Provvedimento del 20 maggio 2024 [10060901]
Provvedimento del 20 maggio 2024 [10060901]
Condividi[doc. web n. 10060901]
Provvedimento del 20 maggio 2024*
*[Il provvedimento è stato impugnato - In pendenza del giudizio di opposizione contro il provvedimento, non è applicata la sanzione accessoria della pubblicazione dell'ordinanza ingiunzione]
Registro dei provvedimenti
n. 333 del 20 maggio 2024
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);
VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);
VISTI i reclami presentati ai sensi dell’art. 77 del Regolamento dal Sig. XX e dalla Sig.ra XX nei confronti di Jcoplastic S.p.A.;
ESAMINATA la documentazione in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;
RELATORE l’avv. Guido Scorza;
PREMESSO
1. I reclami nei confronti della Società e l’attività istruttoria.
L’Autorità ha ricevuto due distinti reclami nei confronti di Jcoplastic S.p.A. (di seguito, la Società) che si riferiscono a trattamenti tra loro collegati. In data 2 agosto 2023, dopo l’avvio dell’istruttoria preliminare relativa alle istanze, è stata disposta la riunione dei procedimenti.
Il Sig. XX il 18 ottobre 2021, ha presentato un reclamo con cui sono state lamentate presunte violazioni del Regolamento, con particolare riferimento al trattamento di dati effettuato mediante l’attività di una agenzia investigativa, svolta su incarico della sede XX della Società, al fine di verificare il corretto uso dei permessi previsti dalla l. 104 del 1992, e il successivo utilizzo dei dati raccolti nell’ambito di un procedimento disciplinare conclusosi con il licenziamento del reclamante.
In particolare, con il reclamo è stato lamentato che all’interno della relazione investigativa e della contestazione disciplinare sono presenti riferimenti a soggetti terzi, identificati con nome e cognome, nonché la “descrizione di atteggiamenti e relazionalità” con i predetti terzi, senza che ciò sia necessario per le conclusioni dell’investigazione e pertanto in violazione del principio di pertinenza e proporzionalità.
La Società, nel fornire riscontro alla richiesta di informazioni formulata dall’Ufficio, con nota del 16 marzo 2023, ha rappresentato che:
a. “Nel mese di aprile 2021, la Jcoplastic S.p.A. ha ritenuto necessario effettuare una verifica sul rispetto delle norme di legge e di contratto in ordine alla fruizione dei permessi ex Legge n. 104/92 da parte del [reclamante]; suddetto controllo era motivato dalla condotta dello stesso dipendente, il quale in precedenza aveva riferito a terzi presso il luogo di lavoro […] delle molteplici attività di svago cui si dedicava anche durante i permessi ex L. 104/92” (nota 16/3/2023, p. 1);
b. “in considerazione della gravità delle condotte in astratto imputabili al proprio dipendente la Jcoplastic S.p.A., in data 30.04.2021 […], ha conferito incarico all’agenzia investigativa […] al fine di procedere allo svolgimento di indagini difensive volte a rilevare l’eventuale utilizzo abusivo dei permessi richiesti” dal reclamante (nota cit., p. 2);
c. “l’attività investigativa […] è consistita esclusivamente in rilievi di natura fotografica, effettuati al di fuori dell’abitazione del [reclamante] e di ogni altro luogo privato e senza qualsivoglia forma di contatto e/o di avvicinamento con il [reclamante] e/o parenti/affini/amici dello stesso” (nota cit., p. 2);
d. “l’attività investigativa è stata espletata per le giornate in cui il [reclamante] aveva richiesto e ottenuto i permessi 104; il lavoratore, invero, ha chiesto e ottenuto un permesso per specifici giorni ovvero per intere giornate” (nota cit., p. 2);
e. “la società non ha effettuato alcuna procedura o attività di identificazione in ordine alle generalità del soggetto terzo menzionato nel reclamo […]; il nominativo di tale persona fisica […] è stato assunto dall’agenzia investigativa stessa attraverso informazioni reperibili su “fonti open source, principalmente sulla piattaforma social facebook”” (nota cit., p. 3);
f. “andava pertanto acquisita specifica prova del fatto che il [reclamante] non si fosse occupato della propria madre, ma avesse al contrario trascorso le giornate di permesso ex. Legge 104/92 con il predetto soggetto terzo, da cui l’’ulteriore verifica sul fatto che tale persona terza non fosse addetta all’assistenza della madre ovvero fosse estranea alla persona bisognosa di assistenza e al contesto familiare in genere” (nota cit., p. 3);
g. “le disposizioni normative in ambito giuslavoristico, impongono al datore di lavoro, allorquando solleva un addebito disciplinare in danno di un proprio lavoratore, di contestare il fatto in modo preciso e circostanziato - anche con riferimento a fatti e persone - tanto anche per consentire al lavoratore di svolgere le proprie difese in merito ai fatti oggetto di addebito” (nota cit., p. 4);
h. “la finalità del trattamento dei dati può essere […] individuata nel perseguimento di un legittimo interesse della Jcoplastic S.p.A. ovvero quello di verificare il rispetto delle norme di legge e di contratto in ordine alla fruizione dei permessi ex L. 104/92 da parte del [reclamante]” (nota cit., p. 6).
In data 10 marzo 2023, anche la Sig.ra XX ha presentato un reclamo con cui ha lamentato presunte violazioni del Regolamento da parte della predetta Società, con particolare riferimento al trattamento di dati a sé riferiti effettuato mediante l’attività di una agenzia investigativa, svolta su incarico della XX della Società, e il successivo utilizzo dei dati medesimi “riportati […] sul provvedimento disciplinare assunto dalla società […] in danno del Sig. XX”.
L’Ufficio ha pertanto avviato l’istruttoria preliminare anche in relazione a questo reclamo, con nota del 4 maggio 2023, con la premessa che, stante la connessione tra i due reclami presentati, seppure in tempi diversi, nei confronti dello stesso titolare del trattamento e aventi ad oggetto i medesimi fatti, le istruttorie relative ai due reclami sarebbero state trattate congiuntamente, con conseguente riunione dei procedimenti.
La Società, nel fornire riscontro alla richiesta di informazioni formulata dall’Ufficio, con nota del 1° giugno 2023 ha rappresentato che:
a. “la società non ha effettuato alcuna attività non autorizzata volta al reperimento delle generalità della [reclamante]: il nominativo di tale persona fisica, come riportato nella relazione investigativa, è stato assunto dall’agenzia investigativa incaricata […] attraverso informazioni reperibili su “fonti open source, principalmente sulla piattaforma social facebook”” (nota 1/6/2023, p. 1);
b. “è stato lo stesso [reclamante] a diffondere/rendere conoscibile a tutti […] il rapporto con la [reclamante] identificandola, con foto e post aperti sui social network, ovvero con profili pubblici e non riservati all’accesso dei soli “amici”” (nota cit., p. 1);
c. “il nominativo della reclamante era stato già reso conoscibile alla [Società] dal [reclamante] in epoca antecedente, ovvero nell’ambito di altro precedente contenzioso giudiziario attivato sempre dal [reclamante] avverso il datore di lavoro […], ove la [reclamante] è stata indicata come teste a propria difesa” (nota cit., p. 2);
d. “Elementi quali i dati identificativi della [reclamante] o la generica descrizione delle attività svolte in compagnia [della stessa] – riportati nella contestazione disciplinare previa minimizzazione rispetto al contenuto della relazione investigativa […] – sono risultati necessari al fine di contestare in maniera specifica e comprovare che le condotte e le attività poste in essere dal dipendente […] nelle giornate oggetto di permessi ex L. 104/92 risultassero completamente estranee rispetto alla finalità di assistenza da prestare alla persona bisognosa” (nota cit., p. 2);
e. “andava pertanto acquisita specifica prova del fatto che il [reclamante] non si fosse occupato della propria madre, ma avesse al contrario trascorso le giornate di permesso ex. Legge 104/92 con il predetto soggetto terzo, da cui l’ulteriore verifica sul fatto che tale persona terza non fosse addetta all’assistenza della madre ovvero fosse estranea alla persona bisognosa di assistenza e al contesto familiare in genere” (nota cit., p. 2);
f. “i dati personali della reclamante raccolti dalla [Società] non risultano essere stati trattati in violazione del principio di pertinenza e non eccedenza rispetto alla finalità di tutelare il diritto della società titolare al corretto adempimento delle obbligazioni derivanti dal rapporto di lavoro da parte del proprio dipendente” (nota cit., p. 4);
g. “I dati trattati dall’agenzia investigativa, diversamente da quanto sostenuto dai reclamanti, non rientrano, comunque, nella categoria dei c.d. dati particolari, trattandosi di informazioni rese liberamente accessibili al pubblico dallo stesso interessato; anche se ciò fosse, comunque, il trattamento operato sarebbe comunque lecito” (nota cit., p. 5);
h. “relativamente alle modalità di trattamento e ai soggetti cui sono stati comunicati, si rappresenta che tali informazioni sono state raccolte e trattate dall’agenzia investigativa […] nel rispetto delle disposizioni normative e regolamentari […]. Suddetta agenzia, al termine del proprio incarico, ha consegnato la relazione investigativa in modalità cartacea, [al] legale rappresentate della società […] nonché al […] Procuratore Speciale […], il quale ha istruito il procedimento disciplinare […] e il relativo licenziamento disciplinare; tale relazione è conservata in modalità cartacea ed elettronica (scansione) in archivio aziendale (archivio fisico ed elettronico) in area riservata, protetta e sicura” (nota cit., p. 5-6);
i. “diversamente da quanto affermato dalla [reclamante] non ci si trova […] innanzi a un atto di diffusione di dati personali […] ma piuttosto a un’ipotesi lecita, necessaria e proporzionata di comunicazione di dati personali a soggetti predeterminati, svolta dalla [Società] ai sensi degli artt. 6, par. 1 lett. c) ed f) e 9, par. 2, lett. b) ed f) del Regolamento UE 2016/679 per le finalità correlate allo svolgimento della contestazione disciplinare e del giudizio pendente innanzi al Tribunale civile di Salerno sez. Lavoro; procedimento codesto nel quale la [reclamante] risulta essere stata chiamata a comparire proprio dallo stesso [reclamante] come teste in propria difesa” (nota cit., p. 6).
2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e le deduzioni della società.
Il 1° settembre 2023, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione alla Società delle presunte violazioni del Regolamento riscontrate, con riferimento agli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. b) e c), 9, par. 2, lett. b), del Regolamento.
Con memorie difensive inviate in data 29 settembre 2023, la Società ha rappresentato che:
a. “il procedimento disciplinare de quo ha avuto inizio proprio perché il [reclamante] si era in più occasioni vantato in ambito endoaziendale di “utilizzare” i permessi concessi ex L. 104/92 per effettuare disparate attività – tra cui quelle oggetto di contestazione specifica da parte del datore di lavoro – in compagnia della odierna reclamante” (memorie cit., p. 3);
b. “le circostanze e i fatti riportati nella contestazione dalla [Società] giammai possono essere intesi come volti a raffigurare in maniera subdola e maliziosa “l’esistenza di una relazione personale e intima”, ma essi possono al massimo fornire una rappresentazione dell’esistenza di un rapporto reso pacificamente noto […] in ambito lavorativo, in dispregio di qualsivoglia etica professionale, proprio con specifico riguardo alla narrazione delle modalità “alternative” di utilizzo dei permessi ex L. 104/92 di cui il reclamante si vantava con colleghi e altri soggetti operanti all’interno dell’azienda” (memorie cit., p. 3);
c. “la pubblicazione dei suddetti dati sui canali social da parte del [reclamante] non può essere valutata soltanto sul piano del perseguimento di finalità di comunicazione interpersonale, atteso che […] tali informazioni – comprensive del “tag” pubblico del nome della [reclamante] – risultavano sino alla data indicata accessibili non soltanto alla cerchia ristretta degli “amici” [dei reclamanti] ma erano agevolmente reperibili da chiunque avesse avuto accesso, anche attraverso i comuni motori di ricerca, al profilo “aperto” del reclamante” (memorie cit., p. 4);
d. “l’art. 9, par. 2 lett. e) del Regolamento, prescrive che il divieto di trattamento di particolari categorie di dati personali in assenza di consenso dell’interessato non si applica se “il trattamento riguarda dati personali resi manifestamente pubblici dall'interessato”. L’azione di rendere manifestamente pubblici dati personali particolari può dunque essere reputata equivalente ad un valido consenso al loro trattamento, sempre nel rispetto dei principi generali di cui all’art. 5 del Regolamento” (memorie cit., p. 4);
e. “il trattamento svolto [dalla Società] a seguito della lecita attività investigativa svolta dalla agenzia all’uopo incaricata, [ha] contemplato – in ossequio al principio di minimizzazione – soltanto alcune delle informazioni contenute nella relazione investigativa, con il precipuo scopo di contestare le circostanze rese pubbliche dallo stesso [reclamante] in ambito lavorativo” (memorie cit., p. 4-5);
f. “l’indicazione di elementi quali i dati identificativi della [reclamante] o la generica descrizione delle attività svolte in compagnia del [reclamante] – riportati nella contestazione disciplinare previa minimizzazione del contenuto della relazione investigativa (si confrontino a tal uopo il contenuto dei due documenti) – è risultata necessaria al fine di contestare in maniera specifica e comprovare che le condotte e le attività poste in essere dal dipendente […] nelle giornate oggetto di permesso ex L. 104/92 fossero completamente estranee al perseguimento delle finalità di assistenza da prestare alla persona” (memorie cit., p. 5);
g. "Proprio in qualità di soggetto la cui identificazione si è reputata necessaria nell’ambito del lecito, proporzionato svolgimento della suddetta contestazione disciplinare, la [reclamante] è stata chiamata a testimoniare dal [reclamante]. Nell’ambito del predetto giudizio […], la [reclamante] ha peraltro espressamente ribadito di intrattenere una “relazione sentimentale con il [reclamante]” (doc. 2, p. 7)” (memorie cit., p. 5);
h. “Si rimarca dunque che soltanto la contestazione degli addebiti menziona il nome della reclamante a conferma dei sospetti e per garantire la difesa del [reclamante], ma soprattutto perché la contestazione disciplinare è per sua natura destinata al solo lavoratore e rientra dunque entro la sua sfera di controllo” (memorie cit., p. 6);
i. con riguardo agli elementi da tenere in considerazione ai sensi dell’art. 83, co. 2, del Regolamento è stato rappresentato, tra l’altro, che: “La presunta violazione è connessa al legittimo esercizio da parte della Jcoplastic dei poteri di controllo su un proprio dipendente e sulla relativa formulazione di specifiche contestazioni, anche a garanzia del diritto di difesa dello stesso nell’ambito del procedimento disciplinare”; “La presunta violazione può essere considerata esclusivamente in termini di colpa”; “Minimizzazione delle informazioni contenute nella relazione investigativa”; “Modalità di comunicazione delle informazioni trattate nella contestazione disciplinare ai soli soggetti autorizzati (no diffusione). - Espunzione di qualsivoglia riferimento alla reclamante nel provvedimento di licenziamento poi impugnato dall’interessato” (memorie cit., p. 8-10).
Nel corso dell’audizione richiesta dalla Società, tenutasi in data 14 novembre 2023, la stessa ha infine sostenuto, tra l’altro, che:
a. “nell’ambito della valutazione del bilanciamento degli interessi in gioco, a fronte di una potenziale lesione della riservatezza del lavoratore, è stata riscontrata dalla Società una grave violazione di elementari regole di etica professionale. Infatti il reclamante ha utilizzato i permessi concessi per finalità specifiche, ai sensi della legge 104/1992, per svolgere tutt’altra attività, addirittura vantandosene con i propri colleghi”;
b. “nel rispetto del principio di minimizzazione, la contestazione disciplinare ha riportato soltanto alcune delle informazioni personali raccolte dall’agenzia investigativa, non per scopo denigratorio ma per finalità eminentemente giuslavoristiche, ovvero consentire al lavoratore di approntare efficacemente la propria difesa sulla base di una dettagliata e circostanziata rappresentazione dei fatti posti alla base della contestazione”;
c. “Per quanto riguarda la reclamante, si ritiene che alla stessa debba essere riconosciuta una tutela affievolita in quanto, citata come teste nel precedente procedimento (sopra richiamato) di impugnazione di una sanzione disciplinare inflitta al reclamante, ha reso pubblica la sua relazione sentimentale con quest’ultimo. Perdipiù, allo stato, la reclamante è nuovamente teste nel procedimento di impugnazione del licenziamento proposto dal reclamante sulle circostanze già menzionate in precedenza”.
Con ulteriore memoria integrativa, inviata il 17 novembre 2023, la Società ha da ultimo prodotto due dichiarazioni, fornite da altrettanti colleghi del reclamante all’epoca dei fatti oggetto di reclamo, i quali riferiscono di essere stati al corrente che i permessi erano utilizzati dal reclamante per coltivare una relazione e che tale circostanza era stata resa nota dal reclamante.
3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.
3.1 Esito dell’istruttoria. Violazione dell’art. 5, par. 1, lett. a) e c) del Regolamento.
All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, risulta che la Società, in qualità di titolare, ha effettuato alcune operazioni di trattamento, riferite ai reclamanti, che risultano non conformi alla disciplina in materia di protezione dei dati personali.
In proposito si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.
Nel merito, con esclusivo riferimento ai trattamenti effettuati dalla Società, è accertato che quest’ultima ha notificato al reclamante il 7 settembre 2021 una contestazione disciplinare, ai sensi dell’art. 7, l. n. 300 del 1970, relativa alla violazione delle condizioni di fruizione dei permessi ex l. n. 104 del 1992.
Nell’ambito del predetto atto di contestazione, nel descrivere la condotta ascritta al dipendente, sono state indicate molteplici attività svolte in compagnia della reclamante, indicata con nome e cognome (v. p. 1-2-3 della contestazione disciplinare). In particolare, poi, nella predetta contestazione sono presenti le seguenti frasi: “Presso il Comune di […] Lei e la Sua amica, […], avete passeggiato mano nella mano all’interno del paese sino alle 21.00, ora in cui è stato interrotto il servizio di sorveglianza”; “Ella ha sistematicamente utilizzato i permessi ex Legge 104 per coltivare il suo rapporto con la [reclamante] in luogo della dovuta assistenza a Sua madre”.
Il riferimento esplicito all’identità della reclamante e l’allusione all’esistenza di una relazione personale e intima tra la stessa e il reclamante, che emerge in particolare dalle espressioni sopra riportate nonché dalla identificazione della reclamante come la medesima accompagnatrice di molteplici attività quotidiane svolte in comune, non è conforme ai principi di liceità, correttezza e minimizzazione, posto che la necessità per il datore di lavoro di contestare dettagliatamente la condotta ascritta al dipendente poteva ben essere utilmente effettuata senza riportare il nome della persona oggetto di osservazione da parte degli investigatori e, a maggior ragione, senza esplicitare l’esistenza di una relazione privata con la medesima.
Né può essere accolta l’obiezione della Società secondo la quale l’identificazione della reclamante sarebbe stata necessaria per escludere che potesse trattarsi di persona addetta e coadiuvare il reclamante nell’assistenza al parente disabile, ciò al fine di garantire il diritto di difesa del reclamante nel procedimento disciplinare.
Infatti sarebbe stato sufficiente limitarsi a riportare nella contestazione che trattavasi di persona evidentemente estranea all’attività di assistenza e cura del parente disabile, posto peraltro che tale circostanza risultava facilmente desumibile dalla stessa natura di alcune delle attività osservate dagli investigatori e riportate dettagliatamente nella contestazione: pesca con muta subacquea, passeggiate a piedi, spostamenti in macchina da e verso l’abitazione del reclamante, prelievi da sportelli bancomat e altro.
Trattasi di circostanze già in sé sufficientemente dettagliate, anche con riguardo ai riferimenti di tempo e di luogo inseriti nella contestazione, per consentire al lavoratore di difendersi efficacemente nel procedimento disciplinare.
La circostanza, poi, evidenziata dalla Società nelle proprie memorie, che l’atto di contestazione disciplinare non abbia riportato per intero il contenuto della relazione investigativa non esclude, di per sé, che i dati riportati risultino in concreto non adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento, nei termini sopra indicati.
Né il fatto che i dati di cui si discute non siano stati riportati (anche) nella lettera di licenziamento del reclamante può essere preso in considerazione, come sostenuto dalla Società, per attestare l’osservanza da parte di quest’ultima del principio di minimizzazione anche con riguardo all’atto di contestazione disciplinare, posto che gli stessi sono atti distinti.
I trattamenti di dati personali devono in primo luogo osservare il principio generale di proporzionalità, sancito dall’art. 52 della Carta dei diritti fondamentali dell’Unione europea (“Eventuali limitazioni all'esercizio dei diritti e delle libertà riconosciuti dalla presente Carta devono essere previste dalla legge e rispettare il contenuto essenziale di detti diritti e libertà. Nel rispetto del principio di proporzionalità, possono essere apportate limitazioni solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall'Unione o all'esigenza di proteggere i diritti e le libertà altrui”).
In proposito la Corte Cost. 21/2/2019, n. 20, punto 3.1, ha rammentato che “La Corte di Giustizia dell’Unione europea ha ripetutamente affermato che le esigenze di controllo democratico non possono travolgere il diritto fondamentale alla riservatezza delle persone fisiche, dovendo sempre essere rispettato il principio di proporzionalità, definito cardine della tutela dei dati personali”.
Per i suesposti motivi la condotta della Società ha comportato la violazione dei principi generali di liceità, correttezza e minimizzazione stabiliti dall’art. 5, par. 1, lett. a) e c) del Regolamento.
3.2. Violazione degli artt. 6, par. 1, lett. b) e c) e 9, par. 2, lett. b), del Regolamento.
È altresì emerso che il trattamento di alcuni dati personali riportati nella relazione investigativa è avvenuto in assenza di una idonea base giuridica.
Si premette che i dati identificativi della reclamante hanno natura di dati “comuni”, mentre i dati relativi all’esistenza di una relazione personale e intima tra i reclamanti costituiscono “dati particolari” relativi alla vita sessuale degli interessati, ciò tenuto anche conto delle circostanze del caso concreto (tra cui la specifica situazione familiare del reclamante).
Il fatto che l’identità della reclamante e l’esistenza di una relazione tra quest’ultima e il reclamante si potesse evincere dalla consultazione del profilo Facebook del dipendente, come dedotto dalla Società, non costituisce elemento che possa essere preso in considerazione quale condizione di liceità del trattamento, posto che la pubblicazione di informazioni sui canali social avviene per perseguire finalità (comunicazione interpersonale) diverse da quelle legate all’esecuzione della prestazione lavorativa.
Inoltre, nell’ordinamento vigente, al datore di lavoro è vietato trattare informazioni che non siano rilevanti ai fini della valutazione dell’attitudine professionale del dipendente, attesi i rischi di discriminazione ordinariamente connessi a tali trattamenti.
La valutazione in termini di illiceità di tale condotta è stata effettuata – e confermata a distanza di tempo - dal legislatore nazionale con particolare rigore, tanto che la violazione del predetto divieto è penalmente sanzionata (v. artt. 8, l. 20/5/1970, n. 300 e 10, d. lgs. 10/9/2003, n. 276, richiamati dall’art. 113 del Codice come condizione di liceità dei trattamenti di dati personali).
Non può essere accolta pertanto l’obiezione della Società in base alla quale quest’ultima avrebbe lecitamente trattato informazioni rese note dallo stesso reclamante attraverso canali social (v. anche, sul punto: Gruppo di lavoro Articolo 29 per la protezione dei dati, WP 249, Parere 2/2017 sul trattamento dei dati sul posto di lavoro, punti 5.1 e 5.2).
Seppure l’attività di ricerca sui canali social sia stata effettuata, secondo quanto dichiarato, dall’agenzia investigativa incaricata e non dalla Società, quest’ultima, in qualità di titolare del trattamento, ha comunque ritenuto di utilizzare le predette informazioni (identità della signora e natura personale del rapporto con il reclamante) e di riportarle all’interno della contestazione disciplinare.
Parimenti non può essere presa a tale scopo in considerazione la circostanza che, secondo quanto dedotto dalla Società, l’esistenza di una relazione privata tra i reclamanti fosse in ogni caso conosciuta nell’ambito lavorativo del reclamante (e finanche resa nota da quest’ultimo ad alcuni colleghi, in base a quanto dichiarato dalla Società anche con l’ausilio di due dichiarazioni che peraltro non sono state oggetto di contraddittorio con gli interessati).
Se anche, infatti, ciò fosse stato accertato non avrebbe influito sulla valutazione dell’Autorità circa l’insussistenza di idonee condizioni di liceità del trattamento nei termini su esposti, considerato pure che tale deduzione non può costituire evidenza che l’interessato abbia “manifestamente” reso pubblico il dato (ai sensi dell’art. 9, par. 2, lett. e) del Regolamento) né tantomeno sulla valutazione relativa alla pertinenza, adeguatezza e proporzionalità del trattamento di tale dato nella contestazione disciplinare rivolta al reclamante.
Con riguardo al dipendente, l’informazione relativa all’esistenza di una relazione personale e intima con la persona nominata all’interno della contestazione disciplinare del 6 settembre 2021 è stata pertanto trattata dalla Società in assenza dei requisiti specificamente previsti dall’art. 9, par. 2, lett. b), del Regolamento relativamente ai trattamenti di dati particolari in ambito lavorativo.
L’indicazione nominativa del terzo (la reclamante) nel medesimo atto di contestazione, in ogni caso, è avvenuta quindi in assenza dei requisiti previsti dall’art. 6, par. 1, lett. b) e c), del Regolamento, posto che l’informazione non risultava necessaria per l’esecuzione del contratto di lavoro né per l’attuazione di altre disposizioni normative applicabili.
L’inserimento delle informazioni riportate in premessa nell’atto di contestazione dell’illecito disciplinare risulta, peraltro, aver comportato la lesione della dignità anche professionale del reclamante.
Ciò tenuto conto che l’atto di contestazione, seppure destinato al solo reclamante, è conoscibile dai soggetti autorizzati (colleghi di lavoro) nell’ambito dello svolgimento del procedimento disciplinare nonché delle eventuali successive impugnazioni dell’atto.
Con riguardo alla reclamante, parimenti, non risulta applicabile alcuno dei requisiti previsti dagli artt. 6 e 9, par. 2, del Regolamento come condizioni di liceità del trattamento di dati personali.
Né, in particolare, come sostenuto dalla Società, può essere ritenuto applicabile l’art. 6, par. 1, lett. f), del Regolamento, che, con esclusivo riferimento ai dati c.d. comuni, consente il trattamento di dati “per il perseguimento del legittimo interesse del titolare”, posto che non risulta essere stato effettuato dalla Società il necessario “test di bilanciamento” con i diritti e le libertà fondamentali dell’interessata nonché, più radicalmente, tale condizione di liceità non è applicabile al trattamento dei dati particolari (sulle particolari condizioni in presenza delle quali è prospettabile l’applicazione dell’art. 6, par. 1, lett. f), del Regolamento, si veda GUCE, 4/7/2023, C-252-21, punti 102-126, laddove - tra l’altro - si chiarisce che la necessità del trattamento per la realizzazione del legittimo interesse perseguito deve essere valutato alla luce del principio di minimizzazione, posto che deve essere verificato che “il legittimo interesse al trattamento dei dati perseguito non possa ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno pregiudizievoli per i diritti fondamentali degli interessati”).
Per quanto riguarda la reclamante inoltre, non può neanche essere accolta la tesi della Società per la quale le spetterebbe una tutela “affievolita” per effetto della sua testimonianza nel corso del procedimento di impugnazione di un precedente provvedimento disciplinare adottato nei confronti del reclamante, riferito a fatti diversi da quelli per i quali è stata notificata al reclamante la contestazione del 7 settembre 2021, nel corso del quale la stessa reclamante avrebbe fatto riferimento all’esistenza di una relazione sentimentale con lo stesso.
Tale circostanza, infatti, presente nella parte motiva della sentenza del Tribunale competente adito, avente – peraltro - data successiva ai fatti oggetto di reclamo (1° giugno 2023; All. 4, memorie difensive 29/9/2023), inserita al solo scopo di corroborare la valutazione di non attendibilità della testimonianza resa alla luce proprio della natura del legame con il ricorrente, non è riconducibile ad alcuna delle condizioni di liceità del trattamento previste dall’art. 9 del Regolamento.
In particolare, l’aver reso una dichiarazione nell’ambito di un procedimento incardinato davanti all’autorità giudiziaria non può essere considerata quale attività volta a rendere “manifestamente pubblici” i dati oggetto di testimonianza (ai sensi e per gli effetti di cui all’art. 9, par. 2, lett. e) del Regolamento), considerato anche che la sentenza, sottoposta a regime di pubblicità, è stata pubblicata - come sopra riportato - in data successiva alla notificazione della contestazione disciplinare oggetto di reclamo al Garante.
Da quanto sopra deriva, quindi, che il trattamento dei predetti dati risulta inoltre essere avvenuto in assenza di adeguata base giuridica, sia per quanto riguarda il reclamante/dipendente sia per quanto riguarda la reclamante/soggetto terzo nominativamente indicata nell’atto di contestazione, in violazione pertanto degli artt. 6 e 9, par. 2, del Regolamento.
4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.
Per i suesposti motivi l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.
Il trattamento dei dati personali effettuato dalla società e segnatamente il trattamento di dati comuni e particolari riferiti ai reclamanti all’interno della contestazione disciplinare notificata al reclamante il 7 settembre 2021, risulta infatti illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a) e c), 6 e 9 del Regolamento.
La violazione accertata nei termini di cui in motivazione non può essere considerata “minore”, tenuto conto della natura della violazione che ha riguardato i principi generali e le condizioni di liceità del trattamento anche con riguardo al trattamento di dati particolari e della gravità della violazione stessa, del grado di responsabilità e della maniera in cui l'autorità di controllo ha preso conoscenza della violazione (v. Considerando 148 del Regolamento).
Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2 del Regolamento, si dispone una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i) Regolamento).
TUTTO CIÒ PREMESSO, IL GARANTE
rileva l’illiceità del trattamento effettuato da Jcoplastic S.p.A., in persona del legale rappresentante, con sede legale in Piazza della Repubblica, 30 Milano (MI), C.F. 03350060657, ai sensi dell’art. 143 del Codice, per la violazione degli artt. 5, par. 1, lett. a) e c), 6 e 9 del Regolamento;
Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.
Roma, 20 maggio 2024
IL PRESIDENTE
Stanzione
IL RELATORE
Scorza
IL SEGRETARIO GENERALE
Mattei
