di utilizzabilità delle registrazioni come mezzi di prova in sede giudiziale.
In primo luogo, si legge nella sentenza in commento, la registrazione su nastro magnetico di una conversazione può costituire fonte di prova, ex articolo 2712 c.c., se colui contro il quale la registrazione è prodotta non contesti che la conversazione sia realmente avvenuta, né che abbia avuto il tenore risultante dal nastro, e sempre che almeno uno dei soggetti, tra cui la conversazione si svolge, sia parte in causa.
L’art. 24 del Codice della Privacy prevede inoltre la legittimità delle registrazioni effettuate all’insaputa dell’interlocutore e la possibilità di un loro utilizzo in sede giudiziale, quando il loro utilizzo sia necessario per far valere o difendere un diritto e a condizione che, i dati raccolti siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento.
Pertanto, prosegue la Corte, l’utilizzo a fini difensivi di registrazioni di colloqui tra il dipendente e i colleghi sul luogo di lavoro non necessita del consenso dei presenti, in ragione dell’imprescindibile necessità di bilanciare le contrapposte istanze della riservatezza da una parte e della tutela giurisdizionale del diritto dall’altra e pertanto di contemperare la norma sul consenso al trattamento dei dati con le formalità previste dal codice di procedura civile per la tutela dei diritti in giudizio.
È dunque legittima la condotta del lavoratore che abbia effettuato tali registrazioni per tutelare la propria posizione all’interno dell’azienda e per precostituirsi un mezzo di prova, rispondendo la stessa, se pertinente alla tesi difensiva e non eccedente le sue finalità, alle necessità conseguenti al legittimo esercizio di un diritto.
Sulla base di tali premesse, la Corte di Cassazione, accoglie il ricorso incidentale proposto dalla lavoratrice, rinviando la causa alla Corte d’appello di Salerno con invito a provvedere ad un nuovo esame della fattispecie alla luce dei principi di diritto richiamati.
