Il Garante per la protezione dei dati personali ha recentemente inflitto una sanzione da 20.000 euro, a seguito di un reclamo presentato da un’ex dipendente, che era anche socia della società.
Le violazioni accertate riguardano il mancato riscontro al diritto di cancellazione e l’illiceità del disciplinare tecnico adottato dalla società.
Oltre alla sanzione amministrativa, il Garante ha anche vietato ogni ulteriore trattamento di dati riferiti ai dipendenti previsti nel “Disciplinare interno per un corretto utilizzo di strumenti informatici, posta elettronica e navigazione in internet”.
Indice degli argomenti
Il contesto
La vicenda è iniziata quando la società ha deciso di installare un software di gestione documentale per l’archiviazione dei documenti e dei flussi organizzativi.
Il software è stato poi dismesso per motivi tecnici. In questa fase, la società ha richiesto ai dipendenti di comunicare le password di accesso e quelle dei singoli file sui computer aziendali.
L’ex dipendente ha esercitato il diritto di cancellazione, che nel suo caso riguardava la disattivazione e rimozione dell’account di posta elettronica.
Una volta compreso il contesto, è necessario esaminare le violazioni concrete emerse durante l’istruttoria.
La società, durante l’istruttoria, ha sostenuto che la propria condotta era lecita, in quanto prevista dal disciplinare tecnico, ma il Garante ha ritenuto quest’ultimo illecito e non conforme alla normativa sulla protezione dei dati personali.
La prima violazione: mancato riscontro al diritto di cancellazione
La società, nelle sue memorie difensive, ha argomentato che l’istanza di cancellazione fosse stata inviata dalla reclamante all’indirizzo PEC dell’Amministratore unico, anziché al canale specifico predisposto per la ricezione delle richieste da parte degli interessati, come indicato nella policy aziendale.
Tuttavia, nonostante la cancellazione dell’account individuale della reclamante fosse effettivamente avvenuta, la società non è riuscita a fornire una documentazione chiara e precisa riguardo alla data di tale operazione, nonostante avesse richiesto una conferma al fornitore del servizio.
In aggiunta, la cancellazione è stata comunicata verbalmente alla reclamante, ma questa modalità non rispetta quanto previsto dal Regolamento generale sulla protezione dei dati.
L’art. 12, par. 4 del GDPR stabilisce che la risposta a una richiesta di cancellazione debba avvenire entro un mese dalla richiesta stessa. Inoltre, si prevede che, se l’interessato presenta la richiesta mediante mezzi elettronici, le informazioni debbano essere fornite, ove possibile, tramite gli stessi mezzi elettronici, salvo diversa indicazione dell’interessato.
La comunicazione verbale, seppur effettuata, non è conforme alle disposizioni normative, che richiedono l’uso dello stesso mezzo per la risposta.
Linee guida dell’Edpb
A ciò si aggiunge che, come chiarito dalle Linee guida dell’EDPB (“Guidelines 01/2022 on data subject rights – Right of access”), il titolare del trattamento non può imporre limitazioni nell’esercizio dei diritti da parte degli interessati.
In particolare, non può vincolare la modalità di comunicazione delle richieste né stabilire canali obbligatori per l’esercizio del diritto di cancellazione.
Pertanto, il tentativo della società di vincolare l’esercizio del diritto al solo canale indicato nella policy aziendale si pone in contrasto con le disposizioni normative, che tutelano la libertà di scelta degli interessati nell’esercitare i propri diritti.
La seconda violazione: il disciplinare sull’utilizzo degli strumenti informatici
Una volta esaminata la violazione riguardante il diritto di cancellazione, è fondamentale concentrarsi sulle modalità di monitoraggio definite dal disciplinare aziendale.
La società aveva definito un “Disciplinare interno per un corretto utilizzo degli strumenti informatici, posta elettronica e navigazione in internet”, con il quale definiva modalità precise per la gestione e il monitoraggio dell’uso delle tecnologie aziendali.
In particolare, il disciplinare riportava le seguenti operazioni, prevedendo un termine di conservazione pari a 30 giorni ed uno storico di sei mesi:
- raccolta dei dati di traffico: La società aveva previsto la raccolta e memorizzazione sistematica di file di log riferiti a diverse attività aziendali: posta elettronica; navigazione Internet; rete interna e telefonia;
- controlli sui dispositivi aziendali.
Posta elettronica
I log delle comunicazioni via e-mail venivano conservati per 30 giorni, dopodiché i dati venivano trasferiti su supporti ottici non riscrivibili, archiviati in una cassaforte ignifuga. Lo storico veniva mantenuto per un massimo di sei mesi.
Navigazione Internet
Venivano raccolti e memorizzati i log relativi al traffico web, con la possibilità di risalire all’utente tramite l’aggregazione dei dati da una tabella separata. Anche questi dati venivano conservati per 30 giorni e lo storico per sei mesi.
Rete interna e telefonia
I dati relativi alla rete aziendale e ai servizi telefonici venivano anch’essi raccolti e conservati con le stesse modalità della posta elettronica, con accesso consentito solo a persone autorizzate.
Controlli sui dispositivi aziendali
La società aveva la facoltà di effettuare verifiche sugli strumenti elettronici aziendali, come i personal computer, le relative periferiche, i supporti di memorizzazione, ed ogni altro dispositivo elettronico aziendale.
In particolare, i controlli erano previsti dopo un’eventuale violazione delle norme interne o se necessario per esigenze di sicurezza. La società si riservava anche la possibilità di effettuare controlli mirati, quando ritenuti necessari a causa di assenteismo prolungato di un dipendente o necessità operative aziendali urgenti.
Backup, raccolta e conservazione dei dati
La società giustificava questa pratica di raccolta e conservazione dei dati, con finalità legate alla manutenzione e alla sicurezza dei sistemi informatici. In particolare, la società indicava come obiettivo la prevenzione di malfunzionamenti, l’assicurazione dell’efficienza del sistema e la protezione delle infrastrutture aziendali da attività illecite.
L’intenzione dichiarata era di garantire la corretta funzionalità del sistema tecnologico e ridurre i rischi legati a guasti o disservizi:
- sistema di backup: La società effettuava anche backup periodici dei dati, sia quotidiani che settimanali, per assicurarsi di non perdere alcuna informazione contenuta nei sistemi aziendali. I backup riguardavano i documenti modificati, nonché il database di un software utilizzato per la gestione dei rifiuti aziendali (Winwaste).
In sostanza, la società aveva una strategia organizzata di raccolta e conservazione dei dati attraverso un sistema di log e backup, che includeva l’accesso e la gestione dei dati da parte di personale autorizzato per ragioni di sicurezza, manutenzione e controllo.
Tuttavia, nonostante l’apparente scopo legittimo di queste azioni, la modalità di attuazione e la portata delle pratiche adottate sono state ritenute non conformi dal Garante per la protezione dei dati personali.
Cosa ha ritenuto illecito il Garante
Il Garante ha riscontrato diverse irregolarità nel trattamento dei dati da parte della società, rilevando che le modalità adottate non fossero conformi alle disposizioni del GDPR.
In primo luogo, è stato evidenziato il principio di minimizzazione dei dati. La società, infatti, raccoglieva e conservava i file di log relativi all’uso degli strumenti aziendali (posta elettronica, navigazione in internet, telefonia) per periodi di tempo molto lunghi (30 giorni e fino a sei mesi per storico).
Il Garante ha ritenuto che tale conservazione non fosse giustificata dalla finalità dichiarata di sicurezza e buon funzionamento dei sistemi, e che il trattamento non fosse limitato a quanto strettamente necessario.
Questo approccio violava il principio di minimizzazione, sancito dall’art. 5, par. 1, lett. c), del GDPR, secondo cui i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
In secondo luogo, la società non ha fornito una base giuridica adeguata per giustificare la raccolta e la conservazione sistematica dei file di log.
Il Garante ha sottolineato che la mera motivazione di “sicurezza del sistema” non fosse sufficiente a legittimare un trattamento tanto ampio e invasivo, che potesse comportare la raccolta di dati personali non pertinenti e non necessari per le finalità dichiarate.
Il controllo a distanza dei dipendenti
Un altro punto importante riguarda il controllo a distanza dei dipendenti. La società si riservava la facoltà di monitorare i dispositivi elettronici aziendali senza rispettare le condizioni previste dalla legislazione italiana, in particolare senza un accordo sindacale o l’autorizzazione dell’Ispettorato nazionale del lavoro.
La possibilità di monitorare in modo sistematico le comunicazioni aziendali, senza rispettare questi adempimenti, è stata giudicata illecita, in quanto contraria a quanto stabilito dalla legge 300/1970 (Statuto dei lavoratori) e agli articoli 113 e 114 del Codice in materia di protezione dei dati personali.
Inoltre, è emersa una carenza di trasparenza. La società non ha fornito informazioni adeguate riguardo alle modalità di trattamento e conservazione dei dati, né sul periodo di conservazione dei dati di backup. Non era chiaro chi avesse accesso a tali dati e per quali finalità.
Violazione dei principi di liceità e necessità
Infine la possibilità di monitorare i log delle comunicazioni e di accedere ai contenuti dei dispositivi aziendali avrebbe permesso alla società di raccogliere informazioni non pertinenti all’attività lavorativa, come dati sulla salute o dettagli privati dei dipendenti.
Questo tipo di trattamento avrebbe violato i principi di liceità e necessità previsti dal Gdpr, in quanto i dati personali devono essere trattati esclusivamente per finalità legittime e limitate.
In sintesi, il Garante ha ritenuto che la società non avesse rispettato i principi fondamentali di protezione dei dati personali, nonché le disposizioni specifiche in materia di controlli a distanza previste dalla normativa nazionale. Le modalità di trattamento adottate, infatti, si sono rivelate non proporzionate e invasive, violando i diritti e le libertà degli interessati.
Riassumendo quanto emerso dall’analisi delle violazioni, è fondamentale trarre alcune conclusioni che possono servire da guida per le aziende e i professionisti della protezione dei dati personali.
Una lezione per le imprese
Il caso rappresenta un’importante lezione per le aziende e per i professionisti della protezione dei dati personali, sottolineando l’importanza di bilanciare le necessità aziendali con la protezione dei diritti e delle libertà degli interessati.
La legittima finalità di assicurare la sicurezza e l’efficienza dei sistemi informatici deve essere infatti bilanciata con i diritti e le libertà degli interessati, a maggior ragione nel caso in cui il titolare prospetti il trattamento di dati afferenti alle comunicazioni che, pur se effettuate nel contesto lavorativo, sono protette anche a livello costituzionale.
Il monitoraggio sistematico dei log delle comunicazioni effettuate attraverso la posta elettronica, il telefono aziendale e la navigazione in Internet, anche se riferiti esclusivamente alla sfera lavorativa e professionale, può riguardare – anche incidentalmente – aspetti della vita privata degli interessati (esempio relazioni sindacali, relazioni tra colleghi, stato di salute) che non devono essere conosciuti dal datore di lavoro.
Inoltre, risulta fondamentale tracciare le risposte fornite agli interessati, per avere la prova di aver correttamente adempiuto alle richieste dell’interessato, poiché le risposte orali non sono considerate valide.
Infatti, se utilizzato un indirizzo valido, deve sempre essere fornito un riscontro. E sebbene le aziende possano avere legittimi interessi nel tutelare la propria infrastruttura informatica, è fondamentale che tali azioni siano sempre conformi ai principi generali del trattamento, come quelli di minimizzazione, necessità e trasparenza previsti dal Regolamento europeo.
Le aziende, quindi, devono
essere consapevoli dei limiti imposti dalla legge e adottare politiche e pratiche che tutelino adeguatamente i diritti degli interessati.
