Diritti interna

Doveri interna

ricerca avanzata

Provvedimento del 22 dicembre 2016 [5986332]

[doc. web n. 5986332]

Provvedimento del 22 dicembre 2016

Registro dei provvedimenti
n. 555 del 22 dicembre 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il ricorso presentato a questa Autorità il 5 settembre 2016 da XY, rappresentata e difesa dagli avv.ti Marina della Rosa e Alessio Montalti, nei confronti di Ottavia Donati, con il quale l´interessata, ritenendo incompleto il riscontro ottenuto a seguito del previo interpello, ha ribadito parte delle istanze già avanzate ai sensi dell´art. 7 del d.lgs. 30 giugno 2003, n. 196 "Codice in materia di protezione dei dati personali" (di seguito "Codice"), chiedendo di ottenere:

la conferma dell´esistenza di dati personali che la riguardano;

l´indicazione dell´origine degli stessi, delle finalità e delle modalità del trattamento, con comunicazione delle "date cronologiche, tipologia dei documenti sia in forma cartacea che su supporto informatico, in cui sono inseriti i [propri] dati identificativi anche a lei associati tramite la sua password personale (…) utilizzata per l´accesso e l´identificazione dell´operatore al terminale di gestione del magazzino e al registratore di cassa, nel corso di tutto il periodo lavorativo dall´11.03.2013 al 26.04.2016 alle (…) dipendenze" della resistente, con particolare riguardo ai singoli eventi di addebito specificamente individuati nella  lettera di contestazione disciplinare datata 27 aprile 2016, nonché alla documentazione in quest´ultima indicata in modo generico;

la comunicazione in forma intelligibile della "cronologia, orari, contenuto e finalità" della documentazione denominata "dettaglio scontrino operatore" in cui risultino presenti dati a sé riferibili anche indirettamente tramite associazione con la sua password personale;

l´indicazione degli estremi identificativi del titolare e del responsabile del trattamento, nonché dei soggetti terzi ai quali siano stati eventualmente comunicati e/o diffusi i dati personali che la riguardano;

la liquidazione in proprio favore delle spese sostenute per il procedimento;

CONSIDERATO che la ricorrente ha, in particolare, rilevato:

di aver prestato la propria attività lavorativa alle dipendenze della resistente, titolare di una tabaccheria, dall´11 marzo 2013 al 26 aprile 2016;

di aver ricevuto, in data 27 aprile 2016, una lettera di contestazione disciplinare, a mani della datrice di lavoro, nella quale veniva evidenziata la presenza di irregolarità rilevate a seguito di un controllo contabile effettuato con riguardo alla gestione dei flussi di scarico dalle giacenze di magazzino dei biglietti "gratta e vinci", flussi ritenuti falsificati, mediante l´asserito utilizzo della propria password personale, attraverso l´inserimento di "uscite per vendite mai effettuate" (delle quali ha fornito il dettaglio);

in data 11 maggio 2016 veniva irrogata la sanzione del licenziamento per giusta causa, successivamente impugnato dalla dipendente, che ha più volte avanzato richiesta di esibizione della documentazione posta a base dell´addebito disciplinare a fronte della quale la resistente "si limitava a dichiarare che "cospicua, univoca documentazione" era stata depositata unitamente ad atto di denuncia querela presso la Procura del Tribunale di Ravenna"; 

VISTI gli ulteriori atti d´ufficio e, in particolare, la nota del 12 settembre 2016 con la quale questa Autorità, ai sensi dell´art. 149, comma 1, del Codice, ha invitato il titolare del trattamento a fornire riscontro alle richieste dell´interessata, nonché la nota del 14 novembre 2016 con la quale è stata disposta, ai sensi dell´art. 149, comma 7, del Codice, la proroga del termine per la decisione sul ricorso;

VISTA la nota del 29 settembre 2016 con la quale la resistente, rappresentata e difesa dall´avv. Maria Vittoria Beltrani, ha rilevato:

la regolarità del procedimento disciplinare attivato nei confronti della dipendente tenuto conto del fatto che, a seguito dell´avvenuta notifica della lettera di contestazione disciplinare, la medesima è stata invitata, in data 4 maggio 2016, a verificare i fatti contestati attraverso l´esame della relativa documentazione, procedendo contestualmente ad un nuovo controllo delle consistenze di magazzino;

in tale occasione la ricorrente "ha ammesso di avere effettuato sul programma gestionale le modifiche al ribasso delle giacenze di magazzino di "gratta e vinci"", astenendosi peraltro dal far pervenire, nel termine assegnato, giustificazioni scritte in ordine agli addebiti mossi, motivo per il quale in data 11 maggio 2016 le veniva irrogato il licenziamento per giusta causa, successivamente contestato dalla medesima con "lettera del 13/05/2016 e con ricorso al Tribunale di Ravenna sezione Lavoro";

di avere altresì presentato denuncia querela alla Procura della Repubblica presso il Tribunale di Ravenna in ragione degli ammanchi rilevati;

che il programma software utilizzato per la gestione del magazzino "non risulta rilevante ai fini della tutela della privacy" – come desumibile da una nota esplicativa redatta dalla società installatrice dello stesso – in quanto "non vi è alcun dato anagrafico censito all´interno del gestionale che contiene soltanto la contabilità aziendale", precisando, a tale riguardo, che "il sistema non prevede campi anagrafici da compilare, ma un codice identificativo, composto da un nome e da un numero segreto, a conoscenza della sola operatrice" e che lo stesso non consente "la navigazione Internet, non è dotato di account mail e non contiene alcuna rubrica contatti";

che non si possano, pertanto, ritenere dati personali dell´interessata le "informazioni (nella fattispecie esclusivamente contabili) relative all´operato della ex dipendente";

VISTA la nota del 5 ottobre 2016 con la quale la ricorrente, nel contestare quanto affermato da controparte, ha eccepito che:

la nozione di dato personale include qualunque informazione riconducibile all´interessata e che, in ragione di ciò, debbano essere comunicati a quest´ultima "tutti quei dati, contenuti nel gestionale di magazzino, che hanno permesso alla datrice di addebitare gli asseriti ammanchi", a prescindere dal fatto che in essi compaia il nome esplicito della dipendente oppure un suo codice identificativo;

la resistente negando, nel corso del procedimento, la presenza di dati personali della medesima all´interno del programma di gestione del magazzino ha, di fatto, contraddetto quanto già affermato in sede di riscontro all´interpello preventivo, ove ha dichiarato che il solo dato personale trattato nell´ambito del citato programma di gestione del magazzino è il nome della dipendente in collegamento alle singole operazioni compiute dalla medesima;

VISTA la nota del 18 novembre 2016 con la quale la resistente, nel richiamare i riscontri già forniti anteriormente alla proposizione del ricorso con particolare riguardo alla richiesta di conferma dell´esistenza di dati personali dell´interessata, ha comunicato altresì gli estremi identificativi del titolare del trattamento ribadendo che "il contenuto del gestionale in uso nella tabaccheria, a far tempo dal 2013 e per tutto il periodo lavorativo della [ricorrente] (…) non risulta rilevante ai fini della tutela della privacy" non contenendo "campi anagrafici da compilare, ma un codice identificativo, composto da un nome e da un numero segreto, a conoscenza della sola operatrice" e precisando che i dati in proposito richiesti sono comunque contenuti nella lettera di contestazione disciplinare notificata all´interessata;

VISTA la nota del 23 novembre 2016 con la quale la ricorrente ha rinnovato le proprie istanze rilevando, a dimostrazione della riconducibilità dei dati richiesti alla nozione di dato personale, come gli stessi siano stati utilizzati dal datore di lavoro a sostegno delle accuse mosse alla medesima davanti alle competenti sedi giudiziarie;

VISTA la nota del 25 novembre 2016 con la quale la resistente ha comunicato di aver provveduto a depositare, presso la cancelleria del Tribunale avanti al quale pende la causa di lavoro conseguente all´impugnazione del licenziamento, apposita memoria di costituzione, unitamente alla documentazione prodotta a sostegno della difesa della quale la ricorrente, in quanto parte del relativo procedimento, può prendere visione ed estrarre copia;

CONSIDERATO che la parte resistente non si è avvalsa della facoltà di chiedere il differimento di cui all´art. 8, comma 2, lett. e), del Codice;

CONSIDERATO che la nozione di dato personale di cui all´art. 4, comma 1, lett. b), del Codice, secondo l´ampia interpretazione datane anche dal WP Art. 29 – Gruppo di lavoro art. 29 sulla protezione dei dati personali nel parere 4/2007 sul concetto di dati personali – WP 136 del 20 giugno 2007, coinvolge qualunque informazione riguardante persona fisica che ne consenta, sia pur indirettamente, l´identificazione;

CONSIDERATO, altresì, che da tale nozione non possano ritenersi esclusi i dati riconducibili all´attività lavorativa svolta dall´interessato, idonei come tali a consentire di valutare la stessa in termini quantitativi e qualitativi, anche laddove tale connessione emerga attraverso l´associazione tra codici identificativi, di tipo numerico o alfanumerico, collegati all´operatore ed informazioni inerenti la prestazione oggettivamente resa;

CONSIDERATO che, nel caso in esame, tenuto conto delle dichiarazioni rese da entrambe le parti anche nella fase precedente l´avvio del presente procedimento, debba ritenersi che il trattamento effettuato attraverso il programma di gestione delle giacenze di magazzino, pur riguardando anche dati di tipo contabile afferenti l´attività commerciale facente capo alla resistente, fornisca certamente informazioni relative ad alcune tra le mansioni affidate alla ricorrente, circostanza peraltro desumibile dalla connessione esistente, all´interno dei relativi record prodotti dal sistema, tra il codice identificativo assegnato alla medesima – a sua volta composto dal nome e da un numero segreto di sua esclusiva conoscenza – e le singole operazioni compiute;

RILEVATO che la resistente, nel corso del procedimento, pur avendo confermato la detenzione di alcuni dati personali della dipendente già individuati anteriormente alla proposizione del ricorso ed indicando altresì gli estremi identificativi del titolare del trattamento, non ha provveduto a comunicare alla medesima le ulteriori informazioni richieste – ritenendole estranee all´ambito di applicazione della normativa in materia di protezione dei dati personali – con particolare riguardo ai dati riconducibili, per l´intera durata del rapporto di lavoro, alle operazioni inserite nel sistema di registrazione contabile delle giacenze di magazzino, nonché all´interno del registratore di cassa, in associazione al codice identificativo ad essa collegato, omettendo altresì di indicare l´origine, le finalità e le modalità di trattamento degli stessi, nonché gli estremi identificativi dei soggetti ai quali i dati stessi siano stati eventualmente comunicati e/o diffusi;

RITENUTO, alla luce di quanto sopra esposto, di dover accogliere parzialmente il ricorso e, per l´effetto, di dover ordinare ad Ottavia Donati, ai sensi dell´art. 150, comma 2, del Codice, di disporre, entro venti giorni dalla ricezione del presente provvedimento, la comunicazione in forma intelligibile dei dati non ancora resi noti all´interessata, così come individuati nell´atto introduttivo del procedimento, indicando altresì, in relazione agli stessi, l´origine, le finalità e le modalità del trattamento, nonché i soggetti o le categorie di  soggetti ai quali i dati stessi siano stati eventualmente comunicati;

RITENUTO di dover, invece, dichiarare, ai sensi dell´art. 149, comma 2, del Codice, non luogo a provvedere sul ricorso in ordine alle informazioni rese alla ricorrente nel corso del procedimento;

VISTE le decisioni dell´Autorità del 15 gennaio e del 19 ottobre 2005 sulla misura forfettaria delle spese e dei diritti per i ricorsi e ritenuto congruo, nel caso di specie, quantificare detto importo nella misura di euro 500,00, da addebitarsi per euro 150,00 a carico di Ottavia Donati in considerazione degli adempimenti connessi alla presentazione del ricorso, compensando la restante parte per giusti motivi e, in particolare, in ragione del parziale riscontro fornito sia prima che nel corso del procedimento;

VISTA la documentazione in atti;

VISTI gli artt. 145 e ss. del Codice;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

TUTTO CIÒ PREMESSO IL GARANTE:

a) accoglie parzialmente il ricorso e, per l´effetto, ordina ad Ottavia Donati, ai sensi dell´art. 150, comma 2, del Codice, di disporre, entro venti giorni dalla ricezione del presente provvedimento, la comunicazione in forma intelligibile dei dati non ancora resi noti all´interessata, così come individuati nell´atto introduttivo del procedimento, indicando altresì, in relazione agli stessi, l´origine, le finalità e le modalità del trattamento, nonché gli estremi identificativi dei soggetti ai quali i dati stessi siano stati eventualmente comunicati e/o diffusi;

b) dichiara non luogo a provvedere sul ricorso in ordine ai dati comunicati nel corso del procedimento;

c) determina l´ammontare delle spese del presente procedimento nella misura forfettaria di euro 500,00, di cui euro 150,00 da addebitarsi al titolare del trattamento, che dovrà liquidarli direttamente a favore della ricorrente; compensa la restante parte per giusti motivi.

Il Garante, nel chiedere ad Ottavia Donati, ai sensi dell´art. 157 del Codice, di comunicare quali iniziative siano state intraprese al fine di dare attuazione al presente provvedimento e di fornire comunque riscontro entro trenta giorni dalla ricezione dello stesso, ricorda che l´inosservanza di provvedimenti del Garante adottati in sede di decisione dei ricorsi è punita ai sensi dell´art. 170 del Codice. Ricorda altresì che il mancato riscontro alla richiesta ex art. 157 è punito con la sanzione amministrativa di cui all´art. 164 del Codice.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150 del 1° settembre 2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 22 dicembre 2016

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia