L’Autorità per la protezione dei dati di Amburgo ha emesso una sanzione di circa 35,3 milioni di euro nei confronti della Società H&M Hennes & Mauritz A.B. & Co. KG per profilazione illecita dei dipendenti.
La sanzione origina dal monitoraggio di diverse centinaia di dipendenti del centro servizi H&M di Norimberga da parte della Direzione del centro stesso. Perlomeno dal 2014, venivano effettuate registrazioni occulte di conversazioni tra dipendenti. Tali registrazioni venivano archiviate digitalmente e rese accessibili a circa cinquanta manager dell’azienda.
Come si legge nel comunicato stampa dell’Autorità di Amburgo, oltre che per una meticolosa valutazione delle prestazioni lavorative individuali, i dati così raccolti sono stati utilizzati, tra l’altro, per ricavare profili dettagliati dei dipendenti i quali hanno, ovviamente, influito nel rapporto di lavoro. Tali attività illecite di profilazione hanno portato ad un’ingerenza particolarmente intensa nei diritti delle persone colpite. Le registrazioni sono state realizzate con un alto livello di dettaglio e sono state, addirittura, aggiornate nel tempo.
H&M nel tentativo di correre ai ripari, per quanto possibile, ha pubblicato, in data 1 ottobre, un comunicato stampa sul proprio sito con il quale “si assume la piena responsabilità e desidera esprimere scuse incondizionate ai dipendenti di Norimberga”.
H&M ha dichiarato, inoltre, di aver immediatamente avviato ampie misure di miglioramento nel centro di Norimberga. L’azienda, a tal fine, ha messo in atto un piano d’azione completo per migliorare le pratiche di auditing interno, garantire la conformità con le normative sulla protezione dei dati, rafforzare la consapevolezza dei dirigenti al fine di garantire un ambiente di lavoro sicuro e compliant alle normative in materia di protezione dei dati, sono state anche messe in atto attività formative aggiuntive per dipendenti e dirigenti.
Ovviamente, H&M ha rimosso il personale di livello dirigenziale interessato dallo scandalo, creato un’unità dedicata alle attività di auditing, implementato processi di cancellazione dei dati, migliorato i propri servizi IT e, inoltre, ha deciso che tutti coloro che sono attualmente impiegati nel centro servizi e tutti coloro che sono stati impiegati per almeno un mese dall’entrata in vigore del GDPR nel maggio 2018 riceveranno un risarcimento finanziario.
Indice degli argomenti
Profilazione illecita dei dipendenti H&M: i fatti
L’archivio dove erano archiviati i dati in questione è stato scoperto accidentalmente dagli stessi dipendenti, i quali si sono imbattuti in alcune cartelle contenenti dettagli sulla loro vita privata, sembrerebbe a causa di un errore di un manager che avrebbe inavvertitamente salvato i file in una cartella pubblica del DB, accessibile anche ai dipendenti stessi.
La storia avrebbe avuto inizio il 23 ottobre del 2019 quando tutti i dipendenti sono stati informati di questo data breach dallo stesso board di H&M, il quale il giorno seguente, secondo quanto poi dichiarato, avrebbe proceduto alla cancellazione dei file, all’adeguamento delle misure di sicurezza dei dati e provveduto alla notifica del data breach all’Autorità.
Secondo quanto riportato a suo tempo dal The Globe and Mail, Johannes Caspar, a capo dell’ Autorità Garante di Amburgo, ha affermato che i dati rinvenuti sarebbero oltre 60 gigabyte e riguarderebbero aspetti molto personali, ad esempio relativi alla salute ed alla vita privata dei dipendenti.
Questo archivio conteneva informazioni riguardanti ogni sfumatura possibile della vita dei dipendenti come ad esempio malattie, problemi familiari, racconti delle vacanze. I dati sarebbero stati registrati e archiviati in modo tale da garantirne l’accesso a tutti i manager, probabilmente per creare profili molto dettagliati dei dipendenti.
Da quanto riportato dal quotidiano tedesco F.A.Z., i file contenuti nell’archivio erano già stati sottoposti a sequestro da parte dell’Autorità. Si presume che tale archivio contenga le trascrizioni delle conversazioni tra i dipendenti e tra questi e i loro superiori avvenute negli uffici e all’esterno durante le “pause sigaretta”: sembrava, quindi, che si fosse trattato di vere e proprie intercettazioni.
Subito dopo lo scoppio dello scandalo, la società rilasciò un comunicato stampa nel quale dichiarava di prendere il caso molto seriamente, esprimendo le sue scuse ai dipendenti coinvolti. La società ha poi dichiarato la sua piena collaborazione con i funzionari dell’Autorità e di aver adottato una serie di misure in risposta all’incidente.
Dal canto suo, l’Autorità di Amburgo annunciò subito di voler procedere con le indagini che, conclusesi in questi giorni, hanno ora portato alla sanzione da circa 35 milioni di euro inflitta alla società svedese.
Profilazione illecita dei dipendenti H&M: le conseguenze
Come affermato a suo tempo dalla stessa Autorità di Amburgo, e riportato dal quotidiano F.A.Z., l’estensione qualitativa e quantitativa dei trattamenti dei dati dei dipendenti, accessibili a tutto il livello di management dell’azienda, mostrava una profilazione completa dei dipendenti non paragonabile a nessun’altra avvenuta negli ultimi anni.
Appare quasi superfluo cercare di individuare quali norme del GDPR siano state violate in questo caso: si può iniziare dalla mancata osservanza di praticamente tutti i principi generali di cui all’art. 5 (è evidente la totale assenza di liceità del trattamento, di proporzionalità, di limitazione di finalità, correttezza e trasparenza) e giungere alla violazione dei diritti dell’interessato (art. 13 sulle informazioni da fornire all’interessato) e degli obblighi generali del titolare di cui al capitolo IV del Regolamento.
Riguardo l’entità della sanzione, volendo prendere quale metro di giudizio i parametri dell’art. 83 par. 2, assumono nella fattispecie rilevanza i seguenti profili:
- è ben evidente l’elevata gravità della condotta posta in essere dal management, si tratta di trattamenti posti in essere illecitamente, con finalità di profilazione di dati aventi, perfino, natura particolare;
- carattere doloso della violazione, frutto di una serie di azioni preordinate ad un fine specifico;
- la particolare natura dei dati oggetto della violazione. Come già osservato, riguarda qualsivoglia tipologia di dati, da quelli personali a quelli appartenenti a particolari categorie, in considerazione del fatto che la profilazione è avvenuta grazie alla registrazione occulta di conversazioni dei dipendenti, avvenute anche in momenti di pausa durante l’orario di lavoro.
Quali insegnamenti per le aziende
L’Autorità, seppur ha riconosciuto l’impegno dell’Azienda nel cercare di porre rimedio a quanto accaduto ha, comunque, ritenuto l’importo dell’ammenda inflitta adeguato e idoneo sia alle gravissime violazioni commesse da H&M e sia a dissuadere le aziende dal violare la privacy dei propri dipendenti.
Questa sanzione per l’Autorità è, quindi, anche un monito per le altre aziende a non porre in essere trattamenti di dati in violazione delle norme.
Inoltre, ricordiamo che il Regolamento riconosce agli interessati il diritto al risarcimento di danni materiali o immateriali derivanti dalla violazione del Regolamento stesso; di conseguenza i dipendenti, forti anche della sanzione erogata dal Garante di Amburgo, potranno agire nei confronti della Società.
Il danno immateriale causato nei loro confronti è rafforzato dalla tipologia di dati trattati e dal rapporto di dipendenza dal titolare del trattamento dati. Al momento, ci resta da scoprire se i dipendenti proporranno azioni per il risarcimento del danno e, soprattutto, quale sarà l’entità di questi.
