Ordinanza ingiunzione o revoca n. 771 del 12/12/2024

Ambiente 2000 S.r.l.: divieto di controlli lavoristici e sanzione per mancato riscontro a richiesta di cancellazione

Il provvedimento trae origine da un reclamo presentato da una dipendente nei confronti di Ambiente 2000 S.r.l., in relazione alla gestione della posta elettronica aziendale, all'uso dei dispositivi informatici e al mancato riscontro a una richiesta di cancellazione dei dati personali. Il Garante ha accertato violazioni degli artt. 5, par. 1, lett. a) e c), 12, 17 e 88 GDPR, nonché degli artt. 113 e 114 del Codice privacy, disponendo il divieto di alcuni trattamenti previsti dal disciplinare interno e irrogando una sanzione pecuniaria.

Il reclamo e le contestazioni della dipendente

La reclamante ha riferito che, nel novembre 2021, la società aveva chiesto ai dipendenti di comunicare password di accesso e password dei singoli file del computer aziendale. Ha inoltre rappresentato che sul pc assegnato erano presenti dati personali e comunicazioni attinenti alla vita privata, che taluni tecnici avrebbero ispezionato i dati dei pc fuori orario e in assenza dei dipendenti e che sarebbe stata creata una casella di posta elettronica per dirottare tutta la posta aziendale, poi ripristinata dopo alcuni giorni.

In seguito, con e-mail del 12 settembre 2022, la reclamante ha esercitato il diritto alla cancellazione ex art. 17 GDPR, chiedendo anche di disattivare e rimuovere gli account di posta elettronica, di non accedere alle caselle e di evitare la raccolta e il controllo della posta in transito. La società non avrebbe fornito risposta scritta.

Le difese della società

La società ha sostenuto che la richiesta delle password fosse finalizzata all'installazione di un software di gestione documentale denominato "DOC" e che l'attivazione della casella di posta fosse servita ad aggregare le mail aziendali in entrata. Ha poi affermato che il software era stato installato solo su tre postazioni e che, per i disservizi riscontrati, era stato risolto il contratto con il fornitore. Secondo la società, non vi sarebbe stata acquisizione o conservazione di dati personali dei dipendenti.

Quanto alla richiesta dell'interessata, la società ha sostenuto di non aver risposto per iscritto in buona fede, ritenendo la domanda indebita e comunque già soddisfatta da un riscontro verbale. Ha inoltre evidenziato che la richiesta era stata inviata all'indirizzo PEC personale dell'amministratore e non a quello indicato nell'informativa privacy, e ha dichiarato che l'account della reclamante era stato disattivato.

La violazione degli artt. 12 e 17 GDPR

Il Garante ha ritenuto che la società non abbia adempiuto all'obbligo di riscontro previsto dall'art. 12 GDPR, che impone al titolare di fornire all'interessato informazioni sulle azioni intraprese senza ingiustificato ritardo e comunque entro un mese dalla richiesta. Nel caso concreto, la società avrebbe dovuto rispondere in forma specifica alla richiesta di cancellazione, anche eventualmente negandola, e non poteva considerarsi sufficiente un asserito riscontro orale.

L'Autorità ha rilevato anche che non è stata documentata con certezza la data della cancellazione dell'account assegnato alla reclamante. Il fatto che l'istanza fosse stata inviata a un indirizzo PEC diverso da quello indicato nell'informativa non è stato ritenuto idoneo a escludere la violazione, poiché la società aveva comunque preso cognizione della richiesta e ne aveva ammesso un riscontro verbale. È stato richiamato anche il principio, chiarito dalle Guidelines EDPB 01/2022, secondo cui il titolare non può imporre forme rigide o canali specifici per l'esercizio dei diritti.

Il disciplinare interno e i trattamenti contestati

Un secondo profilo ha riguardato il "Disciplinare interno per un corretto utilizzo di strumenti informatici, posta elettronica e navigazione in internet" datato 23 settembre 2019. Il disciplinare prevedeva la raccolta e la conservazione sistematica delle componenti di traffico, con riferimento a posta elettronica, internet, rete interna e telefonia. In particolare:

• per la posta elettronica, la conservazione dei dati per trenta giorni e poi il salvataggio su supporti ottici non riscrivibili, con mantenimento dello storico degli ultimi sei mesi;
• per rete interna, telefonia e navigazione internet, il trattamento secondo modalità analoghe;
• la possibilità di accesso ai dati da parte di soggetti autorizzati;
• la facoltà di effettuare controlli occasionali sugli strumenti elettronici, sui pc, sui supporti di memorizzazione e su altri dispositivi.

Il disciplinare contemplava inoltre l'accesso diretto agli strumenti informatici aziendali, ai documenti ivi contenuti e ai tabulati del traffico telefonico per esigenze di sicurezza, motivi tecnici o manutentivi e finalità di controllo o programmazione dei costi.

Le ragioni dell'illiceità secondo il Garante

Secondo l'Autorità, le previsioni del disciplinare non rispettano il principio di minimizzazione di cui all'art. 5, par. 1, lett. c) GDPR, poiché comportano una raccolta e conservazione preventiva e sistematica di log per un periodo rilevante, senza una dimostrata necessità rispetto alle finalità dichiarate di prevenzione dei malfunzionamenti e di efficienza del sistema.

Il Garante ha altresì ravvisato una violazione del principio di liceità ex art. 5, par. 1, lett. a) GDPR, in quanto i trattamenti descritti possono determinare un controllo a distanza dell'attività dei lavoratori, in contrasto con l'art. 4 della l. 300/1970, richiamato dall'art. 88 GDPR e dagli artt. 113 e 114 del Codice privacy. È stato osservato che il monitoraggio sistematico di posta elettronica, internet, rete interna e telefonia, nonché l'accesso ai contenuti dei dispositivi e ai tabulati, può far emergere anche informazioni non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore.

Le difese tecniche e la loro insufficienza

La società ha affermato di non utilizzare alcun sistema di tracciatura dei file di log, salvo il registro eventi standard di Windows, e di effettuare solo backup periodici dei documenti e dei database. Ha anche sostenuto di non aver mai effettuato controlli sistematici, riservandosi soltanto controlli mirati in caso di necessità operative, di sicurezza o sospetti illeciti.

Il Garante ha tuttavia rilevato che tali affermazioni non erano sorrette da evidenze documentali idonee a smentire il contenuto del disciplinare. Inoltre, le dichiarazioni sulla futura revisione del disciplinare sono state considerate generiche e non sufficienti a eliminare l'illiceità delle previsioni censurate. La società non ha chiarito chi potesse accedere ai dati di backup, per quanto tempo fossero conservati e per quali finalità.

Provvedimenti finali, sanzione e pubblicazione

Alla luce delle violazioni accertate, il Garante ha dichiarato l'illiceità del trattamento e ha disposto, ai sensi dell'art. 58, par. 2, lett. f) GDPR, il divieto dei trattamenti di dati riferiti ai dipendenti previsti nel disciplinare interno nei termini indicati in motivazione.

Ha inoltre applicato, ai sensi dell'art. 58, par. 2, lett. i) e dell'art. 83 GDPR, una sanzione amministrativa pecuniaria pari a euro 20.000. Nella quantificazione sono stati considerati:

• la gravità delle violazioni, riferite a principi generali del trattamento, diritti degli interessati e norme speciali in materia lavoristica;
• la durata della violazione, anche in ragione della perdurante vigenza del disciplinare;
• la colpa della società e il grado di responsabilità;
• la cooperazione con l'Autorità, l'avvenuta cancellazione dell'account della reclamante e l'avvio della revisione interna;
• le condizioni economiche del contravventore e l'entità di sanzioni analoghe.

È stata disposta la pubblicazione del provvedimento sul sito internet del Garante e l'annotazione nel registro interno. La società è stata ingiunta di pagare la somma entro 30 giorni dalla notifica, con possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge.