Ordinanza ingiunzione o revoca n. 243 del 24/04/2024

I.N.P.A.S. - trattamenti illeciti di dati dell’utenza da parte di soggetto non autorizzato

Il provvedimento riguarda il patronato I.N.P.A.S. e trae origine da una segnalazione dell’Ispettorato Territoriale del Lavoro di Nuoro. Il Garante ha esaminato la vicenda di un lavoratore che, secondo gli accertamenti, ha continuato a operare per il patronato e a trattare dati degli utenti pur dopo la cessazione del rapporto, con accesso alle piattaforme e gestione di pratiche contenenti anche dati particolari.

Origine del procedimento e fatti accertati

L’Ispettorato del Lavoro ha segnalato che, nonostante l’invio della comunicazione Unilav di cessazione del rapporto, il soggetto ha proseguito l’attività presso il patronato, acquisendo mandati, istruendo pratiche e mantenendo rapporti con utenti ed enti erogatori. Per i profili privacy, è stato evidenziato che egli ha potuto continuare a rinnovare password e ad accedere alle piattaforme di Inps, Inail e del patronato stesso, trattando dati personali dell’utenza senza titolo.

Difese del titolare

Il patronato ha sostenuto che la comunicazione Unilav fosse frutto di un errore e che non fosse intervenuto alcun licenziamento valido, con conseguente permanenza del rapporto di lavoro. Ha inoltre affermato che il soggetto svolgesse ancora attività regolare, come provato dai fogli di presenza, e che l’autorizzazione al trattamento non fosse mai stata revocata. In audizione e nelle memorie successive, ha ribadito che si trattava di un dipendente inserito nella propria organizzazione e non di un terzo estraneo.

Inquadramento normativo

Il Garante ha richiamato i principi generali del GDPR, in particolare:

• art. 5, par. 1, lett. a) e c), sul trattamento lecito, corretto, trasparente e minimizzazione;
• art. 6, par. 1, lett. b), c) ed e), sulle basi giuridiche del trattamento;
• art. 9, sui dati appartenenti a categorie particolari;
• art. 29 GDPR, sul trattamento da parte di persone che agiscono sotto l’autorità del titolare;
• art. 2-ter e art. 2-sexies del Codice privacy, nel testo applicabile ratione temporis;
• art. 2-quaterdecies del Codice, in tema di autorizzazione e istruzioni.

Sono state richiamate anche le linee guida del Comitato europeo per la protezione dei dati sui concetti di titolare e responsabile del trattamento e la sentenza della Corte di giustizia dell’Unione europea nella causa C-340/21, che chiarisce la nozione di terzo.

Valutazioni del Garante

L’Autorità ha ritenuto che, alla luce della cessazione del rapporto di lavoro risultante agli atti, il soggetto non potesse più essere considerato parte della struttura organizzativa del titolare né autorizzato al trattamento. Conseguentemente, la messa a disposizione dei dati degli utenti in suo favore integra una comunicazione a terzo priva di idoneo presupposto di liceità.

Il Garante ha quindi escluso che le difese del patronato fossero sufficienti a superare i rilievi contestati, osservando anche che il verbale ispettivo non era stato impugnato. Ha qualificato la condotta come trattamento illecito di dati personali, con coinvolgimento anche di dati appartenenti a categorie particolari.

Sanzione e misure accessorie

La violazione è stata considerata unica, con applicazione dell’art. 83, par. 3, GDPR. Il Garante ha valorizzato, ai fini della quantificazione:

• la durata della violazione;
• la presenza di dati particolari;
• il carattere doloso della condotta;
• la conoscenza pregressa di alcuni dati da parte del soggetto;
• la collaborazione del patronato;
• l’assenza di precedenti violazioni pertinenti.

La sanzione amministrativa pecuniaria è stata determinata in euro 3.000. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno delle violazioni e delle misure adottate. Il provvedimento indica anche la facoltà di definizione agevolata del procedimento mediante pagamento della metà della sanzione entro 30 giorni, nonché la possibilità di ricorso all’autorità giudiziaria ordinaria nei termini di legge.