Diritti interna

Doveri interna

ricerca avanzata

Provvedimento del 26 ottobre 2017 [7450096]

[doc. web n. 7450096]

Provvedimento del 26 ottobre 2017

Registro dei provvedimenti
n. 446 del 26 ottobre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici, componente e del dott. Giuseppe Busia, segretario generale;

VISTO il ricorso presentato al Garante il 20 giugno 2017 da XX, YY e ZZ rappresentati e difesi dall´avv. Carlo de Marchis (unitamente e disgiuntamente agli avv.ti Filippo Aiello, Matilde Bidetti, Andrea Circi e Giacomo Summa), nei confronti di Soccer sas di Brand Manager srl, con il quale gli interessati, ex dipendenti della stessa e licenziati per giusta causa, hanno ribadito le istanze già avanzate ai sensi degli artt. 7 e 8 del d.lgs. 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali (di seguito "Codice"), chiedendo:

- di accertare l´illegittimità del trattamento posto in essere dalla società resistente;

- di dichiarare il blocco con conseguente inutilizzabilità dei dati trattati in violazione dell´art. 4, legge 20 maggio 1970, n. 300 (Statuto dei lavoratori) e del Codice;

- di ordinare alla resistente di fornire copia del Manuale Privacy e dei Regolamenti aziendali in materia;

-  la liquidazione in loro favore delle spese sostenute per il procedimento;

CONSIDERATO che gli interessati hanno, in particolare, rappresentato:

- di aver prestato la propria attività lavorativa, come addetti alle vendite, per la società resistente, azienda che si occupa della vendita di prodotti e gadget per conto di un´associazione sportiva e dei biglietti per gli eventi sportivi della stessa;

- di essere stati licenziati per giusta causa all´esito di un procedimento disciplinare con il quale "l´azienda ha addebitato loro alcune asserite negligenze riscontrate […] a seguito di un incrocio di dati effettuato sulle risultanze elettroniche, acquisite dal programma della cassa, relative alla contabilizzazione di alcuni storni e di prodotti che si assumono essere stati venduti a prezzi scontati in un arco di tempo di circa 20 mesi";

- che il controllo è stato effettuato attraverso un programma centralizzato che oltre a consentire l´apertura delle casse, "conserva e pone in correlazione i codici ed i dati relativi ad ogni singola vendita con i codici personali assegnati ai ricorrenti ai fini dell´apertura del cassetto valori", consentendo così di conservare e monitorare tutte le operazioni effettuate da ciascun dipendente; inoltre, attraverso l´applicazione di appositi filtri, le singole operazioni possono essere "personalizzate" rispetto ad ogni singolo e specifico operatore che ha curato l´apertura della cassa, correlando il codice di apertura della stessa attribuito al singolo dipendente con altri fattori quali il tempo dell´operazione e le relative caratteristiche;

- che la resistente ha posto in essere il descritto trattamento attraverso un incrocio di dati personali relativi ad un ampio periodo di tempo, in assenza di informativa ai ricorrenti circa l´uso degli strumenti di lavoro loro affidati, alle finalità e modalità dei controlli;

VISTI gli ulteriori atti d´ufficio e, in particolare: a) la nota del 5 luglio 2017 con la quale questa Autorità, ai sensi dell´art. 149, comma 1, del Codice, ha invitato il titolare del trattamento a fornire riscontro alle richieste del ricorrente, b) il verbale dell´audizione svoltasi in data 19 settembre 2017 presso la sede dell´Autorità, nonché c) la nota del 3 ottobre 2017 con la quale è stata disposta, ai sensi dell´art. 149, comma 7, del Codice, la proroga del termine per la decisione sul ricorso;

VISTE le comunicazioni del 14 e 20 luglio 2017, con le quali il titolare del trattamento ha rappresentato che:

- a seguito di "alcune gravi e reiterate irregolarità rilevate", presso uno degli store dell´azienda -attraverso il sistema gestionale denominato "week analysis" che ha evidenziato un valore di vendite molto inferiore rispetto al numero di capi effettivamente venduti- è stato avviato un procedimento disciplinare, comunicato agli interessati con nota datata 8 novembre 2016, con la quale gli stessi venivano altresì informati della sospensione cautelativa dalla prestazione di lavoro;

- il sistema, che si limita a registrare - unicamente per finalità amministrativo-contabili e di riassorbimento merceologico- le operazioni di vendita effettuate nella giornata, senza alcuna operazioni di filtraggio, né associazione con il singolo utente che aveva posto in essere l´operazione di cassa, registra solo il log (cd. "id staff") attribuito al dipendente che provvede all´accensione e attivazione del sistema di cassa;

- le contestazioni nei confronti dei ricorrenti hanno tenuto conto delle risultanze amministrativo-contabili (ovvero i dati di scontrino non associati agli specifici dipendenti che hanno posto in essere le singole operazioni di cassa), incrociandole con le informazioni relative ai turni di lavoro e alle mansioni svolte da ciascun dipendente;

- gli interessati sono stati resi edotti del trattamento posto in essere anche con riferimento agli obblighi legali e contrattuali connessi alla gestione del rapporto di lavoro, compresa la fase patologica e conclusiva del rapporto di lavoro, anche in merito alla possibile "verifica del corretto utilizzo delle risorse informative e informatiche […] affidate per l´esclusivo svolgimento delle mansioni lavorative";

- il trattamento posto in essere risponde ai criteri necessità e pertinenza finalizzati alla gestione del punto vendita e delle operazioni contabili di cassa poste in essere nello stesso, infatti non è stato raccolto né trattato alcun dato ultroneo rispetto alla contabilizzazione delle operazioni di vendita (con indicazione degli articoli venduti, data e ora di vendita, prezzo e scontistica applicata);

VISTA la nota del 5 settembre 2017, con la quale i ricorrenti hanno ribadito le proprie posizioni e contestato quanto sostenuto dalla società resistente, specificando in particolare che qualora -come sembrerebbe emergere dalle dichiarazioni rese dalla resistente nel corso dell´istruttoria- l´associazione del dato identificativo -codice "id staff"- con "operazioni non effettuate e comunque per le quali non sussiste alcuna certezza di imputabilità al lavoratore" configurerebbe un trattamento errato che renderebbe legittima la richiesta di cancellazione o blocco;

VISTA la nota del 14 settembre 2017 con la quale la resistente ha sostenuto quanto già rappresentato nelle precedenti comunicazioni;

VISTO il contenuto del verbale di audizione delle Parti tenutasi presso gli Uffici del Garante, dal quale emerge che:

-  i ricorrenti hanno ribadito che l´id staff è da considerarsi erroneo o ininfluente in quanto, come risultato nel corso dell´istruttoria, non corrisponde al soggetto che ha svolto l´operazione;

- la resistente ha rappresentato che la cassa è uno strumento di lavoro finalizzato all´adempimento di obblighi amministrativo-contabili e i dati da esso ricavati non sono associati al singolo operatore, tuttavia le relative informazioni possono essere usate per la gestione del rapporto di lavoro anche nella sua fase patologica;

CONSIDERATO, all´esito dell´attività istruttoria, che la resistente ha dichiarato che il sistema gestionale, attraverso il quale è stato possibile riscontrare la presenza delle irregolarità contestate ai ricorrenti, costituisce "un sistema contabile delle vendite […] e non un sistema informatico finalizzato, direttamente o indirettamente, al monitoraggio del personale", e l´utilizzo dei codici personali (cd. "id staff") ha il solo scopo di consentire l´accensione e l´attivazione del sistema di cassa, e non quello di registrare l´operatività riconducibile ai singoli dipendenti, specificando poi che le contestazioni nei confronti dei ricorrenti, si sono fondate sul confronto dei citati dati contabili-amministrativi con le mansioni svolte dai dipendenti all´interno dello store e i loro turni di lavoro;

RILEVATO che, sulla base di tale ricostruzione, non emergono elementi di illiceità del trattamento, trattandosi di operazioni legittimamente compiute dalla resistente ai fini della tutela del proprio patrimonio aziendale e nel rispetto delle finalità di raccolta dei diversi dati utilizzati;

RITENUTO, pertanto, di dover dichiarare il ricorso infondato;

RILEVATO, poi, che l´ulteriore richiesta avanzata dai ricorrenti, volta ad ottenere copia del Manuale Privacy e dei Regolamenti aziendali in materia, non può ritenersi legittimamente esercitabile ai sensi del citato art. 7 del Codice, essendo sostanzialmente riconducibile alla diversa istanza di accesso alla documentazione, e che, pertanto, deve essere dichiarata  inammissibile ai sensi dell´art. 148, comma 1, lett. b) del Codice;

RITENUTO che sussistano giusti motivi per compensare fra le parti le spese del provvedimento in ragione dell´infondatezza e della parziale inammissibilità del ricorso;

VISTA la documentazione in atti;

VISTI gli artt. 145 e ss. del Codice;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

TUTTO CIÒ PREMESSO IL GARANTE:

- dichiara il ricorso infondato in ordine alla richiesta di dichiarare il blocco dei dati trattati dalla resistente ai fini dell´attivazione del procedimento disciplinare nei confronti dei ricorrenti;

- dichiara inammissibile il ricorso ai sensi dell´art. 149, comma 2, del Codice in ordine alla ulteriore richiesta avanzata dai ricorrenti;

- determina l´ammontare delle spese del presente procedimento nella misura forfettaria di euro 500,00, di cui euro 150,00 da addebitarsi alla società resistente che dovrà liquidarli direttamente a favore dei ricorrenti, compensa la restante parte per giusti motivi.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150 avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 26 ottobre 2017

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia