Con un provvedimento dello scorso 10 novembre 2022, l’Autorità Garante per la protezione dei dati personali (il “Garante”) ha comminato ad una società italiana una sanzione di 20.000 euro per aver rilevato le presenze dei propri dipendenti tramite la lettura delle impronte digitali. Il Garante ha ribadito che “il trattamento di dati biometrici sul posto di lavoro è consentito solo se necessario per adempiere gli obblighi ed esercitare i diritti del datore di lavoro previsti da una disposizione normativa e con adeguate garanzie”.
Il caso nasceva a seguito di una segnalazione effettuata al Garante da una organizzazione sindacale che lamentava l’introduzione da parte della società, datrice di lavoro, di un sistema di timbratura che si serviva di un terminale biometrico finalizzato a rilevare gli accessi e le presenze di dipendenti e collaboratori all’interno delle strutture della stessa. L’introduzione di tale sistema, lamentava inoltre il sindacato, era stata disposta nonostante alla società fosse stato richiesto di adottare “mezzi meno invasivi” che non prevedessero un trattamento di dati biometrici dei soggetti interessati.
La società si difendeva dichiarando che il sistema adottato aveva lo scopo di facilitare agli interessati la registrazione degli orari di entrata e di uscita e rappresentava uno strumento “più snello e veloce” rispetto a quello precedentemente utilizzato che rilevava le presenze tramite un cartellino identificativo personale (c.d. badge).
Compiuta l’attività istruttoria, il Garante ha rilevato, tra le altre, l’illiceità del trattamento di dati personali biometrici effettuato dalla società per (i) aver posto in essere un trattamento in assenza di una idonea base giuridica: il Garante, infatti, ribadisce che il trattamento di dati biometrici in ambito lavorativo è consentito esclusivamente nell’ipotesi in cui sia previsto da una norma, sia essa nazionale o europea; (ii) non aver fornito agli interessati un’adeguata informativa violando, in tal modo, i principi fondamentali in materia quali quelli di liceità, correttezza e trasparenza; (iii) non aver aggiornato il Registro delle attività di trattamento che, nella versione esibita al Garante, non riportava alcun trattamento di dati biometrici dei dipendenti, violando in tal modo anche il principio di accountability; (iv) aver trattato una categoria di dati particolari per una sola finalità di semplificazione delle attività di gestione del rapporto di lavoro.
Per tutte queste ragioni, pertanto, il Garante ha adottato il provvedimento sanzionatorio nei confronti della società ordinando alla stessa non solo di pagare la summenzionata sanzione pecuniaria amministrativa per le indicate violazioni ma disponendo, altresì, la pubblicazione del provvedimento sul proprio sito istituzionale.
In conclusione, sebbene nel contesto lavorativo rilevare le presenze dei dipendenti anche al fine di verificarne il rispetto dell’orario di lavoro rappresenti una attività necessaria per assolvere gli obblighi ed esercitare diritti specifici del datore di lavoro, affinché un trattamento di dati biometrici dei lavoratori sia lecito dovrà trovare il proprio fondamento in una disposizione normativa e tale trattamento non potrà fondarsi sulla raccolta del consenso degli interessati “ciò alla luce della asimmetria tra le rispettive parti del rapporto di lavoro e la conseguente, eventuale, necessità di accertare di volta in volta e in concreto l’effettiva libertà della manifestazione di volontà del dipendente”.
Altri insights correlati:
Approvato lo schema di decreto legislativo per il recepimento della direttiva Ue sul cosiddetto “whistleblowing” Come funziona il contrasto della corruzione e la protezione degli informatori del corso di quest’anno chi deciderà di segnalare illeciti, sia nel settore pubblico che in quello privato, potrà farlo contando su maggiori tutele. A inizio dicembre, infatti, il governo ha approvato lo schema di decreto legislativo di recepimento della direttiva Ue (2019/1937) in materia di segnalazioni di illeciti, il cosiddetto whistleblowing. Manca ora sola la pubblicazione in Gazzetta Ufficiale, dopo di che le aziende con più di 250 dipendenti avranno quattro mesi per adeguarsi alle nuove regole, mentre per quelle con un numero di dipendenti compreso fra 50 e 250 ci sarà tempo fino al 17 dicembre 2023. Si tratta di un recepimento tardivo, visto che il termine ultimo era stato fissato per il 17 dicembre 2021, ma l’Italia non è l’unico Paese a essersi mosso con ritardo. La direttiva Ue introduce importanti misure per quanto riguarda la prevenzione e il contrasto della corruzione e predispone standard minimi di protezione degli informatori; si applica sia al settore pubblico che a quello privato e fornisce tutela legale a un ampio numero di potenziali whistleblower. Essa stabilisce inoltre misure idonee a garantire la protezione degli informatori dalle ritorsioni e impone la creazione di meccanismi che favoriscano le segnalazioni. «Dal 2017, in Italia, la disciplina in materia di segnalazione di illeciti nel settore privato è stata regolamentata esclusivamente dalla legge numero 179 del 2017, con la quale si è introdotta la possibilità di istituire specifici sistemi di tutela per coloro che operassero una segnalazione di illecito, meglio noti con il termine inglese “whistleblowers” (letteralmente “soffiatori di fischietto”) — spiega Vittorio De Luca, Managing Partner dello studio De Luca&Partners — Rispetto al quadro normativo nazionale delineato dalla legge del 2017, la nuova normativa estende l’obbligo di attivare un canale per la segnalazione degli illeciti a tutte le aziende del settore privato con più di cinquanta dipendenti. L’attivazione potrà avvenire dopo aver sentito le rappresentanze o le organizzazioni sindacali». Il decreto (e prima di esso la direttiva Ue) è espressamente finalizzato a proteggere chi rivela violazioni del diritto comunitario in settori quali ad esempio appalti pubblici, servizi, prodotti e mercati finanziari, riciclaggio, tutela dell’ambiente, salute pubblica e protezione dei consumatori. Esso impone di individuare modalità adeguate affinché siano garantiti il rispetto della tutela e riservatezza dei segnalatori, nonché, per i lavoratori, la protezione da qualsiasi forma di ritorsione. «Ai sensi del decreto, costituiscono ritorsione, a titolo esemplificativo, il mutamento di funzioni, il licenziamento, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell’orario di lavoro, il mancato rinnovo e la risoluzione anticipata di un contratto di lavoro a termine — conclude De Luca — Le aziende dovranno quindi istituire canali di segnalazione interni ed esterni implementando delle procedure di gestione che assicurino la riservatezza tanto dei segnalanti quanto dei dati personali, compresa la conservazione, che dovrà essere effettuata in conformità alla normativa in materia di protezione dei dati personali oggi rappresentata dal Regolamento (Ue) 2016/679, meglio noto come Gdpr».
Fonte: Repubblica Album Speciale Lavoro
È illecito il monitoraggio dei metadati della posta elettronica aziendale assegnata ai dipendenti che non garantisce adeguate tutele per la riservatezza ed è effettuato in violazione delle norme che limitano il controllo a distanza dei lavoratori. Lo ha stabilito l’Autorità Garante per la protezione dei dati personali (il “Garante”) che, con una Ordinanza di ingiunzione del 1° dicembre 2022, ha comminato alla Regione Lazio una sanzione di euro 100.000.
Il caso nasceva da una segnalazione effettuata al Garante da una organizzazione sindacale autonoma che lamentava il monitoraggio da parte dell’amministrazione, titolare del trattamento, della posta elettronica del personale in servizio presso gli uffici dell’avvocatura regionale.
Oggetto del monitoraggio, avviato nell’ambito di una indagine interna finalizzata a verificare una sospetta divulgazione di notizie protette dal segreto d’ufficio, risultavano essere le informazionirelative ad orari, destinatari, oggetto delle comunicazioni e dimensione degli allegati, i cosiddetti “metadati”, di alcuni dipendenti che erano soliti inviare messaggi ad una specifica sigla sindacale. Stando a quanto emerso nel corso dell’istruttoria, era stato possibile monitorare tali informazioni poiché, “per prassi”, i dati relativi al traffico delle e-mail venivano conservati “per generiche finalità di sicurezza informatica per 180 giorni” prima di essere definitivamente cancellati.
Sulla base di quanto emerso nel corso dell’istruttoria, il Garante ha chiarito, tra le altre, che:
Sulla base di tutto ciò, il Garante, oltre al pagamento della predetta sanzione amministrativa, ha vietato al datore di lavoro, titolare del trattamento, qualsiasi ulteriore operazione di trattamento applicata ai (meta)dati relativi all’utilizzo della posta elettronica dei dipendenti conservati per un periodo eccedente i sette giorni dalla data della loro raccolta, ha disposto la cancellazione dei dati già raccolti e conservati oltre quest’ultimo termine ed ha altresì disposto la pubblicazione dell’ordinanza sul proprio sito istituzionale.
Altri insights correlati:
Con un comunicato stampa del 9 dicembre 2022, il Consiglio dei ministri ha reso nota l’approvazione dello schema di decreto legislativo di recepimento della Direttiva (UE) 2019/1937 sulla protezione delle persone che segnalano violazioni del diritto dell’Unione. La nuova normativa estende l’obbligo di istituire canali di segnalazione a tutte le aziende del settore privato con più di 50 dipendenti.
Le principali misure introdotte prevedono, tra le altre, che:
le segnalazioni delle violazioni devono avere ad oggetto disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’ente privato;
oltre ai lavoratori subordinati che segnalano illeciti è stata confermata l’estensione della tutela anche a collaboratori, consulenti, volontari o tirocinanti, azionisti e coloro che ricoprono funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza oltreché ai lavoratori “in prova” o ex lavoratori, se le informazioni sulle violazioni sono state acquisite nel corso del rapporto di lavoro;
le aziende del settore privato dovranno garantire dei canali di segnalazione interni ed esterni che assicurino la riservatezza dei segnalanti e ogni trattamento di dati personali dovrà essere conforme al Regolamento (UE) 2016/679 (il “GDPR”);
tra le fattispecie che costituiscono ritorsioni rientrano, a titolo esemplificativo, il mutamento di funzioni, il licenziamento, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell’orario di lavoro, il mancato rinnovo o la risoluzione anticipata di un contratto di lavoro a termine;
l’applicazione da parte dell’ANAC di sanzioni amministrative pecuniarie fino a 50.000 euro.
Altri insights correlati:
Whistleblowing: la nuova scadenza per il Governo italiano
Il commento di Vittorio De Luca sul tema Whistleblowing e tutela della privacy
I siti web che utilizzano il servizio Google Analytics (GA), senza le garanzie previste dal Regolamento (UE) 2016/679 (il “Regolamento“), violano la normativa sulla protezione dei dati perché trasferiscono negli Stati Uniti, Paese privo di un adeguato livello di protezione, i dati degli utenti. Lo ha stabilito il Garante per la protezione dei dati personali (il “Garante”) con il provvedimento del 9 giugno 2022, adottato all’esito di una istruttoria avviata sulla base di una serie di reclami e in coordinamento con altre Autorità Privacy Europee e pubblicato il successivo 23 giugno.
GA è uno strumento web fornito da Google ai gestori di siti internet che permette di analizzare dettagliate statistiche sugli utenti al fine di ottimizzare i servizi offerti e monitorare le campagne di marketing.
Per quanto concerne il trattamento effettuato tramite questo strumento, dalle verifiche effettuate dall’Autorità è emerso che i gestori dei siti web (quale la società sanzionata) raccolgono, mediante cookies trasmessi al browser dell’utente, informazioni in ordine alle modalità di interazione di questi ultimi con il sito web, nonché con le singole pagine e con i servizi proposti. Nello specifico, i dati raccolti consistono in: identificatori online unici che consentono sia l’identificazione del browser o del dispositivo dell’utente che visita il sito web, sia del gestore stesso del sito (attraverso l’ID account Google); indirizzo, nome del sito web e dati di navigazione; indirizzo IP del dispositivo utilizzato dall’utente; informazioni relative al browser, al sistema operativo, alla risoluzione dello schermo, alla lingua selezionata, nonché a data e ora della visita al sito web.
Tali informazioni vengono trasferite negli Stati Uniti d’America, Paese che ad oggi, come già ribadito più volte dal Garante stesso, non garantisce un sistema di protezione dei dati personali equivalente a quello previsto all’interno dell’Unione Europea. In questo contesto, il Garante ha evidenziato che il sistema normativo vigente negli USA consente alle Autorità governative e di intelligence statunitensi di accedere alle informazioni personali per fini di sicurezza nazionale senza le garanzie previste dalla normativa europea.
Il Garante ha anche ribadito che l’indirizzo IP è un dato personale a tutti gli effetti nella misura in cui consente di identificare un dispositivo di comunicazione elettronica, rendendo pertanto indirettamente identificabile l’interessato in qualità di utente. E questo dato, quand’anche venisse troncato, non diverrebbe un dato anonimo, vista la capacità di Google di associarlo ad altri dati in suo possesso, rendendo quindi possibile una re-identificazione dell’utente.
Per tutti questi motivi, il Garante ha adottato il primo di una serie di provvedimenti con cui ha ammonito la società che gestiva il sito oggetto dell’istruttoria ingiungendole di conformarsi al Regolamento entro novanta giorni. Il tempo indicato è stato ritenuto dal Garante congruo per consentirle di adottare misure adeguate al trasferimento, pena la sospensione dei flussi di dati effettuati, per il tramite di GA, verso gli Stati Uniti.
Allo scadere dei novanti giorni, si legge nel provvedimento in esame, il Garante procederà, anche sulla base di specifiche attività ispettive, a verificare la conformità al Regolamento dei trasferimenti effettuati dai titolari.
◊◊◊◊
In attesa che l’Unione Europea e gli Stati Uniti d’America raggiungano un accordo giuridicamente vincolate che garantisca un trasferimento internazionale con protezioni equivalente a quanto richiesto in Europa, i gestori dei siti web sono chiamati a conformarsi ai requisiti richiesti dalla normativa in vigore. Ciò anche valutando di affidarsi eventualmente a provider europei che trattino i dati personali degli utenti all’interno del territorio UE.
Altri insights correlati:
