[doc. web n. 1816132]

Provvedimento del 7 aprile 2011

Registro dei provvedimenti
n. 129 del 7 aprile 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

VISTA l´istanza, avanzata ai sensi dell´art. 7 del Codice in materia di protezione dei dati personali, con cui XY ha chiesto all´ICBPI – Istituto Centrale delle Banche Popolari S.p.A., di cui è stata dipendente, di ottenere la comunicazione in forma intelligibile dell´origine dei dati personali che la riguardano, delle finalità, delle modalità e della logica applicata al trattamento, degli estremi identificativi del titolare e del/i responsabile/i del trattamento eventualmente designati, nonché dei soggetti o delle categorie di soggetti cui i dati siano stati o possano essere comunicati; l´interessata ha in particolare chiesto di conoscere le modalità con cui "sarebbero stati acquisiti i dati relativi alla carta bancomat, di cui (…) è titolare" quale correntista del medesimo istituto, lamentando l´indebito utilizzo degli stessi per finalità diverse rispetto a quelle rese note nella relativa informativa (nello specifico l´avvio di un procedimento disciplinare nei suoi confronti conclusosi con l´adozione di un provvedimento di licenziamento) e manifestando pertanto opposizione al loro ulteriore trattamento, nonché formulando richiesta di cancellazione, di trasformazione in forma anonima o di blocco dei dati trattati in violazione di legge;

VISTA la nota, datata 24 novembre 2010, con cui il titolare del trattamento ha rappresentato che "i dati riferiti all´utilizzo della (…) Carta Bancomat sono emersi in modo del tutto estemporaneo nel contesto di un´attività istituzionale di controllo e presidio che non ha inteso investire specificamente" la posizione dell´interessata, né ha riguardato il suo conto corrente; l´istituto bancario ha, in particolare, precisato che "nel contesto di una pianificata verifica del Servizio Audit sulla regolarità del Servizio Bancomat, anche a seguito di segnalazioni di frode consumate ai danni di alcuni dipendenti, si è reso necessario concentrare l´indagine sugli esercenti potenzialmente a rischio di compromissione, tra i quali si è distinto, per il numero e la significatività degli utilizzi da parte di una singola carta Bancomat, la sala Bingo"; la banca resistente ha infine rilevato come le risultanze della verifica eseguita "hanno genericamente quanto innominatamente evidenziato la riconducibilità di detta carta Bancomat, e del suo ripetuto utilizzo anche in orario di lavoro, ad un dipendente" da cui è scaturito "il successivo, per certo legittimo, accertamento", aggiungendo che "i dati così emersi (…) saranno cancellati solo nel momento in cui non saranno più necessari in relazione agli aspetti tuttora in sospeso del Suo rapporto di lavoro";

VISTO il ricorso al Garante, regolarizzato il 5 gennaio 2011 da XY, rappresentata e difesa dagli avv.ti Marco Menicucci e Simona Siani, nei confronti di ICBPI – Istituto Centrale delle Banche Popolari S.p.A., con il quale la ricorrente, nel reiterare la richiesta di cancellazione dei dati relativi ai movimenti della carta Bancomat di cui è titolare, utilizzati dall´istituto resistente nell´ambito del procedimento disciplinare avviato nei suoi confronti, ha eccepito l´illegittimità di tale trattamento "posto che l´odierna ricorrente non era mai stata informata – né aveva in alcun modo mai autorizzato – il trattamento dei dati suddetti per le finalità e con le modalità utilizzate da ICBPI", tenuto conto, peraltro, del fatto che la stessa non ha "mai segnalato alcuna frode consumata ai danni della carta bancomat di cui era titolare, né ha mai, tantomeno, presentato contestazioni di spesa"; l´interessata ha inoltre contestato la necessità, nell´ambito dell´attività di verifica sulla genuinità dei sistemi di pagamento condotta dalla banca, di "associare ad un interessato – poi identificato con l´odierna esponente – i dati della carta bancomat dichiaratamente emersi in modo del tutto estemporaneo nel contesto di una attività istituzionale di controllo e presidio", compresi "gli orari in cui le medesime sarebbero state eseguite", se non allo scopo di effettuare "un controllo a distanza sul dipendente a mezzo monitoraggio della carta bancomat di cui era titolare";

VISTI gli ulteriori atti d´ufficio e, in particolare, la nota del 14 gennaio 2011 con la quale questa Autorità, ai sensi dell´art. 149, comma 1, del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196), ha invitato il titolare del trattamento a fornire riscontro alle richieste della ricorrente, il verbale dell´audizione svoltasi presso la sede dell´Autorità in data 7 febbraio 2011, nonché la nota del 3 marzo 2011 con cui, ai sensi dell´art. 149, comma 7, del Codice, è stata disposta la proroga del termine per la decisione sul ricorso;

VISTE le note, datate 27 gennaio 2011 e 1° febbraio 2011, con cui l´istituto resistente, rappresentato e difeso dagli avv.ti S. Florio, V. Ferrante e M. Lotti,  nel richiamare il contenuto del riscontro già fornito in epoca anteriore alla proposizione del ricorso, ha rappresentato che "ICBPI, non è una banca retail, non ha una rete di sportelli, è una banca di Sistema specializzata in servizi e sistemi di pagamento (…) e nei Securities services (…)" e che "tuttavia (…) la gestione del servizio di carte di credito Bancomat/Pagobancomat è riservata esclusivamente ai dipendenti, in collegamento con i conti correnti dagli stessi accesi in concomitanza con la costituzione del rapporto di lavoro"; la resistente ha altresì precisato che il funzionamento di tale servizio ha formato oggetto di un´attività di verifica, eseguita in forma anonima con riguardo a tutte le transazioni effettuate negli anni 2009-2010, volta a far emergere l´esistenza di cd. "punti di compromissione", resasi necessaria "anche a seguito di segnalazioni ricevute dal Servizio Crediti e Sportelli in merito alla clonazione di alcune tessere Bancomat di dipendenti del Gruppo"; il titolare del trattamento ha inoltre evidenziato che, in base alle risultanze della verifica così condotta, sarebbe emersa, rispetto ad un particolare esercente (nello specifico la Sala Bingo), la riconducibilità di un numero considerevole di operazioni, effettuate in buona parte in orario di lavoro, ad "un´unica utenza Bancomat" da cui la necessità di "identificarne il titolare per verificare la legittimità di dette transazioni"; l´istituto bancario ha infine affermato la piena legittimità del trattamento posto in essere dichiarando (con dichiarazione della cui veridicità l´autore risponde ai sensi dell´art. 168 del Codice "Falsità nelle dichiarazioni e notificazioni al Garante") che "l´acquisizione del dato (…) è intervenuta in maniera del tutto casuale e per di più non già nel contesto di un´attività mirata a verificare la condotta della lavoratrice, ma nell´ambito di un piano volto a prevenire la commissione di truffe a danno del sistema bancomat ed a tutela di tutti i lavoratori dipendenti unici utilizzatori del mezzo di pagamento in questione", il cui esito avrebbe tuttavia giustificato l´identificazione del dipendente titolare della carta e l´utilizzazione dei relativi dati nell´ambito del procedimento disciplinare che lo ha riguardato a prescindere dal consenso del medesimo che non costituisce, qualora il trattamento sia orientato a far valere o difendere un diritto in sede giudiziaria (art. 24, comma 1, lett. f), del Codice), presupposto di legittimità del medesimo;

RILEVATO che, alla luce della documentazione in atti, il trattamento posto in essere dall´istituto resistente non risulta avvenuto in violazione della disciplina prevista dal Codice in materia di protezione dei dati personali avendo il medesimo raccolto i dati contestati nell´ambito di un´attività di verifica volta a far emergere l´esistenza, nel circuito degli sportelli ATM posti a servizi dei clienti/dipendenti dell´istituto bancario, di cd. punti di compromissione della genuinità delle carte di pagamento in dotazione degli stessi; la specificità del caso in esame, caratterizzata dalla totale coincidenza tra i clienti fruitori del servizio bancomat e i dipendenti dell´istituto erogatore del predetto servizio, non consente del resto di escludere -laddove emergano dati che inducono a presumere, in capo ai dipendenti, il verificarsi di condotte contrarie ai doveri connessi ad un corretto svolgimento della prestazione lavorativa- l´utilizzabilità di tali dati al fine di consentire al datore di lavoro l´esercizio del potere disciplinare ad esso riconosciuto, nonché la successiva eventuale difesa dei propri diritti in sede giudiziaria, purché il trattamento avvenga esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento (art. 24, comma 1, lett. f), del Codice); ciò tenuto anche conto del fatto che la contestazione degli addebiti disciplinari imputati al dipendente deve soddisfare, a garanzia del lavoratore, il requisito della specificità che risulta integrato "solo quando con la formulazione dell´addebito sono fornite le indicazioni necessarie ed essenziali per individuare, nella sua materialità, il fatto o i fatti nei quali il datore di lavoro abbia ravvisato infrazioni disciplinari o comunque comportamenti in violazione dei doveri di cui agli artt. 2104 e 2105 c.c." (v. Cass. Civ. sez. lav. n. 13813/2008);

RILEVATO comunque che resta fermo quanto previsto dall´art. 160, comma 6, del Codice con riferimento alle autonome determinazioni da parte dell´autorità giudiziaria in ordine all´utilizzabilità nel procedimento civile della documentazione in questione eventualmente acquisita nel corso del procedimento medesimo;

RITENUTO pertanto di dover dichiarare il ricorso infondato;

RITENUTO che sussistono giusti motivi per compensare le spese fra le parti;

VISTI gli artt. 145 e s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Mauro Paissan;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara infondato il ricorso;

b) dichiara compensate le spese fra le parti.

Roma, 7 aprile 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
De Paoli