Prescrizioni del Garante n. 551 del 12/09/2024

CISL FP Milano Metropoli: comunicazione illecita di dati su permessi e riunioni RSU

Il provvedimento riguarda un reclamo presentato da un lavoratore nei confronti di CISL FP Milano Metropoli per la comunicazione al datore di lavoro di dati relativi alla partecipazione a riunioni RSU e all’utilizzo di permessi sindacali. Il Garante ha concluso per l’illiceità del trattamento e ha adottato un ammonimento, ritenendo la violazione di minore gravità.

Origine del reclamo e attività istruttoria

Il reclamante ha contestato che il sindacato avesse inviato al proprio datore di lavoro una lettera del 17 gennaio 2022 con cui segnalava che, in due date di settembre e ottobre 2021, egli si trovava presso altra sede per incontri sindacali pur avendo richiesto permessi RSU. Secondo il reclamante, tale comunicazione integrava un accesso e una divulgazione indebita dei dati personali.

Nel corso dell’istruttoria, il sindacato ha sostenuto che i dati fossero legittimamente acquisiti da verbali pubblicati sul sito istituzionale dell’ente e dalla documentazione trasmessa nell’ambito delle ordinarie prassi tra RSU e sigle sindacali. Ha inoltre affermato che il coordinatore della RSU fosse incaricato di monitorare le ore di permesso e che la comunicazione al datore di lavoro fosse giustificata dal regolamento interno della RSU e dal legittimo interesse del sindacato e di terzi.

Trattamento esaminato

Il trattamento oggetto di esame ha riguardato la comunicazione al datore di lavoro di informazioni personali del reclamante, in particolare:

• la partecipazione a due riunioni della RSU in date determinate;
• l’utilizzo di permessi sindacali richiesti per quelle date;
• la conseguente rappresentazione di una presunta irregolarità nell’uso del monte ore.

La nota inviata dall’organizzazione sindacale chiedeva inoltre all’amministrazione di attivarsi per la valutazione del danno e prospettava possibili conseguenze disciplinari e di danno erariale.

Valutazioni del Garante sulla disciplina applicabile

L’Autorità ha richiamato l’art. 42 del d.lgs. 165/2001 e la disciplina collettiva di settore, evidenziando che la RSU è un organismo unitario di rappresentanza dei lavoratori. In base all’art. 16 del Regolamento RSU XX, i comportamenti scorretti o contrari ai principi di correttezza e buona fede devono essere valutati dalla RSU nel suo complesso, che può adottare una censura da comunicare poi all’amministrazione e ai lavoratori.

Nel caso concreto, invece, la segnalazione è stata effettuata da una singola componente/soggetto sindacale, senza previa deliberazione della RSU. Tale modalità è stata ritenuta incompatibile con il regolamento interno e con la natura collegiale dell’organo, sicché il trattamento non poteva considerarsi lecito sulla base dell’assetto organizzativo e normativo richiamato dal sindacato.

Violazioni accertate

Il Garante ha ritenuto che la condotta abbia violato:

• l’art. 5, par. 1, lett. a), GDPR, per difetto di liceità;
• l’art. 6 GDPR, per assenza di una valida condizione di liceità.

È stata esclusa la base giuridica dell’obbligo legale di cui all’art. 6, par. 1, lett. c), GDPR, e anche il legittimo interesse ex art. 6, par. 1, lett. f), GDPR, poiché il trattamento era espressamente regolato dal regolamento della RSU e l’interessato poteva ragionevolmente attendersi che la comunicazione avvenisse solo secondo le regole collegiali previste.

Provvedimento finale e criteri di valutazione

L’Autorità ha dichiarato l’illiceità del trattamento e ha ammonito CISL FP Milano Metropoli ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 del Codice privacy. Non è stata irrogata una sanzione pecuniaria.

Nel valutare la gravità, il Garante ha considerato:

• l’assenza di precedenti specifici;
• il carattere episodico della violazione;
• il coinvolgimento di un solo interessato;
• le misure organizzative dichiarate dal titolare per prevenire il ripetersi di episodi analoghi;
• la natura sindacale dell’ente e la sua funzione di rappresentanza collettiva.

In conclusione, la violazione è stata qualificata come minore ai sensi dell’art. 83, par. 2, GDPR e del considerando 148. Il provvedimento indica inoltre la proponibilità dell’opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.