Prescrizioni del Garante n. 333 del 20/05/2024

Jcoplastic S.p.A.: illecito trattamento di dati in una contestazione disciplinare sui permessi ex l. 104/1992

Il provvedimento riguarda Jcoplastic S.p.A. e trae origine da due reclami presentati dal dipendente e da una terza persona, riuniti dall’Autorità in ragione della connessione oggettiva e soggettiva dei fatti. Il Garante ha esaminato il trattamento di dati effettuato nell’ambito di un controllo investigativo disposto dal datore di lavoro sull’uso dei permessi ex legge 104/1992 e, soprattutto, la successiva contestazione disciplinare notificata al lavoratore il 7 settembre 2021.

Origine del procedimento e attività istruttoria

L’istruttoria ha preso avvio da un reclamo del dipendente, che lamentava la presenza, nella relazione investigativa e nella contestazione disciplinare, di riferimenti nominativi a una terza persona e di descrizioni delle sue relazioni con essa non necessarie rispetto alla finalità di verifica dell’uso dei permessi. Un secondo reclamo, presentato dalla terza persona, ha esteso la contestazione al trattamento di dati a lei riferiti e al loro successivo impiego nell’atto disciplinare e nel licenziamento.

La società ha difeso la liceità del trattamento sostenendo che:

• il controllo era giustificato dal sospetto di uso improprio dei permessi ex l. 104/1992;
• l’agenzia investigativa aveva operato solo tramite rilievi fotografici in luoghi pubblici;
• il nominativo della terza persona era stato reperito da fonti open source, in particolare Facebook;
• le informazioni riportate nella contestazione erano necessarie per consentire al lavoratore di difendersi e per dimostrare che la persona accompagnatrice non fosse addetta all’assistenza del familiare disabile.

Trattamenti esaminati

Il Garante ha concentrato la propria valutazione sul contenuto della contestazione disciplinare, nella quale comparivano:

• il nome e cognome della terza persona;
• la descrizione delle attività svolte con essa dal dipendente nei giorni di permesso;
• espressioni che lasciavano intendere l’esistenza di una relazione personale e intima.

Secondo l’Autorità, la società aveva utilizzato le informazioni raccolte dall’agenzia investigativa per formulare una contestazione più dettagliata, ma in modo eccedente rispetto a quanto necessario per tutelare le proprie ragioni nel procedimento disciplinare.

Violazione dei principi di liceità, correttezza e minimizzazione

L’Autorità ha ritenuto che il trattamento fosse contrario all’art. 5, par. 1, lett. a) e c), GDPR. In particolare, il Garante ha osservato che la contestazione avrebbe potuto essere formulata in modo sufficientemente preciso anche senza indicare nominativamente la terza persona e senza alludere alla natura privata del rapporto tra i due soggetti.

Sono stati considerati sufficienti, per descrivere l’addebito e consentire la difesa del lavoratore, i riferimenti già presenti ai comportamenti osservati dagli investigatori, quali:

• passeggiate;
• spostamenti in automobile;
• prelievi a sportelli bancomat;
• altre attività svolte nei luoghi e tempi indicati.

L’Autorità ha quindi escluso che l’esigenza difensiva del datore di lavoro potesse giustificare la divulgazione di dati non pertinenti e ha ribadito il rilievo del principio di proporzionalità, richiamando anche l’art. 52 della Carta dei diritti fondamentali dell’Unione europea.

Assenza di una valida base giuridica

Sul piano delle condizioni di liceità, il Garante ha distinto tra:

• i dati identificativi della terza persona, qualificati come dati comuni;
• le informazioni sulla relazione personale e intima tra i reclamanti, qualificate come dati particolari relativi alla vita sessuale.

Per i dati comuni, l’Autorità ha escluso la ricorrenza delle basi giuridiche indicate dalla società, in particolare gli artt. 6, par. 1, lett. b) e c), GDPR. L’indicazione nominativa della terza persona non era necessaria né per l’esecuzione del contratto di lavoro né per l’adempimento di obblighi normativi.

Per i dati particolari, il Garante ha escluso l’applicabilità dell’art. 9, par. 2, lett. b), GDPR, poiché i riferimenti inseriti nella contestazione non risultavano indispensabili né giustificati da esigenze lecite in ambito lavorativo. È stata altresì respinta la tesi secondo cui la presenza di dati sui social network o la loro pretesa conoscenza nell’ambiente di lavoro potessero rendere il trattamento lecito. In particolare, l’Autorità ha chiarito che la pubblicazione su canali social avviene per finalità diverse dall’esecuzione del rapporto di lavoro e non equivale alla manifestazione pubblica del dato rilevante ai sensi dell’art. 9, par. 2, lett. e), GDPR.

Valutazione sulla posizione della terza persona

Il Garante ha escluso anche che la terza persona potesse godere di una tutela attenuata perché citata come testimone in altro procedimento giudiziario. La circostanza richiamata dalla società, oltre a essere successiva ai fatti oggetto di reclamo, è stata considerata irrilevante ai fini della liceità del trattamento, poiché la testimonianza resa in giudizio non equivale a rendere manifestamente pubblici i dati personali.

Esito del procedimento e conseguenze

L’Autorità ha concluso per l’illiceità del trattamento effettuato da Jcoplastic S.p.A., ritenendo non superati i rilievi già formulati in fase di avvio del procedimento. Il provvedimento afferma che la violazione non può essere considerata minore, sia per la natura dei principi coinvolti sia per la gravità della lesione arrecata alla dignità, anche professionale, delle persone interessate.

Il Garante ha pertanto disposto l’adozione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83 GDPR, richiamando anche i poteri correttivi di cui all’art. 58, par. 2, GDPR. Nel testo fornito non è visibile l’importo della sanzione. Resta ferma la possibilità di opposizione avanti l’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e della disciplina nazionale richiamata.