VEDI ANCHE Newsletter del 1 agosto 2025

 

[doc. web n. 10154148]

Provvedimento del 10 luglio 2025

Registro dei provvedimenti
n. 390 del 10 luglio 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Claudio Filippi, segretario generale reggente;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTA la segnalazione presentata ai sensi dell’art. 144 del Codice dalla O.S. Lavoro Privato Puglia nei confronti di Magna PT S.p.A.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. La segnalazione nei confronti della Società e l’attività istruttoria.

In data 23 agosto 2021, la O.S. USB Lavoro Privato Puglia ha presentato una segnalazione, ai sensi dell’art. 144 del Codice, nei confronti di Magna PT S.p.A. (di seguito, la Società) con la quale è stato lamentato che i lavoratori sarebbero sottoposti a un “«colloquio di rientro dal lavoro» con la compilazione di un questionario […] in seguito ad assenze dovute a malattia, ricoveri.

In data 10 gennaio 2024, la Società, a seguito di una richiesta di informazioni inviata ai sensi dell’art. 157 del Codice dall’Ufficio, ha presentato il proprio riscontro e in tale occasione ha dichiarato che:

- “nel 2016 il Gruppo GETRAG viene acquisito da Magna, uno dei più grandi e diversificati fornitori di componenti per il settore Automotive presente su scala globale con oltre 160.000 dipendenti e 400 sedi aziendali” (v. nota 10/01/2024 cit., p. 1);

- “quanto al modulo RTWI «Return to Work Interview» (Colloquio di rientro al lavoro) - di seguito il «Modulo» - oggetto della richiesta di informazioni, il suo utilizzo è parte di una normale pratica gestionale per cui, al rientro da un periodo di assenza, i dipendenti vengono invitati ad effettuare un colloquio (che viene svolto come un’intervista, avvalendosi del Modulo) con il proprio responsabile” (v. nota cit., p. 1);

- “lo svolgimento dell’intervista si innesta all’interno delle pratiche di salute e sicurezza sul luogo di lavoro, rispondendo all’esigenza di garantire la salute psicofisica dei lavoratori, nel rispetto delle competenze reciproche tra datore di lavoro e medico competente” (v. nota cit., p. 2);

- “la finalità dell’intervista è quella di intercettare eventuali situazioni di difficoltà sul luogo di lavoro e poter eventualmente fornire un supporto al dipendente e/o agevolare un suo rapido reinserimento al lavoro” (v. nota cit., p. 2);

- “il Modulo viene compilato manualmente dal responsabile del dipendente intervistato” (v. nota cit., p. 2);

- “il responsabile consegna poi il Modulo all’ufficio Risorse Umane, che ne prende visione e valuta, insieme al responsabile e/o al medico competente, eventuali iniziative da mettere in atto a tutela della salute psicofisica del lavoratore, ad esempio l’opportunità di modifica della postazione di lavoro su richiesta del lavoratore o la gestione in presenza di una eventuale richiesta del dipendente di essere adibito ad una postazione di lavoro alternativa o temporanea, o l’indicazione di problematiche nei rapporti relazionali con capi e/o collaboratori” (v. nota cit., p. 2);

- con riferimento ad “Adeguamento Modulo RTWI nel 2020” “si evidenzia che avete ricevuto due moduli: - Quello in vigore sino al maggio 2020 ([…] sub all. 1 […]) - Quello redatto nel maggio 2020 ([…] sub all. 2 […])” (v. nota cit., p. 2);

- “questo secondo modulo, allegato sub all. 2, era stato snellito rispetto alla prima versione,” (v. nota cit., p. 2);

- con riferimento alla “seconda revisione Modulo RTWI” si precisa che “nel mese settembre 2021, … il modulo è stato revisionato nuovamente. Nella revisione, che ha comportato una ulteriore semplificazione, … è stata ampliata l’informativa” (v. nota cit., p. 3);

- “in tutte le versioni dei moduli, è sempre evidenziato che le informazioni raccolte sono soggette a riservatezza da parte delle funzioni aziendali interessate. In particolare, nelle versioni del Modulo in uso durante l’emergenza pandemica (all. 1 e 2) è stato precisato che le informazioni sarebbero state gestite nel pieno rispetto delle normative in materia di privacy e trattamento dei dati personali e che i dati raccolti sarebbero stati trattati esclusivamente per la finalità di prevenzione” (v. nota cit., p. 3);

- “inoltre, nell’intestazione del modulo in uso da settembre 2021 e tutt’ora in uso (all. 3), viene indicata la seguente dicitura: «I dati raccolti nel seguente modulo hanno finalità esclusive di prevenzione ai fini della salute e sicurezza e il modulo viene compilato dopo un periodo di allontanamento dal lavoro dovuto a malattia, infortunio o ricovero. Nel presente modulo non sono trattati dati relativi alla salute o dati particolari del lavoratore. Non occorre indicare alcuna informazione relativa a patologie o particolari circostanze all’interno del modulo. La compilazione resta comunque facoltativa. Per ogni eventuale ulteriore informazione su come Magna PT SpA tratta i dati personali si può comunque far riferimento a quanto riportato in calce al presente modulo e nella Policy sulla Protezione dei Dati Personali reperibile in BIC* e su Magnet* [“BIC e Magnet rappresentano i portali aziendali che raccolgono procedure e informative aziendali, a cui possono accedere tutti i dipendenti Magna PT S.p.A.”], nonché nell’informativa sul trattamento dei dati reperibile sul portale buste paga»” (v. nota cit., p. 3);

- “in ogni caso, anche prima dell’aggiornamento del 2021, la Policy sulla Protezione dei Dati Personali e l’informativa privacy, reperibili sui portali informatici aziendali, già informavano i dipendenti sulla possibilità di trattamenti volti ad adempiere i doveri in materia di salute e sicurezza sul luogo di lavoro” (v. nota cit., p. 3, 4).

In data 11 aprile 2024, la Società, in riscontro a una ulteriore richiesta di informazioni formulata ai sensi dell’art. 157 del Codice dal Dipartimento il 13 marzo 2024, ha dichiarato che:

- “in merito alla dicitura inserita nel modulo in uso da settembre 2021 […] «Per ogni eventuale ulteriore informazione su come Magna PT S.p.A. tratta i dati personali si può comunque far riferimento a quanto riportato in calce al presente modulo» si precisa che: in calce al modulo sono riportate le informazioni sulla conservazione del documento ai sensi della policy aziendale del «Magna Global Record Retention Schedule» (MGRRS) secondo un uso diffuso e ben noto nella società. […] Nel testo troviamo diversi campi che indicano: • Validità: indica la data dalla quale il modulo è valido, nello specifico 25 agosto 2021; • Classe sicurezza: indica il grado di confidenzialità, nel caso specifico strettamente confidenziale; • Conservazione: indica il tempo massimo di conservazione, nel caso specifico più di 10 anni nonché l’ufficio di conservazione, nel caso specifico HR (indicato con la sigla HRPR03)) e il luogo di conservazione, nel caso specifico la cartella del personale (indicato con la sigla P03); • Archiviazione definitiva: indica il luogo in cui il documento è conservato (in linea con quanto indicato al punto sopra tramite le sigle), nel caso di specie la cartella personale presso la sede aziendale” (v. nota 11/04/2024, p. 1, 2);

- “le logiche del manuale di classificazione sono note e normalmente utilizzate in azienda” (v. nota cit., p. 2);

- “l’informativa nell’intestazione del modulo è stata modificata nel 2020 (prevedendo in modo più esplicito le finalità del modulo) e poi nel 2021 (indicando, in particolare, in modo più esteso le finalità del trattamento e il tipo di dati trattati e rimandando agli ulteriori documenti e informazioni sul portale aziendale per dettagli)” (v. nota cit., p. 2).

2. L’avvio del procedimento e le deduzioni della Società

Il 7 agosto 2024, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione alla Società delle presunte violazioni del Regolamento riscontrate, con riferimento agli artt. 5, par. 1, lett. a), c), e), 6, 9, 13, 88 del Regolamento e 113 del Codice.

In data 7 agosto 2024, la Società ha presentato istanza di proroga dei termini per depositare scritti difensivi e richiesta di audizione. In data 8 agosto 2024 l’Ufficio ha accolto la proroga richiesta.

In data 7 ottobre 2024, la Società ha presentato i propri scritti difensivi e in quell’occasione ha evidenziato che:

- “il Modulo è parte di una prassi gestionale standard e diffusa nel mercato volta a garantire un corretto adempimento da parte del datore di lavoro dei propri doveri di tutela dell’integrità psicofisica dei lavoratori ai sensi dell’art. 2087 c.c.” (v. nota 7/10/2024, pp. 2, 3);

- “il responsabile del dipendente compila manualmente il Modulo e riceve formazione adeguata su come condurre il colloquio ivi compresa l’istruzione di non chiedere informazioni sulla salute del dipendente o di visionare documenti medici. Infatti, in nessun caso i responsabili hanno richiesto informazioni sulla salute dei dipendenti o visionato documenti medici degli stessi. Il Modulo ricorda altresì al dipendente della facoltà di richiedere un colloquio con il medico competente” (v. nota cit., p. 3);

- “dopo la compilazione, il responsabile verifica il contenuto del Modulo con il dipendente, che può firmarlo e richiederne una copia, ma senza obbligo di firma. Successivamente, il Modulo viene consegnato all’ufficio risorse umane (“Ufficio HR”), che insieme al responsabile e/o al medico competente valuta eventuali azioni a tutela della salute del dipendente, come la modifica della postazione di lavoro o la gestione delle relazioni lavorative” (v. nota cit., p. 3);

- “il Modulo è conservato nella cartella personale del dipendente, in un armadio sottochiave nell’Ufficio HR, accessibile solo a personale autorizzato” (v. nota cit., p. 4);

- “nello specifico, quindi, nel 2020 sono stati utilizzati due moduli: il primo, in vigore fino a maggio 2020 ([…] “Modulo 2020”), e il secondo, redatto a maggio 2020” (v. nota cit., p. 4);

- “l’informativa nell’intestazione del Modulo è stata modificata nel 2020 per delineare più chiaramente le finalità del Modulo e successivamente nel 2021 per estendere la descrizione delle finalità del trattamento e dei tipi di dati trattati (v. cap. II.C.1), rimandando ai documenti sul portale aziendale per ulteriori dettagli” (v. nota cit., p. 5);

- “l’obbligazione generale del datore di cui all’art. 2087 c.c. non può essere intesa in senso restrittivo e statico e limitato al mero adempimento di espressi e specifici obblighi normativi, ma deve essere intesa in senso dinamico essendo il datore di lavoro tenuto a garantire nel tempo e nel continuo la salute e sicurezza del luogo di lavoro secondo le migliori prassi (da ultimo. C. Cass. 21 agosto 2024, n. 22996)” (v. nota cit., p. 6);

- “la salute sul luogo di lavoro deve essere interpretata in modo ampio e dinamico avendo ad oggetto non solo la malattia, ma lo “stato di completo benessere fisico, mentale e sociale, non consistente solo in una assenza di malattia o d’infermità” (art. 2, comma 1, lett. o, d.lgs. n. 81/2008)” (v. nota cit., p. 6);

- “il complesso delle valutazioni e delle informazioni connesse alla salubrità e al benessere sul luogo di lavoro, non può essere rimesso alla mera verifica dell’idoneità del medico-competente, ma richiede un vero e proprio lavoro di cura, che deve essere portato avanti dal datore di lavoro tramite idonei strumenti organizzativi tra cui, appunto, per Magna, l’utilizzo del Modulo per raccogliere eventuali loro problematiche. Peraltro, in una società sempre più complessa e tecnologizzata come quella attuale, definita come una vera e propria “società del rischio” è più che necessario che nel contesto lavorativo vengano adottati sistemi che, se non perfettamente in grado, almeno tentino di intercettare situazioni di malessere dei dipendenti che una semplice visita di idoneità alla mansione lavorativa non sarebbe in grado di mappare” (v. nota cit., p. 7);

- “al fine di adempiere a tale dovere, il datore di lavoro deve essere in grado di intercettare fenomeni di malessere collettivo e individuale e quindi intervenire prima che il posto di lavoro possa diventare la causa di problemi per i lavoratori” (v. nota cit., p. 7);

- “la creazione di un ambiente di lavoro salubre e la prevenzione dei rischi sono all’origine della decisione di Magna di avvalersi del Modulo” (v. nota cit., p. 8);

- “la Contestazione è stata notificata oltre il termine per la chiusura del procedimento” (v. nota cit., p. 8);

- “la comunicazione di apertura del procedimento sanzionatorio è stata notificata alla Società in data 7 agosto 2024, oltre lo scadere del termine di 120 giorni dall’accertamento dell’asserita violazione, termine previsto dal Regolamento interno del Garante 2/2019, Tabella B, sezione 2), e quindi in uno stato di esaurimento del potere amministrativo dell’Autorità” (v. nota cit., p. 8);

- “l’Autorità è infatti giunta a conoscenza dei fatti oggetto del presente procedimento in data 23 agosto 2021, quando l’Unione Sindacale di Base (coordinamento regionale Puglia) ha segnalato l’esistenza del Modulo […] chiedendo all’Autorità di indagare sulla legittimità del trattamento posto in essere” (v. nota cit., p. 8);

- “in data 1° settembre 2021– al termine della sospensione feriale del periodo di agosto – il termine di 120 giorni iniziava pertanto a decorrere, in quanto è da quel momento che l’Autorità disponeva delle informazioni utili per l’accertamento di eventuali violazioni o quantomeno per richiedere alla Società informazioni e chiarimenti in merito al trattamento posto in essere” (v. nota cit., p. 9);

- “qualora tali informazioni fossero state chieste prima della scadenza del termine di 120 giorni questo sarebbe stato sospeso - ai sensi dell’art. 7 del Regolamento interno […] - per il periodo intercorrente tra le eventuali richieste di chiarimenti e le relative risposte, in modo da permettere all’Autorità di fruire del termine netto di 120 giorni per la formulazione di eventuali contestazioni” (v. nota cit., p. 9);

- “nel caso di specie, il Garante ha inviato la prima richiesta di informazioni alla Società solamente il 4 dicembre 2023, due anni e quattro mesi dopo avere ricevuto la segnalazione e quasi due anni dopo la scadenza del termine dei 120 giorni decorrente dal 1° settembre 2021” (v. nota cit., p. 9);

- “il termine di 120 giorni ha natura perentoria” (v. nota cit., p. 9);

- “nel caso di specie la Prima Richiesta è stata posta in essere dall’Autorità ben oltre la scadenza del termine (i.e. 704 giorni dopo la scadenza). Segue che la Contestazione è stata notificata alla Società dall’Autorità in totale carenza di alcun potere sanzionatorio” (v. nota cit., p. 10);

- con riferimento alla “asserita assenza di idonea informativa per gli interessati” “posto che il Modulo 2020 e il Modulo Covid sono stati eliminati ormai da tempo, il Modulo 2021 è sostanzialmente corretto e rispetta il principio di trasparenza. Il Modulo infatti deve essere letto nell’assetto del complessivo rapporto datore di lavoro-lavoratore, un rapporto che si articola nel tempo anche attraverso uno scambio continuo di informazioni e che non è cristallizzato nella consegna di un documento informativo/contrattuale come è il caso, ad esempio del rapporto venditore-consumatore” (v. nota cit., p. 11);

- “le informazioni […] il dipendente [le] ha già ricevuto nell’informativa fornita al momento dell’instaurazione del rapporto di lavoro […] – informativa sempre disponibile per la consultazione sul portale buste paga e nel Manuale – e che trova sempre disponibili nella Policy sul trattamento dei dati facilmente reperibile sui portali aziendali” (v. nota cit., p. 12);

- “i dati non vengono comunicati a terzi o trasferiti extra SEE, per cui tutte le informazioni richieste dall’[art.] 13 GDPR, fatta eccezione per l’elenco dei diritti, sono già disponibili al lavoratore tramite il Modulo” (v. nota cit., p. 12);

- “il Modulo fornisce all’interessato le informazioni specifiche e necessarie relative al trattamento in un formato immediato e trasparente […] – i.e. riportandole direttamente nel Modulo – senza necessità di aggravare l’interessato con ulteriore e ripetitiva documentazione e rimandando ad altri documenti già nella disponibilità del dipendente per tutte le ulteriori informazioni che non riguardano la specifica attività svolta nel singolo caso” (v. nota cit., p. 12);

- “diversamente ragionando, il datore di lavoro dovrebbe fornire informative lunghe e complesse continuamente, cosa che sarebbe controproducente proprio per la creazione di consapevolezza nei dipendenti sul trattamento dei dati personali” (v. nota cit., p. 13);

- “in ogni caso, ove l’Autorità ritenga che le informazioni relative al trattamento dei dati raccolti tramite il Modulo debbano essere fornite tramite una specifica ulteriore informativa, la Società implementerà il nuovo documento, integrando così la documentazione fornita all’interessato al momento del Colloquio” (v. nota cit., p. 13);

- “per quanto riguarda l’inserimento, tra le indicazioni che devono essere fornite in sede di Colloquio, anche di quella relativa alle “persone presenti” […] si precisa che con “persone presenti” si fa esclusivamente riferimento al dipendente e all’intervistatore” (v. nota cit., p. 13);

- con riferimento al Modulo 2021 “la Società: a) non pone in essere alcuna attività di sorveglianza sanitaria che è rimessa, ai sensi della normativa, alla competenza esclusiva del medico competente; b) non tratta alcun dato sanitario attraverso il Modulo 2021 […] c) si limita a chiedere se l’assenza sia dovuta a malattia, ricovero o infortunio (informazione che il datore di lavoro può e deve legittimamente trattare in quanto necessarie a garantire l’esercizio completo dei diritti del dipendente tenendo traccia in modo corretto dei giorni di assenza cui il dipendente ha diritto anche al fine di calcolare correttamente il periodo di comporto) mentre eventuali – facoltativi – commenti relativi a particolari restrizioni, limitazioni o prescrizioni imposte dal medico competente, sono trattate unicamente per i profili connessi allo svolgimento dell’attività lavorativa e non allo stato di salute dell’interessato, altra informazione che il datore non solo può legittimamente trattare, considerato che riceve dal medico competente giudizi di idoneità con eventuali prescrizioni, ma deve raccogliere, anche tramite il Modulo, al fine di garantire costantemente la salute e la sicurezza sul luogo di lavoro, intervenendo per prevenire situazioni di malessere collettivo o individuale” (v. nota cit., pp. 13, 14);

- “l’invito a formulare ulteriori commenti viene posto in essere esclusivamente al fine di dare all’interessato la mera possibilità di segnalare eventuali esigenze connesse allo svolgimento delle sue mansioni e/o comunque agevolare un rapido reinserimento al lavoro” (v. nota cit., p. 14);

- “tali ulteriori commenti riguardano pertanto esclusivamente attività e/o tutele che devono essere implementate dal datore di lavoro e che il datore deve trattare e può trattare anche in sede di colloquio di rientro poiché garantiscono la migliore organizzazione del lavoro e prevengono situazioni di difficoltà in cui potrebbe trovarsi il dipendente” (v. nota cit., p. 15);

- “manca, quindi, nel caso di specie, l’elemento oggettivo della condotta contestata” (v. nota cit., p. 15);

- “sempre con riguardo al trattamento di dati ordinari si ribadisce che la stessa compilazione del Modulo – come già specificato nel Modulo stesso – è completamente facoltativa e rimessa alla volontà dell’interessato, che non subisce alcuna conseguenza in ragione della scelta di svolgerlo o meno e non viene in alcun modo spinto all’intervista e alla compilazione, che avvengono sulla base di una spinta dei dipendenti stessi, i quali desiderano avere un confronto con la Società ed esporre eventuali difficoltà e/o problematiche relative all’organizzazione del lavoro. Ne è prova il fatto che nei casi in cui i dipendenti hanno rifiutato la compilazione del Modulo non sono stati contattati per spingerli alla compilazion[e] né vi sono state conseguenze o sono state prese decisioni di alcun tipo” (v. nota cit., p. 15);

- “nonostante l’asimmetria che caratterizza il rapporto di lavoro, è tuttavia talvolta ammesso che il datore di lavoro possa basarsi sul consenso come base legittima per il trattamento di dati personali. In particolare, ove il titolare sia in grado di dimostrare che il consenso è stato effettivamente espresso liberamente dagli interessati, e quindi ove i dipendenti non subiscono alcuna ripercussione negativa dall’eventuale diniego del proprio consenso, il consenso deve ritenersi legittimamente prestato (cfr. Gruppo di Lavoro Articolo 29 per la Protezione dei Dati, Linee guida sul consenso ai sensi del regolamento (UE) 2016/679, punto 3.1.1.; Gruppo di Lavoro Articolo 29 per la Protezione dei Dati, Parere 2/2017 sul trattamento dei dati sul lavoro, punto 6.2)” (v. nota cit., p. 15);

- “il trattamento di dati personali attraverso il Modulo deve perciò ritenersi legittimo” (v. nota cit., p. 16);

- “anche ove l’Autorità ritenesse che il consenso non possa essere la base giuridica corretta per il trattamento posto in essere da Magna, in ogni caso questo sarebbe legittimo sulla base del legittimo interesse della stessa ai sensi dell’art. 6 par. 1 lett. f) GDPR all’organizzazione aziendale e alla tutela della salute psicofisica dei dipendenti” (v. nota cit., p. 16);

- “in merito alla presunta violazione del principio di minimizzazione” si osserva che “ai sensi dell’art. 2087 del Codice Civile, il datore di lavoro ha l’obbligo di adottare tutte le misure necessarie a garantire ai dipendenti un ambiente di lavoro sicuro e idoneo allo svolgimento delle loro mansioni. In questo contesto, è altresì compito del datore di lavoro gestire il rientro del dipendente, specialmente in caso di assenze prolungate o ricorrenti, identificando eventuali situazioni di disagio o difficoltà, anche di natura ambientale” (v. nota cit., p. 19);

- “le informazioni raccolte tramite il Modulo non sono affatto superflue, ma consentono al datore di lavoro di adottare tutte le misure organizzative e di tutela necessarie a garantire un’adeguata organizzazione del lavoro, prevenendo possibili situazioni di disagio o difficoltà per il dipendente” (v. nota cit., p. 20);

- “né tantomeno può essere accolta la tesi secondo cui le informazioni richieste col Modulo sono già in possesso di Magna al momento dello svolgimento del Colloquio. Dal medico curante, infatti, il datore di lavoro riceve solamente informazioni limitate e specifiche, quali lo stato di malattia e periodo di prognosi, non sufficienti a prendere i necessari accorgimenti di cui all’art. 2087 c.c. Il medico curante potrebbe aver indicato prescrizioni e limitazioni al paziente senza trasmetterle al datore di lavoro, che le riceve esclusivamente dal medico competente ma non necessariamente a seguito del singolo episodio di malattia” (v. nota cit., p. 20);

- “neanche i giudizi di idoneità forniscono al datore di lavoro le medesime in-formazioni richieste tramite il Modulo. I giudizi di idoneità, infatti, vengono emessi a seguito di visite mediche che avvengono preventivamente all’inizio dell’attività lavorativa per verificare lo stato di salute del lavoratore e poi con cadenza solamente annuale, al fine di verificare il permanere dell’idoneità alla mansione specifica” (v. nota cit., p. 20);

- “la necessità dei dati trattati tramite il Modulo per scopi organizzativi aziendali di Magna, e di tutela psico-fisica dei dipendenti, esclude quindi alcuna violazione del principio di minimizzazione da parte di Magna” (v. nota cit., p. 21);

- in merito alla “asserita violazione del principio di limitazione della conservazione” si osserva che “il periodo di conservazione massimo di 10 anni a partire dalla compilazione del Modulo è stato individuato dalla Società individuando un termine addirittura più breve di quello complessivo del fascicolo del lavoratore, all’interno del quale, come indicato in calce al Modulo, questo viene inserito una volta compilato. Il fascicolo del dipendente contiene, infatti, tutte le informazioni relative al lavoratore nel contesto del rapporto d’impiego, incluse le attività da questo svolte e eventuali periodi di assenza” (v. nota cit., p. 21);

- “vista la rilevanza delle suddette informazioni nel rapporto tra datore di lavoro e dipendente – al fine altresì di garantire tanto al datore quanto al lavoratore la possibilità di ricostruire la posizione lavorativa anche per difendere i propri diritti nei confronti dell’altra parte contrattuale e in giudizio – le informazioni della cartella personale devono essere conservate per 10 anni addirittura dalla cessazione del rapporto di lavoro” (v. nota cit., p. 21);

- “l’orientamento giurisprudenziale ormai prevalente ritiene che il termine di prescrizione dei diritti retributivi del lavoratore decorra in tutti i casi dalla cessazione del rapporto” (v. nota cit., p. 21);

- “la Società ha previsto un periodo massimo di conservazione di 10 anni a partire dalla sua compilazione poiché lo ritiene un termine congruo per poter gestire complessivamente le eventuali necessità organizzative emerse con l’intervista e quindi rispondere in caso di richieste o contestazioni da parte del dipendente” (v. nota cit., pp. 21, 22);

- “nella quotidianità aziendale, tuttavia, Magna provvede all’eliminazione dei Moduli periodicamente, conservando esclusivamente i Moduli che contengano informazioni rilevanti relative ad eventuali misure o azioni che la Società deve implementare ai sensi dell’art. 2087 cc per garantire un’adeguata gestione interna delle risorse e la tutela della vita lavorativa dei dipendenti” (v. nota cit., p. 22);

- in merito allo “asserito trattamento di dati non pertinenti in relazione all’art. 8 St. lav.” si osserva che “fermo e ribadito che la Società non raccoglie né ha mai inteso raccogliere dati sulla salute del lavoratore e fermo quanto sopra esposto circa il tenore dell’obbligo di prevenzione e protezione che vige in capo al datore di lavoro, la ratio dell’art. 8 dello Statuto è impedire al datore di lavoro le indagini sulle opinioni e sulla vita personale del lavoratore, non certamente di impedire al datore di lavoro di verificare lo stato di salute di un ambiente lavorativo” (v. nota cit., p. 23);

- “l’attitudine professionale, infatti, va intesa come l’insieme delle competenze, delle capacità e delle qualità personali che permettono a un individuo di svolgere efficacemente un determinato lavoro, anche rispetto all’ambiente in cui un lavoratore operi e, dunque, alla adeguatezza del lavoratore all’ambiente e viceversa: l’attitudine a ricoprire un ruolo lavorativo, infatti, non può prescindere da una analisi dell’organizzazione in cui il lavoratore è chiamato ad operare. […] I casi giurisprudenziali in cui sia stata accertata la violazione dell’art. 8 dello Statuto dei Lavoratori, del resto, riguardano fattispecie ben diverse, quali test psicoattitudinali, con domande che attenevano alla vita intima, personale, extralavorativa e alle opinioni dei lavoratori (es. domande sullo stato di gravidanza, sulla famiglia del lavoratore, sull’abitazione del lavoratore)” (v. nota cit., p. 24);

- “le domande poste nel colloquio soddisfano precisi doveri del datore di lavoro di protezione nei confronti dei lavoratori. Il nostro ordinamento presenta infatti numerose norme e numer[osi] princìpi che prescrivono – e comunque legittimano - al datore di lavoro di intervenire per accertare e prevenire eventuali situazioni di difficoltà nell’ambiente di lavoro. si pensi: [all’] art. 2087 cod. civ. […]; […] alle prescrizioni contenute nel testo unico sicurezza (D. Lgs. 81/2008) relative alla “predisposizione della attuazione delle misure per la tutela della salute e della integrità psico-fisica dei lavoratori” e all’inclusione, nel documento di valutazione dei rischi, tra cui “anche quelli collegati allo stress lavoro-correlato”, che richiedono l’accertamento di eventi sentinella, da cui possa scaturire un rischio che il datore è tenuto a monitorare e risolvere” (v. nota cit., p. 24);

- “si pensi ancora al dovere del datore di lavoro di informarsi circa il motivo delle assenze dei dipendenti con disabilità, al fine di adottare accomodamenti ragionevoli proprio nell’ambiente di lavoro” (v. nota cit., p. 24);

- “si pensi alla facoltà – pacificamente ammessa dalla giurisprudenza - per il datore di lavoro di trasferire unilateralmente un dipendente ad una diversa sede in caso di incompatibilità ambientale, da cui discende evidentemente la legittimità di un accertamento circa situazioni ambientali e difficoltà dei colleghi che in quell’ambiente lavorino” (v. nota cit., p. 24);

- “le informazioni richieste attraverso i Moduli in questione sono in effetti strettamente attinenti al rapporto di lavoro, all’attitudine professionale dei lavoratori e necessarie, o comunque utili, per l’adempimento delle prescrizioni a tutela della salute psico-fisica dei lavoratori coinvolti” (v. nota cit., p. 25);

- “l’applicazione delle sanzioni, in particolare di quelle punitive, non è rimessa ad alcun automatismo. La loro pertinenza deve essere valutata caso per caso alla luce della condotta della parte e dello scopo di tali misure” (v. nota cit., p. 26);

- “qualora l’Autorità ritenesse di dover sanzionare la Società, la sanzione dovrebbe tenere in considerazione innanzitutto che il Modulo 2020 e il Modulo Covid non sono più stati utilizzati dalla Società a partire da settembre 2021. Nessun trattamento viene più quindi posto in essere da Magna sulla base di suddetti moduli, che quindi non devono essere considerati alla fine di un eventuale provvedimento sanzionatorio dell’Autorità” (v. nota cit., p. 27);

- “va inoltre data rilevanza alla totale assenza di danni – o di qualsivoglia conseguenza – in capo agli interessati, sia coloro che hanno compilato il modulo, sia coloro che hanno negato il proprio consenso alla compilazione. A dimostrazione di ciò, la Società non ha mai ricevuto alcuna contestazione, né tantomeno alcuna lamentela, da parte degli interessati, né direttamente né tramite i sindacati” (v. nota cit., p. 27);

- “nel caso di specie, inoltre, l’assenza di condotte socialmente riprovevoli (vale a dire di condotte in ipotesi foriere di un pregiudizio concreto o potenziale per gli interessati o volte all’ottenimento di un vantaggio ingiusto) comporta l’inopportunità di una sanzione monetaria, a prescindere dalla sua quantificazione” (v. nota cit., p. 27);

- “la sanzione della pubblicazione sul sito web dell’Autorità di un’eventuale sanzione sarebbe ingiustificatamente afflittiva” (v. nota cit., p. 27);

- la Società chiede “- in via preliminare, l’archiviazione del presente procedimento per […] violazione dei termini del procedimento; - in subordine, l’archiviazione della contestazione e del presente procedimento per infondatezza nel merito; - in ulteriore subordine, l’applicazione della sanzione esclusivamente dell’avvertimento” (v. nota cit., p. 28).

In data 29 ottobre 2024, a seguito di specifica richiesta della Società, si è tenuta l’audizione della stessa. In tale occasione la parte ha rappresentato che:

- “la Società ritiene che la base giuridica del trattamento dei dati nell’ambito delle interviste possa astrattamente essere un obbligo di legge e ritiene che la scelta del consenso dei lavoratori sia più attenta alle esigenze di questi ultimi”;

- “in ogni caso, da parte della Società c’è la massima apertura a migliorare ulteriormente, ferma restando la volontà di incrementare il benessere dei lavoratori”;

- “la Società […] è determinata a raccogliere i feedback dei propri dipendenti in relazione ai miglioramenti che possono essere messi in campo sul piano organizzativo, ad esempio il miglioramento delle postazioni di lavoro”;

- “la Società ha attivato un canale di segnalazione interna di illeciti (whistleblowing) nonché un diverso canale che può essere utilizzato in totale anonimato (hot line gestita da personale esterno). Attraverso questi canali non è pervenuta alcuna segnalazione in merito al modulo e/o agli incontri”;

- “in relazione ai principi di privacy by design e by default la Società ha ritenuto che non sussistano rischi significativi per gli interessati”;

- “la Società è strutturata non come un ufficio, trattandosi di un’impresa metalmeccanica e per questo può non essere semplice intercettare situazioni di disagio”;

- “il termine di conservazione si precisa che il termine massimo è pari a dieci anni, che per policy aziendale è la durata massima prevista per documenti ad alto tasso di riservatezza, ma di fatto la Società effettua la cancellazione normalmente anche prima e allo stato attuale non ci sono moduli che risalgono ad oltre 1 anno. L’individuazione di un termine massimo deriva dalla valutazione per la quale non tutti i disagi possano manifestarsi nello stesso momento, tanto che può trascorrere un tempo significativo prima che altre segnalazioni analoghe emergano dalle interviste. All’interno del termine massimo dei dieci anni, se il dato è ritenuto non più pertinente, a seguito di una valutazione caso per caso, si procede alla cancellazione. Allo stato la Società non conserva moduli anteriori al 2023”.

3. Esito del procedimento

3.1 Fatti accertati e osservazioni sulla normativa in materia di protezione dei dati personali

In base agli elementi acquisiti nel corso dell’attività nonché delle successive valutazioni di questo Dipartimento, risulta accertato che la Società, quantomeno dal 2020, ha sottoposto i propri lavoratori (sulla base della visura della Società, al 31/12/2024 sono circa 890 i dipendenti della stessa), al rientro da periodi di assenza, a un colloquio con il proprio responsabile: quest’ultimo, in tale occasione, compilava, con le informazioni fornite dal lavoratore stesso, il “modulo RTWI «Return to Work Interview» (Colloquio di rientro al lavoro)”.

Tale condotta, in base a quanto dichiarato dalla Società, rientrerebbe tra le “pratiche di salute e sicurezza sul luogo di lavoro” e avrebbe lo scopo di “intercettare eventuali situazioni di difficoltà sul luogo di lavoro e poter eventualmente fornire un supporto al dipendente e/o agevolare un suo rapido reinserimento al lavoro”.

Sempre in base a quanto dichiarato dalla Società, è emerso che tale modulo, una volta compilato dal responsabile del lavoratore sottoposto a colloquio, viene consegnato all’ufficio risorse umane che valuta, insieme al responsabile e/o al medico competente, “eventuali iniziative a tutela della salute del dipendente, come la modifica della postazione di lavoro o la gestione delle relazioni lavorative” (v. nota 7/10/2024, p. 3); successivamente “il Modulo è conservato nella cartella personale del dipendente, in un armadio sottochiave nell’Ufficio HR, accessibile solo a personale autorizzato” (v. nota 7/10/2024, p. 4).

Dal 2020, la Società ha modificato più volte il modulo utilizzato; il modello allo stato in uso è stato introdotto a partire, sulla base di quanto precisato dalla Società, da settembre 2021.

La sopra descritta condotta posta in essere dalla Società non risulta conforme alla disciplina di protezione dei dati per i motivi che verranno indicati.

In proposito, si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

Si rammenta, in termini generali, che il trattamento dei dati personali deve essere effettuato nel rispetto dei principi previsti dall’art. 5 del Regolamento tra cui i principi di liceità, correttezza e trasparenza, nonché minimizzazione e limitazione della conservazione.

Per quanto riguarda i dati c.d. comuni, nell’ambito del rapporto di lavoro, il datore di lavoro, in qualità di titolare del trattamento, può trattare i dati dei lavoratori nel caso in cui il trattamento sia necessario all’esecuzione del contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso o nel caso in cui il trattamento sia necessario per adempiere un obbligo legale (v. art. 6, par. 1, lett. b), c), del Regolamento).

Per i dati appartenenti a categorie particolari di dati l’art. 9 del Regolamento enuncia un generale divieto di trattamento a meno che non ricorra una delle ipotesi tassativamente indicate nel par. 2 dell’art. 9 del Regolamento (v. in particolare lett. b) secondo cui il par. 1 non si applica quando “il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell'Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell'interessato”).

Tali dati, per la particolare natura che li caratterizza, meritano una specifica protezione e l’attivazione di particolari misure nel caso di loro trattamento: quest’ultimo, infatti, può comportare rischi significativi per i diritti e le libertà fondamentali degli individui (v. considerando 51 del Regolamento).

In relazione ai dati particolari relativi ai lavoratori, sussiste un riparto di competenza tra il datore di lavoro e il medico incaricato dello svolgimento della sorveglianza sanitaria (v. d. lgs. n. 81 del 2008).

Si evidenzia inoltre che l’art. 13 del Regolamento individua, in capo al titolare del trattamento, l’obbligo di fornire all’interessato, prima di effettuare il trattamento, una serie di informazioni relative al trattamento dei dati personali a lui riferiti (c.d. informativa).

Nel caso in cui il trattamento sia posto in essere nell’ambito del rapporto di lavoro, quindi, grava sul datore di lavoro, in qualità di titolare del trattamento, l’obbligo di informare i lavoratori circa le caratteristiche essenziali dei trattamenti che intende effettuare.

Nell’ambito del rapporto di lavoro informare compiutamente il lavoratore sul trattamento dei suoi dati è anche espressione del principio generale di correttezza dei trattamenti (v. art. 5, par. 1, lett. a) del Regolamento).

L’art. 113 del Codice prevede infine che “resta fermo quanto disposto dall'articolo 8 della legge 20 maggio 1970, n.300 nonché dall’articolo 10 del decreto legislativo 10 settembre 2003, n. 276”.

3.2 Obiezioni procedurali

Preliminarmente, relativamente a quanto osservato dalla Società in merito alla effettuazione della notifica delle violazioni ex art. 166 del Codice “oltre il termine per la chiusura del procedimento” (v. nota 7/10/2024, pp. 8-10) si osserva che l’istruttoria oggetto del presente provvedimento è stata avviata a seguito di una segnalazione ai sensi dell’art. 144 del Codice.

Dunque, proprio nella tabella B, sezione 2), contenuta nel regolamento interno n. 2 del 2019, richiamata dalla Società nei citati scritti difensivi del 7 ottobre 2024, viene precisato che per i procedimenti aperti a seguito della presentazione di una segnalazione ai sensi dell’art. 144 del Codice vige un termine di “18 mesi dall’avvio del procedimento per l’adozione del provvedimento correttivo di cui all’articolo 12 del regolamento del Garante n. 1/2019”.

L’art. 12 del regolamento interno del Garante n. 1 del 2019 dispone, tra l’altro, che “Quando l’esame del reclamo non si conclude ai sensi dell’articolo 11, comma 1, il dipartimento, servizio o altra unità organizzativa avvia, con propria comunicazione al titolare e, se del caso, al responsabile del trattamento, il procedimento per l’adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del RGPD”.

Pertanto il termine indicato dal regolamento interno citato, pari a 18 mesi, decorre dalla notifica delle violazioni effettuata ai sensi dell’art. 166 comma 5 del Codice.

Nel caso di specie, in particolare, la notifica delle violazioni è stata effettuata in data 7 agosto 2024.

Si osserva inoltre come il termine di 120 giorni previsto dal regolamento interno n. 2 del 2019 per la comunicazione delle presunte violazioni (art. 166, comma 5, del Codice) decorre dall’accertamento della violazione della disciplina di protezione dei dati personali che, nel caso di specie, si è realizzato solo a seguito della ricezione del riscontro dell’11 aprile 2024, non già ovviamente a seguito della semplice ricezione della segnalazione in esame.

Infatti, come chiaramente sostenuto dalla giurisprudenza, il termine per la notifica degli estremi della violazione “non coincide con quello in cui viene acquisito il fatto nella sua materialità da parte dell'autorità cui è stato trasmesso il rapporto, ma va individuato nel momento in cui detta autorità abbia acquisito e valutato tutti i dati indispensabili ai fini della verifica dell'esistenza della violazione segnalata, ovvero in quello in cui il tempo decorso non risulti ulteriormente giustificato dalla necessità di tale acquisizione e valutazione” (tra le molte, v. Corte di cass. sent. n. 38510/2021).

Considerata la delicatezza dei dati trattati e il numero di interessati coinvolti, nel caso in esame, l’Autorità ha ritenuto necessario fare seguire, a una prima richiesta di informazioni ai sensi dell’art. 157 del Codice, una seconda richiesta di informazioni, inviata sempre ai sensi dell’art. 157 del Codice.

Solo successivamente al secondo riscontro fornito dalla Società, l’Autorità ha acquisito tutti gli elementi necessari per potere muovere alla stessa la contestazione delle violazioni della disciplina di protezione dei dati personali riscontrate. Appare opportuno sottolineare che, attraverso le due richieste di informazioni l’Autorità ha garantito il contraddittorio e il pieno esercizio del diritto di difesa alla Società, sin dalla fase istruttoria del procedimento, consentendole di fornire tutti gli elementi ai fini della verifica della conformità all’ordinamento dei trattamenti effettuati.

La fase di istruttoria preliminare, tra l’altro, è, per sua natura, destinata a consentire all’Autorità di raccogliere tutti gli elementi pertinenti che confermino (o meno) l’esistenza di una violazione e di decidere come deve proseguire il procedimento (v. CGUE 30/01/2025, causa C-510/23, con riferimento ai procedimenti instaurati dall’Autorità Garante della Concorrenza e del Mercato). La durata dell’istruttoria - e ciò è connaturato nella struttura e nella funzione della stessa - dipende pertanto anche dalla complessità del procedimento.

Sostenere il contrario porterebbe a qualificare come del tutto superflua (per non dire addirittura inutile) l’attività istruttoria svolta dall’Autorità a seguito di istanze con le quali viene lamentata la violazione della disciplina di protezione dei dati personali. L’attività istruttoria ha invece proprio come fine quello di verificare la presenza degli elementi idonei a qualificare una violazione e ad avviare il procedimento mediante la notifica delle predette violazioni ai sensi dell’art. 166 comma 5 del Codice.

Ciò precisato, considerato che il secondo riscontro è stato trasmesso dalla Società in data 11 aprile 2024 e che la notifica delle violazioni è stata inviata in data 7 agosto 2024 risulta evidente come l’Autorità abbia certamente rispettato il termine di 120 giorni per la contestazione delle violazioni riscontrate.

Appare infine utile osservare, in proposito, che, come chiaramente indicato nella notifica delle violazioni trasmessa alla Società, viene contestata l’effettuazione di un trattamento che, nonostante il susseguirsi di tre diversi modelli di modulo, non è cessato, ma è proseguito ininterrotto dal 2020 e anche oltre la notifica delle violazioni.

3.3 Assenza di un’idonea informativa per gli interessati

La condotta posta in essere dalla Società, che consiste nella compilazione del “modulo RTWI «Return to Work Interview» (Colloquio di rientro al lavoro)” da parte del responsabile del lavoratore sottoposto a colloquio a seguito di periodi di assenza, è stata effettuata (e, a quanto risulta, viene tutt’ora effettuata) in violazione di quanto previsto dall’art. 13 del Regolamento che costituisce corollario del principio di trasparenza di cui all’art. 5, par. 1, lett. a), del Regolamento; ciò, considerato che non risulta essere stata fornita agli interessati un’idonea informativa in merito allo specifico trattamento di dati personali da parte della Società.

Le poche righe presenti all’inizio del modulo (sia per quanto riguarda la versione in vigore fino a maggio 2020, sia per quanto riguarda la versione redatta nel maggio 2020 così come quella in uso da settembre 2021 e tutt’ora utilizzata) non contengono infatti informazioni esaustive in merito al trattamento in esame.

Tra l’altro, per quanto riguarda l’inserimento, tra le indicazioni che devono essere fornite in sede di colloquio, anche di quella relativa alle “persone presenti”, per come formulata lascia intendere che al colloquio possano essere presenti, a differenza di quanto indicato dalla Società, anche soggetti ulteriori rispetto all’intervistato e all’intervistatore. Evidente dunque come tale espressione risulti fuorviante o, quanto meno, non chiara.

Neppure attraverso l’inserimento delle limitatissime informazioni contenute in calce al modulo in uso da settembre 2021, la Società ha adempiuto compiutamente all’obbligo di informativa di cui all’art. 13 del Regolamento.

Non si rinvengono infatti informazioni in merito allo specifico trattamento in esame, neppure all’interno dell’“Informativa per i dipendenti” prodotta dalla Società, né nel “Manuale sulla protezione dei dati” e neppure nella “Policy protezione dei dati personali”.

L’assenza di una idonea informativa rende inoltre, come si argomenterà più approfonditamente in seguito, privo dei requisiti fondamentali, ai sensi dell’art. 7 del Regolamento, il consenso (eventualmente) prestato dai lavoratori che, in base a quanto dichiarato dalla Società, costituisce la base giuridica del trattamento.

Al riguardo, si sottolinea come la funzione dell’informativa - che costituisce allo stesso tempo l’oggetto di un diritto dell’interessato e di un obbligo per il titolare del trattamento - è quello di rendere consapevole l’interessato di come i suoi dati vengono trattati.

Solo qualora vi sia piena consapevolezza del trattamento e delle sue finalità l’interessato può (qualora, appunto, ne ricorrano gli altri requisiti) fornire il proprio effettivo consenso informato.

3.4 Violazione del principio di liceità del trattamento

La Società, attraverso la compilazione del modulo per il colloquio di rientro al lavoro a seguito di assenza, tratta dati dei lavoratori (sia dati c.d. comuni sia dati c.d. particolari) in assenza di un’idonea condizione di liceità, quindi in violazione dell’art. 6 del Regolamento e dell’art. 9 del Regolamento (in particolare per quanto riguarda il trattamento di dati relativi alla salute).

Tale rilievo riguarda tutti e tre i modelli dei moduli che sono stati utilizzati dalla Società nel tempo. Il trattamento effettuato dalla Società, infatti, non rientra nell’attività di sorveglianza sanitaria, attività che, comunque, è, per espressa disposizione normativa, di competenza esclusiva del medico competente e non del datore di lavoro (v. art. 41 d. lgs. n. 81 del 2008).

Dalla formulazione di alcune specifiche domande inserite nei predetti questionari, infatti, possono derivare risposte che contengono dati appartenenti a dati particolari, in specie dati relativi alla salute (in disparte la valutazione del trattamento dei dati relativi alle infezioni legate all’epidemia di Covid-19 relativamente al quale non sono state mosse contestazioni specifiche, proprio tenuto conto delle disposizioni normative adottate durante il periodo di emergenza sanitaria).

Con riferimento alla categoria di dati particolari si evidenzia, tra l’altro, che, per quanto riguarda il modello in uso fino a maggio 2020 e il modulo redatto nel maggio 2020, già nella “premessa” viene precisato che “il colloquio è […] finalizzato a monitorare lo stato di salute dopo uno o più eventi di malattia”.

Nel modulo in uso fino a maggio 2020, anche la domanda relativa alla descrizione richiesta nel caso in cui il lavoratore ritenesse che l’assenza (per malattia, ricovero o infortunio) fosse dovuta a una causa di lavoro può comportare una risposta contenente dati particolari (“il dipendente considera l’assenza dovuta ad una causa di lavoro? (in caso affermativo descrivere nella sezione commenti del lavoratore)”).

Per quanto riguarda il modulo redatto nel maggio 2020, la domanda “l’eventuale problema di salute che hai è peggiorato negli ultimi anni?” comporta evidentemente una risposta relativa allo stato di salute dell’interessato e, come tale, rientrante nell’art. 9 del Regolamento (la stessa domanda tra l’altro era già contenuta anche nel modulo in uso fino a maggio 2020).

All’interno del modulo attualmente in uso, anche l’invito a formulare ulteriori “commenti” da parte del lavoratore, in merito alla risposta affermativa alla domanda relativa alla presenza di particolari restrizioni/limitazioni/prescrizioni previste dal medico competente, può contenere dati relativi alla salute di cui all’art. 9 del Regolamento.

Si osserva, inoltre, come solo nel modello attualmente in uso viene comunicata al lavoratore la facoltà di rivolgersi al medico competente (“Ai fini della prevenzione ricordare al lavoratore che per ogni genere di problema ha facoltà di chiedere un colloquio riservato al Medico Competente, o ricorrere all’EFAP (programma Magna di assistenza ai dipendenti del tutto anonimo) o ricorrere al processo aziendale della Porta Aperta”), mentre, nei due moduli utilizzati in precedenza, veniva posta la domanda in merito alla necessità di avere un colloquio con il medico competente (“hai necessità di un colloquio particolare con il medico aziendale per esporre la tua situazione di salute?”).

Risulta evidente dunque come la risposta alla predetta domanda, contenuta nei due moduli usati in precedenza, possa comportare un trattamento di dati attinenti alla salute; l’informare il lavoratore della possibilità di chiedere una visita con il medico competente non comporta, al contrario, un trattamento di dati, in quanto mera comunicazione diun aspetto che comunque l’ordinamento già prevede (v. art. 41 comma 2 lett. c) D. Lgs. n. 81 del 2008).

Per quanto riguarda il carattere di volontarietà della rilevazione delle informazioni per mezzo del questionario (dunque la presenza del consenso) che, secondo la Società, caratterizzerebbe la compilazione del modulo in esame - in tutte e tre le versioni -, si rappresenta innanzitutto che non emergono elementi dai quali potere riconoscere tale carattere al predetto modulo.

Si sottolinea anzi come, nei due modelli utilizzati in precedenza, è indicato che “il colloquio deve avvenire il primo giorno del rientro al lavoro del lavoratore”; tale espressione tassativa non consente di attribuire alla rilevazione quel carattere di facoltatività sostenuto dalla Società nel procedimento. Dal tenore letterale della formulazione il colloquio risulta quindi essere, quantomeno relativamente ai primi due modelli utilizzati, imposto al rientro dal periodo di assenza per malattia, infortunio, ricovero.

In merito al carattere di volontarietà della compilazione del modulo si osserva, inoltre (e in ogni caso), che nell’ambito del rapporto di lavoro, di regola, il consenso (art. 6 par. 1 lett. a) del Regolamento) non può costituire idonea condizione di liceità del trattamento per quanto riguarda i dati dei lavoratori.

Ciò per la strutturale asimmetria che caratterizza il rapporto di lavoro e l’inevitabile impossibilità (salvo limitati casi da accertare volta per volta) di riconoscere al consenso del lavoratore i caratteri di libertà propri perché lo stesso possa assurgere a idonea base giuridica (v. Provv.to 19/7/2018, n. 427 in www.garanteprivacy.it, doc. web n. 9039945; v. artt. 6-7 e considerando 42-43, Regolamento (UE) 2016/679; v. altresì, in senso conforme, Gruppo art. 29, Linee guida sul consenso, adottate il 28/11/2017 come modificate e adottate da ultimo il 10/4/2018, spec. par. 3.1.1.; Parere 2/2017 sul trattamento dei dati sul posto di lavoro, WP 249, spec. par. 3.1.1 e 6.2; Parere 8/2001 sul trattamento dei dati personali nel contesto dell'occupazione, WP 48, 13/9/2001, pag. 3, 23 e 26; Commissione europea, Comunicazione del 6 novembre 2015, COM(2015) 566, pp. 12 e 13; Documento di lavoro su un'interpretazione comune dell'articolo 26, paragrafo 1, della direttiva 95/46/CE, del 24 ottobre 1995, WP 114, 25 novembre 2005, p. 11-12).

Nel caso di specie, proprio considerata la categoria dei dati richiesti, si deve comunque ritenere che il consenso, anche ove fosse stato effettivamente prestato dagli interessati, non potrebbe essere considerato, come richiesto dalle disposizioni, libero e incondizionato. Inoltre, le stesse misure organizzative predisposte dalla Società che prevedono la compilazione del modulo alla presenza del responsabile gerarchico diretto, non depongono a favore della libertà del consenso.

Si aggiunga inoltre che, per quanto riguarda i dati c.d. particolari, l’art. 9 par. 2 del Regolamento prevede che nell’ambito del rapporto di lavoro i dati in esame possano essere trattati solo quando “il trattamento [è] necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell'Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell'interessato”.

L’ordinamento nazionale non prevede dunque che, nell’ambito del rapporto di lavoro, possano essere trattati dati appartenenti a categorie particolari di dati sulla base del consenso né sulla base del legittimo interesse.

In proposito si sottolinea inoltre come il D. Lgs. n. 81 del 2008 individui gli specifici obblighi del datore di lavoro (art. 18) per tutelare l’integrità fisica e la personalità morale dei lavoratori (ai sensi dell’art. 2087 c.c.).

L’ordinamento prevede, cioè, quali siano gli specifici obblighi che il datore di lavoro deve rispettare in materia di tutela della salute e della sicurezza nei luoghi di lavoro. L’espletamento di tali obblighi, qualora comporti il trattamento di dati personali, deve tuttavia rispettare quanto previsto dalla disciplina di protezione dei dati personali.

Sempre in base a quanto disposto dal D. Lgs. n. 81 del 2008, emerge che il medico competente è l’unico soggetto legittimato a trattare, in piena autonomia e competenza tecnica, i dati personali di natura sanitaria indispensabili per lo svolgimento della funzione di protezione della salute e sicurezza dei luoghi di lavoro (v. in proposito anche il documento adottato dall’Autorità “Il ruolo del «medico competente» in materia di sicurezza sul luogo di lavoro, anche con riferimento al contesto emergenziale”, doc. web n. 9585367).

Si sottolinea infine come, da quanto dichiarato, la Società ritiene che la base giuridica di tale trattamento di dati personali possa essere individuato sia nell’adempimento di quanto previsto dall’art. 2087 c.c., sia nel consenso sia nel legittimo interesse, qualora non andassero bene le altre basi giuridiche.

In proposito si sottolinea come tale ricostruzione sia incompatibile con una corretta applicazione della disciplina di protezione dati; la base giuridica costituisce il presupposto necessario e indefettibile di ogni trattamento di dati personali e, come tale, spetta al titolare individuarla in modo preciso e specifico ex ante, rispetto alla effettuazione del trattamento stesso; inoltre il legittimo interesse non può mai essere individuato come condizione di liceità, solo perché le altre basi giuridiche non ricorrono (v. in proposito, seppure relativamente ad altra fattispecie concreta, provv. n. 137 del 15/04/2021, doc. web 9670738).

3.5 Violazione del principio di minimizzazione

La condotta posta in essere dalla Società si pone inoltre in violazione del principio di minimizzazione dei dati (art. 5, par. 1, lett. c), del Regolamento) in quanto i dati raccolti in occasione della compilazione del modulo per il colloquio di rientro al lavoro dopo un periodo di assenza per malattia, infortunio o ricovero risultano non pertinenti rispetto all’attività che il datore di lavoro dovrebbe effettuare, nel caso di assenza del lavoratore, anche alla luce di quanto previsto dall’art. 2087 c.c., pure in ragione dell’attribuzione dell’attività di sorveglianza sanitaria al medico competente, in base a quanto disposto dal D. Lgs. n. 81 del 2008.

Si evidenzia altresì come alcune delle informazioni di cui si chiede l’inserimento nel questionario da parte del responsabile durante il colloquio al rientro da un periodo di malattia, infortunio, ricovero, per il successivo invio all’ufficio risorse umane, dovrebbero essere (correttamente) già conosciute dall’ufficio del personale stesso.

Non si comprende pertanto il motivo specifico di doverle acquisire nuovamente, per il tramite del responsabile del lavoratore rientrato: per esempio, da ultimo, nel modello attualmente in uso, laddove si chiede di indicare l’ultimo periodo di assenza, la tipologia di assenza relativamente alla durata della stessa, quando si concentrano le assenze, il motivo dell’assenza (malattia, ricovero, infortunio), eventuali restrizioni/limitazioni/prescrizioni previste dal medico competente, risulta evidente come tali dati dovrebbero già essere conosciuti dall’ufficio risorse umane, indipendentemente dal colloquio di rientro al lavoro e senza il ricorso alle predette modalità legale alla sottoposizione al colloquio.

La procedura predisposta determina pertanto un’inutile duplicazione dell’acquisizione di dati (rispetto a quelli che l’ufficio del personale dovrebbe già legittimamente effettuare) - tra l’altro, appartenenti a categorie particolari di dati -, di cui non è stata chiarita l’effettiva esigenza.

Non può ritenersi valida la motivazione sostenuta dalla Società circa l’adempimento di quanto previsto dall’art. 2087 c.c.

3.6 Violazione del principio di limitazione della conservazione

Sulla base di quanto dichiarato dalla Società, i moduli compilati a seguito del rientro dal lavoro dei lavoratori per assenza dovuta a malattia, infortunio, ricovero, che, come detto, costituiscono un trattamento di dati in assenza di idonea base giuridica, vengono conservati dalla Società, sulla base del modello in uso, per un periodo di tempo pari a dieci anni.

La Società ha anche aggiunto che “di fatto […] effettua la cancellazione normalmente anche prima e allo stato attuale non ci sono moduli che risalgono ad oltre 1 anno. L’individuazione di un termine massimo deriva dalla valutazione per la quale non tutti i disagi possano manifestarsi nello stesso momento, tanto che può trascorrere un tempo significativo prima che altre segnalazioni analoghe emergano dalle interviste. All’interno del termine massimo dei dieci anni, se il dato è ritenuto non più pertinente, a seguito di una valutazione caso per caso, si procede alla cancellazione. Allo stato la Società non conserva moduli anteriori al 2023” (v. verbale di audizione del 29/10/2024).

Posto che comunque il termine di dieci anni risulta di per sé sproporzionato per quanto riguarda i dati trattati con i moduli in esame, da quanto acquisito in atti emerge l’impossibilità – informazione che invece sarebbe necessario per l’interessato possedere – di individuare chiaramente il periodo di conservazione e i criteri utilizzati per determinare tale periodo.

Non risulta infatti quali siano in concreto i riferimenti per determinare la cancellazione (e dopo quale periodo di tempo) dei dati – anche sulla salute – da parte della Società.

Ciò comporta pertanto la violazione del principio di limitazione della conservazione (art. 5, par. 1, lett. e), del Regolamento).

3.7 Trattamento di dati non pertinenti

La Società, mediante i moduli predetti, ha trattato (e tratta tuttora mediante la terza versione del modulo) anche dati dei lavoratori non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore, in violazione quindi dell’art. 113 del Codice (tale articolo richiama come condizione di liceità del trattamento l’osservanza dell’art. 8, l. 20/5/1970, n. 300 e dell’art. 10 del d.lgs.10/9/2003, n. 276; a tale ultimo proposito Cass. civ., 19/9/2016, n. 18302 ha stabilito che “acquisire e conservare dati che contengono (o possono contenere) simili informazioni comporta già l’integrazione della condotta vietata […] anche se i dati non sono successivamente utilizzati. Non è necessario sottoporre i dati raccolti ad alcun particolare trattamento per incorrere nell’illecito, poiché la mera acquisizione e conservazione della disponibilità di essi comporta la violazione della prescrizione legislativa”).

Tale norma costituisce una delle norme del diritto nazionale “più specifiche per assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro” individuate dall’art. 88 del Regolamento.

In particolare, infatti, la Società, nel modulo in uso fino a maggio 2020, chiedeva: “il dipendente considera l’assenza dovuta ad una causa di lavoro? (in caso affermativo descrivere nella sezione commenti del lavoratore”, “ci sono dei particolari problemi dei quali vorresti parlare, senza entrare troppo nel dettaglio e se ti senti a tuo agio?”, “da un’analisi delle tue presenze, è emerso che ci sono state diverse assenze”, “ci sono particolari situazioni di disagio all’interno del reparto di cui vorresti parlarci?”).

Inoltre, nel modulo redatto nel maggio 2020, la Società chiedeva: “il dipendente considera l’assenza dovuta ad una causa di lavoro? (in caso affermativo descrivere nella sezione commenti del lavoratore)”, “ci sono particolari problemi dei quali vorresti parlare, senza entrare troppo nel dettaglio e se ti senti a tuo agio?”, “hai necessità di un colloquio particolare con il medico aziendale per esporre la tua situazione di salute?”, “ci sono particolari situazioni di disagio all’interno del reparto di cui vorresti parlarci?”.

Dalle domande citate potevano derivare risposte contenenti informazioni non rilevanti ai fini della valutazione dell’attitudine professionale: l’assenza a seguito della quale era ed è prevista la compilazione del modulo durante un colloquio è quella dovuta a malattia, infortunio, ricovero.

Nel modulo in uso attualmente, la Società chiede: “ritiene che l’azienda potrebbe adottare misure per migliorare l’ambiente di lavoro (ad es. per eliminare eventuali situazioni di disagio di cui Lei sia a conoscenza? Se sì, quali sono i suggerimenti?”. In proposito non risulta vi sia l’esigenza concreta di formulare tale domanda in un colloquio proprio al rientro da un periodo di assenza dovuto a malattia, infortunio, ricovero (piuttosto che indipendentemente da ciò) né che la risposta a tale domanda sia riferibile a un determinato lavoratore (piuttosto che anonima).

Risulta dunque evidente come dalla formulazione di specifiche domande (sopra indicate) nei moduli (usati in passato e anche in quello attualmente in uso) possano derivare risposte relative a “fatti non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore”.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato dalla Società e segnatamente il sottoporre i lavoratori, al rientro da periodi di assenza per malattia, infortunio, ricovero, a un colloquio con il proprio responsabile che redige un modulo specifico contenente anche dati relativi alla salute risulta non conforme alla disciplina di protezione dei dati personali e in particolare in violazione degli artt. 5, par. 1, lett. a), c), e), 6, 9, 13, 88 del Regolamento e 113 del Codice.

La violazione, accertata nei termini di cui in motivazione, non può essere considerata “minore”, tenuto conto della natura e della gravità della violazione stessa che ha riguardato, tra l’altro, i principi generali del trattamento, trattamenti relativi anche dati appartenenti a categorie particolari di dati, la maniera in cui l’autorità di controllo ha preso conoscenza della violazione (v. Considerando 148 del Regolamento).

L’Autorità ha altresì ritenuto che il livello di gravità della violazione sia medio, alla luce di tutti i fattori rilevanti nel caso concreto, e in particolare la natura, la gravità e la durata della violazione, tenendo in considerazione la natura, l’oggetto o la finalità del trattamento in questione nonché il numero di interessati e il livello di danno subito.

L’Autorità ha preso in considerazione i criteri relativi al carattere doloso o colposo della violazione e le categorie di dati personali interessate dalla violazione nonché la maniera in cui l’autorità di controllo ha preso conoscenza della violazione (v. art. 82, par. 2, e Considerando 148 del Regolamento).

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2, del Regolamento si dispongono il divieto del trattamento dei dati raccolti illecitamente, la cancellazione dei dati raccolti illecitamente e l’irrogazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. f), g) e i) del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice)

La violazione degli artt. 5, par. 1, lett. a), c), e), 6, 9, 13, 88 del Regolamento e 113 del Codice comporta l’applicazione della sanzione amministrativa dall’art. 83, par. 5, lett. a) e d) del Regolamento, mediante adozione di un’ordinanza ingiunzione (art. 18, l. 24.11.1981, n. 689).

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere da Magna PT S.p.A., di cui è stata accertata l’illiceità, nei termini sopra esposti.

Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente Regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5.

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nell’ipotesi in esame, sono state tenute in considerazione le circostanze sotto riportate:

- la rilevante gravità della violazione, infatti questa ha riguardato anche fattispecie punite più severamente in ragione dell’interesse protetto dalle norme violate (riguardanti i principi di liceità, correttezza, minimizzazione, limitazione della conservazione; il diritto di informativa; disposizioni di maggior tutela per i lavoratori);

- il trattamento ha riguardato anche dati relativi alla salute a seguito di un periodo di assenza dovuto a malattia, infortunio, ricovero;

- la durata della violazione che si è protratta quantomeno dal 2020 ed è ancora in corso;

- l’elevato numero di interessati coinvolti nelle violazioni accertate, posto che la possibilità di sottoposizione al colloquio da rientro al lavoro da un periodo di assenza per malattia, infortunio, ricovero riguarda tutti i lavoratori della Società;

- con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare, sono stati presi in considerazione gli elementi oggettivi della condotta della Società e il grado di responsabilità della stessa che ha violato l’obbligo di diligenza, previsto dall’ordinamento, e non si è conformata alla disciplina in materia di protezione dei dati, relativamente a una pluralità di disposizioni, sebbene al dichiarato scopo di dare esecuzione a quanto previsto dall’art. 2087 c.c. dunque potere adottare misure a tutela del benessere psicofisico del dipendente;

- si è tenuto conto della cooperazione con l’Autorità di controllo.

Si ritiene inoltre che assumano rilevanza nel caso di specie, in ragione dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate in base ai ricavi conseguiti dalla Società con riferimento al bilancio ordinario d’esercizio per l’anno 2023 (ultimo disponibile).

Si ritiene altresì di dovere tenere conto dell’impatto sulla Società determinato dalle misure del divieto del trattamento e della cancellazione.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Magna PT S.p.A. la sanzione amministrativa del pagamento di una somma pari ad euro 50.000 (cinquantamila/00).

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante.

Ciò in considerazione delle caratteristiche concrete della fattispecie presa in considerazione, in particolare considerato che il trattamento ha riguardato anche dati appartenenti a categorie particolari di dati di lavoratori al rientro da periodi di assenza dovuta a malattia, infortunio, ricovero, e che il trattamento è continuato anche a seguito dell’apertura dell’istruttoria da parte dell’Autorità, nonché il numero di interessati coinvolti.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f) e 83, del Regolamento rileva l’illiceità del trattamento effettuato da Magna PT S.p.A., con sede legale in Modugno, via dei Ciclamini 4, 70026, C.F. 04886850728, descritto nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a), c), e), 6, 9, 13, 88 del Regolamento e 113 del Codice;

ORDINA

a Magna PT S.p.A.:

- ai sensi dell’art. 58, par. 2, lett. f), del Regolamento, il divieto dell’ulteriore trattamento dei dati raccolti e conservati attraverso i moduli compilati a seguito del colloquio da rientro al lavoro dopo periodi di assenza dovuti a malattia infortunio, ricovero nei termini descritti in motivazione;

- ai sensi dell’art. 58, par. 2, lett. g), del Regolamento la cancellazione dei dati raccolti e conservati attraverso i moduli compilati a seguito del colloquio da rientro al lavoro dopo periodi di assenza dovuti a malattia infortunio, ricovero nei termini descritti in motivazione, entro 60 giorni dalla notifica del presente provvedimento; si chiede a Magna PT S.p.A. di comunicare quali iniziative siano state intraprese al fine di dare attuazione a quanto disposto con il presente provvedimento e di fornire comunque riscontro adeguatamente documentato ai sensi dell’art. 157 del Codice, entro il termine di 60 giorni dalla notifica del presente provvedimento; l’eventuale mancato riscontro può comportare l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. e), del Regolamento;

- ai sensi dell’art. 58, par. 2, lett. i) del Regolamento di pagare la somma di euro 50.000 (cinquantamila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento.

INGIUNGE

quindi a Magna PT S.p.A. di pagare la predetta somma di euro 50.000 (cinquantamila/00), secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento -sempre secondo le modalità indicate in allegato- di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 10 luglio 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE REGGENTE
Filippi