Garante della protezione dei dati, Provvedimento del 1° giugno 2023
Il Garante per la protezione dei dati ha sanzionato una società per aver installato e messo in funzione un sistema di videosorveglianza, con attiva la funzione di registrazione e in assenza di informativa, un sistema di rilevazione delle impronte digitali dei dipendenti e un sistema di rilevazione della posizione geografica dei dipendenti tramite applicativo installato sui cellulari degli stessi tracciando in modo continuativo, la posizione del dipendente nel corso della propria attività, determinando così un controllo del lavoratore non consentito. il trattamento dei dati anche della videosorveglianza e quello di localizzazione erano effettuati senza che i lavoratori avessero ricevuto un’adeguata informativa e fossero state attivate le procedure di garanzia previste dallo Statuto dei lavoratori (accordo sindacale o, in alternativa, autorizzazione dell’Ispettorato del lavoro) e, per quanto riguarda la videosorveglianza, è stata rilevata anche l’assenza di cartelli informativi in loco.
Trattamento dei dati biometrici
ll quadro normativo vigente prevede, che il trattamento di dati biometrici, per poter essere lecitamente posto in essere, avvenga nel rispetto di “ulteriori condizioni, comprese limitazioni” (cfr. art. 9, par. 4, del Regolamento).
A tale disposizione è stata data attuazione, nell’ordinamento nazionale, con l’art. 2-septies (Misure di garanzia per il trattamento dei dati genetici, biometrici e relativi alla salute) del Codice. La norma prevede che è lecito il trattamento di tali categorie di dati al ricorrere di una delle condizioni di cui all’art. 9, par. 2, del Regolamento “ed in conformità alle misure di garanzia disposte dal Garante”, in relazione a ciascuna categoria dei dati
Il datore di lavoro, titolare del trattamento, è, in ogni caso, tenuto a rispettare i principi di “liceità, correttezza e trasparenza”, “limitazione delle finalità”, “minimizzazione” nonché “integrità e riservatezza” dei dati e “responsabilizzazione” (art. 5 del Regolamento). I dati devono, inoltre, essere “trattati in maniera da garantire un’adeguata sicurezza” degli stessi, “compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali” (art. 5, par. 1, lett. f), e art. 32 del Regolamento).
La condotta tenuta dalla Società, in dispregio dei principi di cui sopra, fa configurare la violazione del principio di liceità del trattamento (art. 5, par. 1, lett. a) del Regolamento in relazione all’art. 114 del Codice) e dell’art. 88 del Regolamento quanto alla disciplina applicabile in materia.
Trattamento di dati relativi alla posizione geografica.
Le modalità di tracciamento della posizione dei lavoratori è risultata continuativa, gestita in modo tale da verificare la posizione del lavoratore nello svolgimento della propria attività lavorativa quando l’applicativo risulta in uso in modo stabile, in chiaro contrasto con il principio di minimizzazione dei dati, enunciato dall’art. 5, par. 1, lett. c) del Regolamento, considerato che, in base allo stesso, il titolare del trattamento deve trattare dati “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”. Inoltre Il garante ha rilevato che tale condotta si pone in contrasto con la disciplina di settore in materia di controlli a distanza (cfr. artt. 5, par. 1, lett. a) del Regolamento in relazione agli artt. 114 del Codice e 4, legge 20.5.1970, n. 300).
Questa disciplina infatti, pure a seguito delle modifiche disposte con l‘art. 23 del decreto legislativo 14 settembre 2015, n. 151, non consente l’effettuazione di attività idonee a realizzare il controllo massivo, prolungato e indiscriminato dell’attività del lavoratore (v. Provvedimento generale in materia di localizzazione dei veicoli aziendali cit., spec. par. 3; si vedano anche Article 29 Working Party, Opinion 2/2017 on data processing at work, WP 249, spec. n. 5.7. e Consiglio di Europa, Raccomandazione del 1 aprile 2015, CM/Rec(2015)5, spec. n. 16).
L’art. 4 della l. n. 300 del 1970, prescrive che gli strumenti dai quali derivi “anche la possibilità di controllo a distanza” dell’attività dei dipendenti, “possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” e la relativa installazione deve, in ogni caso, essere eseguita previa stipulazione di un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali o, ove non sia stato possibile raggiungere tale accordo o in caso di assenza delle rappresentanze, solo in quanto preceduta dal rilascio di apposita autorizzazione da parte dell’Ispettorato del lavoro. L’attivazione e la conclusione di tale procedura di garanzia è dunque condizione indefettibile per l’installazione di sistemi di videosorveglianza. La violazione di tale disposizione è penalmente sanzionata (v. art. 171 del Codice) che rimanda all’articolo 38 della legge 300 del 1970.
Trattamento di dati mediante un sistema di videosorveglianza in ambiente lavorativo.
Il controllo audio visivo in diretta, che inquadra le postazioni di lavoro, quindi l’attività dei lavoratori che lavorano e transitano nell’area ripresa deve essere oggetto di apposito accordo sindacale e comunque deve essere comunque reso noto con apposita informativa, la mancanza di un’adeguata informativa ai dipendenti risulta in contrasto con quanto prescritto dall’art. 114 del Codice (che richiama l’art. 4 della L. 20.5.1970, n. 300 che disciplina i c.d. controlli a distanza), considerato che, nel caso di installazione di un impianto di videosorveglianza dal quale derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, è necessario il rispetto della specifica procedura descritta normativamente volta ad ottenere, in caso di assenza di rappresentanze sindacali aziendali, il rilascio di una apposita autorizzazione da parte dell’Ispettorato del lavoro.
Il non avere, inoltre, rispettato l’obbligo di fornire un’adeguata informativa agli interessati in merito al trattamento effettuato attraverso l’impianto di videosorveglianza costituisce violazione di quanto disposto dall’art. 13 del Regolamento: in base a tale norma il titolare è tenuto a fornire preventivamente all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento.
Nell’ambito del rapporto di lavoro l’obbligo di informare il dipendente è altresì espressione del dovere di correttezza ex art. 5, par. 1, lett. a) del Regolamento.
Il trattamento dei dati personali effettuato dalla Società e segnatamente il trattamento dei dati biometrici, di quelli relativi alla posizione geografica, nonché dei dati dei dipendenti attraverso il sistema di videosorveglianza risulta infatti illecito, nei termini perche privi di confronto e di contradditorio con le OO.SS. nonche dei più elementari elementi d’informazione in relazione agli artt. 114 del Codice, 5, par. 1, lett. a), c), 9, 13 e 88 del Regolamento.
Rimedi possibili.
La condanna della società non pregiudica la possibilità di poter installare un sistema di videosorveglianza, per scopi di tutela del patrimonio e di sicurezza anche dei lavoratori, con le procedure di garanzia previste dall’art. 4 l. n. 300 del 1970, richiamato dall’art. 114 del Codice, prima dell’attivazione del sistema nonché configurare il sistema di videosorveglianza in modo da consentire l’accesso allo stesso, solo a soggetti autorizzati, escludendo la funzione di captazione dell’audio, a meno che non vi siano specifiche ragioni particolari, adeguatamente documentate; stesso ragionamento a farsi qualora si intende utilizzare un sistema di rilevazione della posizione geografica del lavoratore per finalità organizzative e produttive, lo stesso dovrà essere conforme alle procedure di garanzia previste dall’art. 4 l. n. 300 del 1970, richiamato dall’art. 114 del Codice, prima dell’attivazione del sistema; qualora si proceda all’attivazione di un sistema di rilevamento della posizione geografica del lavoratore, la Società dovrà conformare al Regolamento i propri trattamenti con riferimento alla corretta predisposizione dei documenti contenenti l’informativa.
https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9913830
