Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1666101
Timestamp: 2019-09-23 06:54:58+00:00
Document Index: 142930424

Matched Legal Cases: ['art. 168', 'art. 28', 'art. 30', 'art. 7', 'art. 11', 'art. 8', 'art. 116', 'art. 11', 'art. 168', 'art. 29', 'art. 168', 'art. 4', 'art. 33', 'art. 11', 'art. 29']

Patronati sindacali e trattamento di dati riguardanti i lavoratori - 2... - Garante Privacy
Patronati sindacali e trattamento di dati riguardanti i lavoratori - 2 ottobre 2009 [1666101]
Sindacati , Adesione ad associazioni
[doc. web n. 1666101]
Patronati sindacali e trattamento di dati riguardanti i lavoratori - 2 ottobre 2009
In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti;
VISTO il d.lg. 30 giugno 2003, n. 196/2003 (Codice in materia di protezione dei dati personali);
VISTE le segnalazioni pervenute in ordine al trattamento di dati personali svolto, in particolare, dal patronato Inas-Cisl relativamente ai dati contenuti negli estratti-conto contributivi riferiti ad alcuni lavoratori;
VISTE le risultanze degli accertamenti ispettivi;
1. Le segnalazioni pervenute.
Sono pervenute a questa Autorità alcune segnalazioni (complessivamente quattordici), tutte dello stesso tenore, aventi ad oggetto il trattamento, da parte delle sedi zonali di Pomezia e Nettuno del patronato Inas-Cisl, per lo più di dati personali anagrafici e di quelli relativi alla situazione contributiva di alcuni lavoratori di Fiorucci S.p.A. (di seguito, la società) interessati da una procedura di mobilità.
Secondo quanto riferito dai segnalanti, il patronato Inas-Cisl avrebbe acquisito presso l´Inps, in attuazione degli accordi sindacali sottoscritti dalla società in conformità alla pertinente disciplina di settore (in particolare, gli artt. 4, 5 e 24 della legge 23 luglio 1991, n. 223), un "estratto-conto" relativo alla propria anzianità contributiva, utile a consentire alla "commissione tecnica" appositamente istituita presso la società (composta da rappresentanti sia aziendali che sindacali) la verifica del possesso dei requisiti necessari (in particolare, anagrafici e contributivi) all´individuazione dei dipendenti da collocare eventualmente in mobilità; ciò, peraltro, senza che fosse stata rilasciata al predetto patronato alcuna specifica delega allo scopo.
In base alle dichiarazioni rese dagli interessati –alcuni dei quali, peraltro, licenziati all´esito della menzionata procedura di mobilità– il patronato Inas-Cisl, sedi zonali di Pomezia e Nettuno, non avrebbe avuto titolo per accedere alle informazioni innanzi richiamate; ciò, anche in considerazione dell´asserito rilascio ad altro patronato della delega per l´acquisizione dell´anzidetto "estratto-conto contributivo".
I segnalanti, anche alla luce del riscontro fornito loro dall´Inps a seguito di apposita richiesta formulata all´istituto (che ha evidenziato il rilascio di una presunta delega proprio al patronato Inas-Cisl per l´acquisizione dei richiamati estratti-conto contributivi), hanno dunque chiesto un intervento di questa Autorità volto a valutare la liceità del trattamento effettuato dal menzionato patronato, oltre che da altri soggetti (eventualmente) coinvolti a vario titolo nella vicenda.
2. Le posizioni della società e del patronato.
2.1. A seguito di preliminari richieste di informazioni formulate da questa Autorità, la società e il patronato hanno fatto pervenire le proprie osservazioni in ordine alla vicenda oggetto di esame.
22. Rispetto ai profili di propria pertinenza, la società ha dichiarato, ai sensi e per gli effetti di cui all´art. 168 del Codice, di non aver "mai preso visione, né tantomeno acquisito", estratti-conto relativi a soggetti che non hanno rilasciato apposita delega, né di aver trattato i dati personali ivi contenuti. La stessa società ha inoltre precisato di aver dato attuazione ai criteri di scelta dei dipendenti da collocare in mobilità (concordati con i sindacati), per i casi in cui non fossero stati acquisiti gli estratti contributivi, ricorrendo ad elementi alternativi a quelli previsti dall´accordo sindacale (quali, ad esempio, "l´analisi dell´anzianità lavorativa e previdenziale" dei lavoratori maturata presso l´azienda e desumibile, quindi, da documenti già nella disponibilità dell´azienda medesima: cfr. nota del 23 giugno 2008, in atti).
2.3. Per parte sua, il patronato Inas-Cisl ha riferito di aver ricevuto incarico di acquisire i predetti estratti-conto da parte di uno dei rappresentanti sindacali coinvolti nella gestione della citata procedura e di aver trattato i dati personali ivi contenuti per finalità di tutela degli stessi lavoratori interessati; al riguardo, infatti, è stato precisato che l´accesso ai predetti dati era rivolto "nell´esclusivo interesse dei lavoratori, ad una loro maggiore tutela", essendo finalizzato ad individuare, tra tutti i lavoratori coinvolti nelle menzionate procedure, coloro che avrebbero subito il minor disagio dall´adozione dei provvedimenti risolutivi del rapporto di lavoro (cfr. nota del 28 luglio 2008, in atti).
La vicenda, secondo quanto riferito dal patronato, rappresenterebbe comunque "un fatto episodico e circoscritto" che chiama in causa l´allora responsabile della sede zonale di competenza.
3. Le risultanze degli accertamenti ispettivi.
Al fine di acquisire più dettagliate informazioni circa la vicenda segnalata, questa Autorità ha effettuato alcuni accertamenti in loco.
31. A seguito degli elementi acquisiti presso Fiorucci S.p.A. è emerso che la società "non ha formato atti o documenti che recepivano il contenuto degli estratti-conto o che davano atto delle modalità di estrazione degli stessi" (cfr. verbale di operazioni compiute del 27 gennaio 2009, p. 2), avuto particolare riguardo ai lavoratori che non avessero rilasciato delega per l´acquisizione dei predetti estratti-conto.
Tali circostanze sono state confermate da un rappresentante sindacale della Cgil (intervenuto in qualità di partecipante alla "commissione tecnica" istituita presso l´azienda per l´individuazione dei lavoratori "pensionabili"), secondo cui i rappresentanti sindacali coinvolti nei lavori della citata commissione "hanno provveduto ad acquisire, presso i patronati e relativamente ai soggetti che avevano rilasciato apposita delega" i prospetti informativi riportanti "gli anni di contribuzione" e "le finestre di pensionamento", provvedendo poi a comunicarli alla società limitatamente ai lavoratori rientranti nei criteri di mobilità contrattati. Rispetto a tali lavoratori, quindi, l´azienda si sarebbe limitata a rilevare "esclusivamente gli anni di contribuzione e le eventuali finestre di pensionamento" (cfr. verbale di operazioni compiute del 27 gennaio 2009, cit., pp. 2 e 3).
Lo stesso rappresentante ha inoltre affermato che, in linea di principio, "non si può escludere che alcuni lavoratori si siano rivolti", ai fini del conseguimento dell´estratto-conto contributivo, "a più patronati" (cfr. verbale di operazioni compiute del 27 gennaio 2009, cit., p. 3); circostanza, questa, confermata dal rappresentante sindacale della Cisl (intervenuto anch´esso nelle vesti sopra richiamate), secondo cui i lavoratori, al fine di "avere un quadro certo della propria situazione contributiva", sono soliti avvalersi di più rappresentanti sindacali (e, loro tramite, di più patronati) per l´acquisizione del proprio estratto-conto (cfr. verbale di operazioni compiute del 27 gennaio 2009, cit., p. 3).
Entrambi i rappresentanti hanno dichiarato di aver acquisito (per il tramite dei patronati collegati all´organizzazione sindacale di appartenenza) i soli estratti-conto relativi ai dipendenti della società che hanno rilasciato apposita delega; il rappresentante sindacale della Cisl, inoltre, ha riferito che non sono stati in alcun modo utilizzati i dati personali contenuti negli estratti-conto di quei lavoratori che, avendo reso oralmente la delega, non hanno tuttavia provveduto alla successiva regolarizzazione della stessa (mediante rilascio in forma scritta).
Dagli accertamenti effettuati e dalle dichiarazioni rese è altresì emerso che l´acquisizione dei dati contenuti negli estratti-conto riferiti ai lavoratori avviene, di solito, tramite una semplice interrogazione dei sistemi informativi dell´Inps ad opera dei singoli patronati. Questi ultimi, infatti, "in forza del collegamento telematico con l´Inps, possono acquisire gli estratti-conto di qualunque lavoratore sulla base del solo codice fiscale" (cfr. verbale di operazioni compiute del 27 gennaio 2009, cit., p. 3).
32. Ulteriori elementi sono stati acquisiti presso il patronato Inas-Cisl, dapprima presso la sede di Pomezia e, successivamente, presso quella di Roma (risultando la sede di Nettuno "declassata a mero ufficio di ricevimento": cfr. verbale di operazioni compiute del 29 gennaio 2009, p. 2). All´esito degli accertamenti ispettivi complessivamente effettuati è emerso che detto patronato –articolato in una struttura centrale e in una pluralità di strutture regionali, territoriali e zonali– provvede, per il tramite della stessa sede centrale, a: impartire tutte le direttive agli uffici periferici; effettuare tutti i controlli presso questi ultimi; assumere tutti i dipendenti; rilasciare le apposite autorizzazioni per gli accessi alle banche dati.
La titolarità dei trattamenti svolti è dunque da ricondursi, peraltro conformemente alle dichiarazioni rese dallo stesso patronato, in capo al patronato Inas-Cisl (sede centrale di Roma), in quanto unico organo deputato ad assumere decisioni in ordine alle finalità del trattamento e alle relative modalità, nonché ai profili relativi alla sicurezza (art. 28 del Codice).
A detta del patronato, inoltre, gli uffici regionali opererebbero in qualità di co-titolari dei relativi trattamenti (cfr. verbale di operazioni compiute del 22 aprile 2009, p. 2); tale qualificazione ha riverberato i propri effetti anche sotto il profilo relativo all´adozione del documento programmatico sulla sicurezza, che è risultato redatto (oltre che a livello nazionale) da "ogni singola sede regionale" (e financo territoriale) "per i profili di propria competenza" (cfr. verbale di operazioni compiute del 22 aprile 2009, cit., p. 2).
Per l´erogazione dei propri servizi, il patronato si avvale di moduli prestampati per l´acquisizione della delega da parte degli interessati che intendano presentare formalmente una propria richiesta (ad esempio, l´acquisizione della "posizione contributiva" del lavoratore). Attraverso la compilazione di tali modelli –contenenti anche l´informativa relativa al trattamento dei dati personali (dalla quale si evince che "la prestazione del consenso permetterà al patronato Inas di accedere alle Banche dei dati degli Enti eroganti le prestazioni limitatamente ai dati personali indispensabili per l´esecuzione del presente mandato")–, l´interessato conferisce mandato al patronato per lo svolgimento degli adempimenti connessi all´esecuzione del solo servizio richiesto.
Secondo quanto riferito, "in base alle disposizioni impartite dalla sede centrale, nessuna operazione richiesta dagli utenti può essere effettuata dagli uffici del patronato [stesso] in assenza di delega scritta (previamente acquisita) da parte di questi ultimi".
Le verifiche effettuate hanno evidenziato che il patronato Inas-Cisl (per il tramite dell´allora responsabile della sede zonale di Nettuno), a fronte delle richieste formulate dai rappresentanti impegnati nelle trattative sindacali con la società, ha in concreto "effettuato gli accessi ai sistemi Inps, anche non in presenza di una delega scritta, ma spesso basando l´attività sul [solo] rapporto di fiducia instaurato con tali rappresentanti". A fronte di tali accessi è stata effettuata una stampa degli estratti contributivi riferiti agli interessati, estratti-conto che, "ancorché senza delega sottoscritta, venivano regolarmente consegnati ai rappresentanti sindacali che ne avessero fatta richiesta" (cfr. verbale di operazioni compiute del 29 gennaio 2009, p. 2).
Gli accessi risultano effettuati da incaricati del trattamento ritualmente designati ai sensi dell´art. 30 del Codice (come provato dalla documentazione acquisita, dalla quale si evince che l´incaricato è tenuto "a non diffondere o comunicare a terzi i dati di cui è venuta e viene a conoscenza al di fuori dei casi consentiti da specifiche disposizioni di legge e, comunque, in conformità alle norme, procedure interne di istruzione e disposizioni emanate in ordine alle modalità di trattamento dei dati personali": cfr. all. nn. 6 e 7 al verbale di operazioni compiute del 29 gennaio 2009, cit.
Gli stessi accessi, secondo quanto dichiarato dal patronato, risultano essere avvenuti in difformità "dalle disposizioni impartite" dalla sede centrale, avuto riguardo alla (mancata) acquisizione della delega da parte degli utenti; per tale ragione, alla predetta responsabile è stata comminata una sanzione disciplinare (cfr. verbale di operazioni compiute del 22 aprile 2009, p. 3; cfr. altresì all. n. 4 al medesimo verbale).
4. Informazioni relative all´estratto-conto contributivo dei lavoratori: liceità del trattamento.
4.1. Merita preliminarmente rilevare che, rispetto ai profili di violazione oggetto di lamentela da parte dei segnalanti, la società non risulta aver trattato, nell´ambito della procedura di mobilità attivata con le organizzazioni sindacali, dati personali riferiti ai lavoratori (desunti dagli estratti-conto contributivi messi a disposizione di alcuni rappresentanti sindacali dal patronato Inas-Cisl) in violazione delle disposizioni in materia di protezione dei dati personali, tenuto conto delle dichiarazioni rese al riguardo (cfr. punti 22 e 31) e del non comprovato coinvolgimento della società nelle procedure di acquisizione dei menzionati estratti-conto contributivi.
4.2. Per quanto concerne il patronato Inas-Cisl, occorre evidenziare, da un punto di vista generale, che nel perseguimento delle proprie finalità (specificamente individuate dalla legge 30 marzo 2001, n. 152 "Nuova disciplina per gli istituti di patronato e di assistenza sociale"), quest´ultimo risulta legittimato ad effettuare trattamenti di dati personali (anche sensibili) riferiti agli utenti. Ciò, in considerazione dei servizi di informazione, assistenza e tutela che lo stesso patronato è chiamato ad assicurare a cittadini e lavoratori per il conseguimento di prestazioni di qualsiasi genere in materia di sicurezza sociale e di immigrazione ed emigrazione (in conformità all´art. 7 della l. 30 marzo 2001, n. 152, cit.).
Nell´espletamento delle proprie funzioni, tuttavia, il patronato è comunque tenuto a rispettare, ai fini dell´erogazione dei servizi a vantaggio dell´utenza, la disciplina in materia di protezione dei dati personali, avuto particolare riguardo ai principi di correttezza e liceità del trattamento (art. 11, comma 1, lett. a), del Codice).
43. Dalla documentazione in atti e dagli accertamenti e approfondimenti effettuati, è emerso che il patronato, nel fornire i propri servizi, è tenuto per legge ad acquisire apposita delega da parte dei lavoratori (cfr. l´art. 8, comma 3, l. n. 152/2001, secondo cui "gli istituti di patronato, in nome e per conto dei propri assistiti e su mandato degli stessi, possono presentare domanda e svolgere tutti gli atti necessari per il conseguimento delle prestazioni […]"; cfr. altresì l´art. 116 del Codice, a fronte del quale "gli istituti di patronato e di assistenza sociale, nell´ambito del mandato conferito dall´interessato, possono accedere alle banche di dati degli enti eroganti le prestazioni, in relazione a tipi di dati individuati specificamente con il consenso […]", richiamato anche dal Protocollo d´intesa Inps-patronati del 3 febbraio 2006, all. n. 5 al verbale di operazioni compiute del 22 aprile 2009, p. 8).
Per i profili oggetto di segnalazione, alla luce delle dichiarazioni rese e della documentazione acquisita (che hanno evidenziato l´avvenuto trattamento, da parte di alcuni incaricati, di dati personali riferiti ai segnalanti in assenza del relativo mandato: cfr. punto 32), risulta che lo stesso è avvenuto nei casi oggetto di segnalazione in violazione del principio di liceità e correttezza (art. 11, comma 1, lett. a), del Codice). Né, sotto altro profilo, risulta in alcun modo provata l´avvenuta acquisizione del consenso da parte degli interessati (artt. 23 e 26, comma 1, del Codice), ovvero la ricorrenza di altro presupposto di liceità del trattamento (artt. 24 e 26, comma 4, del medesimo Codice).
Benché il trattamento in esame risulti avvenuto (anche) in violazione della disciplina di protezione dei dati, è tuttavia emerso (cfr. all. n. 4 al verbale di operazioni compiute del 22 aprile 2009) che tale trattamento è stato effettuato, da parte di singoli incaricati, disattendendo le disposizioni appositamente impartite al riguardo dal titolare del trattamento. Ciò risulta confermato dalle dichiarazioni rese dal patronato Inas-Cisl ai sensi e per gli effetti di cui all´art. 168 del Codice, oltre che dalla documentazione acquisita (nella quale si legge che "diversamente dalle disposizioni fornite dall´Istituto, l´operatrice ha effettuato gli accessi ai sistemi Inps nonostante non avesse regolare mandato da parte del lavoratore in forma scritta": cfr. all. 4 al verbale di operazioni compiute del 22 aprile, cit.).
Merita inoltre rilevare che, diversamente dai modelli al tempo consegnati agli incaricati del trattamento coinvolti nella vicenda, i moduli attualmente utilizzati dall´istituto per l´"atto di nomina ad incaricato del trattamento dei dati personali" (contenuti nel Documento programmatico sulla sicurezza relativo all´anno 2009 redatto dal patronato Inas-Cisl - Ufficio provinciale di Roma) recano esplicite istruzioni agli incaricati in ordine alla necessaria acquisizione, al momento della raccolta dei dati riferiti agli utenti, del "modulo contenente il mandato di assistenza e rappresentanza"; peraltro, attualmente, tra i destinatari di detto modulo figurano anche gli operatori del patronato interessati dalla vicenda in questione.
Le stesse risultanze documentali hanno evidenziato, sotto altro profilo, la predisposizione di prospetti contenenti informazioni relative anche agli interventi formativi, programmati o effettuati dal patronato nel corso del 2009 nei confronti degli incaricati del trattamento, aventi ad oggetto, tra l´altro, "le misure disponibili volte a prevenire eventi dannosi" e "le responsabilità che derivano dal trattamento dei dati personali" (cfr. all. nn. 15 e 20 al verbale di operazioni compiute del 22 aprile 2009, cit.).
Preso atto dell´intervenuta modifica dei modelli per la designazione degli incaricati del trattamento (recanti, allo stato, istruzioni dettagliate e puntuali), nonché l´effettuazione (e la pianificazione) di attività formative appositamente approntate dal patronato a vantaggio dei medesimi incaricati –e tenuto altresì conto delle dichiarazioni rese in sede di accertamento ispettivo (secondo cui è stata resa operativa presso il patronato una direzione ispettiva deputata anche alle attività di verifica dell´osservanza della disciplina di protezione dei dati personali da parte delle relative sedi periferiche del patronato medesimo)–, si ritiene che, allo stato degli atti e limitatamente ai profili oggetto di segnalazione, non sussistano i presupposti per la formulazione di specifiche prescrizioni nei confronti del patronato Inas-Cisl.
Resta comunque impregiudicata la facoltà per i segnalanti di far valere innanzi all´autorità giudiziaria eventuali profili di danno connessi all´accertata illiceità del trattamento effettuato per il tramite dei singoli operatori del patronato coinvolti nella vicenda.
5. Articolazione regionale del patronato e responsabili del trattamento.
In considerazione della richiamata articolazione strutturale dell´istituto –e fatta comunque salva l´autonomia organizzativa dello stesso in conformità alle relative previsioni statutarie–, questa Autorità ritiene tuttavia di dover prescrivere al patronato Inas-Cisl, quale misura opportuna ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di designare quali responsabili del trattamento soggetti operanti presso le proprie strutture regionali, previa identificazione di quelli provvisti di esperienza, capacità e affidabilità: art. 29 del Codice); ciò, tenuto conto, da un lato, delle dichiarazioni rese dallo stesso patronato ai sensi del menzionato art. 168 del Codice (richiamate al punto 32 del presente provvedimento) e, dall´altro, della documentazione al riguardo acquisita (che non ha evidenziato in capo alle medesime strutture regionali, in relazione alle operazioni di trattamento dei dati personali effettuate, un autonomo potere decisionale in ordine alla determinazione delle finalità e delle modalità del trattamento, risultando quest´ultimo di spettanza esclusiva della sola sede centrale del patronato Inas-Cisl). Né, peraltro, al riguardo, risultano essere state addotte dal patronato ragioni peculiari atte a giustificare il riconoscimento, in capo alle medesime strutture regionali, della co-titolarità dei trattamenti svolti.
La più puntuale qualificazione del ruolo svolto dalle predette strutture, al di là della corretta attribuzione delle prerogative in capo alle diverse funzioni esistenti nel patronato e alla conseguente ripartizione delle responsabilità, peraltro, assume un valore particolarmente significativo, potendo per sé sola determinare, con specifico riguardo alla figura dei "responsabili del trattamento", notevoli semplificazioni in relazione all´adempimento degli obblighi derivanti dalla disciplina di protezione dei dati personali (e, segnatamente, oltre a quelli connessi all´informativa da rendere agli interessati e all´acquisizione dell´eventuale consenso –non necessario in caso di flussi informativi tra il "titolare del trattamento" e "responsabile del trattamento": art. 4, comma 1, lett. l), del Codice– gli obblighi correlati all´adozione del Documento programmatico sulla sicurezza da parte del titolare: art. 33 del Codice; reg. 19 dell´Allegato "B" al Codice, recante "Disciplinare tecnico sulle misure minime di sicurezza").
6. Accesso alle banche dati telematiche degli istituti previdenziali.
Nel corso dei menzionati accertamenti ispettivi sono stati acquisiti elementi anche in ordine all´accesso telematico garantito al patronato Inas-Cisl alle banche dati di alcuni istituti previdenziali.
Per l´accesso a tali banche dati, le risultanze documentali hanno evidenziato il rilascio di credenziali di autenticazione costituite da password non soggette a scadenza e, in un caso, formate da sei caratteri. È stato inoltre rilevato che l´accesso ai servizi telematici resi fruibili dall´Inps è possibile "da qualsiasi postazione informatica" abilitata e che il semplice inserimento delle informazioni richieste costituisce presupposto sufficiente ai fini (oltre che del rilascio "informatico" della delega) dell´abilitazione all´acquisizione dei dati (talora anche sensibili) riferiti agli interessati (cfr., in particolare, verbale di operazioni compiute del 22 aprile 2009, cit., p. 4).
Rispetto agli accessi fruibili tramite il portale dell´Inpdap, le risultanze ispettive hanno invece evidenziato che il rilascio della delega avviene mediante la semplice "spunta" del flag "accetto", successivamente alla quale il sistema consente all´utente di avere accesso alle informazioni relative agli interessati. Nessuna delega, per contro, risulta richiesta per l´accesso al portale dell´Inail, tramite il cui applicativo è possibile "l´invio dei moduli per la gestione degli infortuni e la visione delle statistiche relative alle pratiche istruite dal patronato" (cfr., in particolare, verbale di operazioni compiute del 22 aprile 2009, cit., p. 4).
Su tali profili, oltre che su quelli che risulteranno emergere a seguito di eventuali ulteriori verifiche, questa Autorità si riserva di effettuare idonei opportuni approfondimenti.
accertata l´illiceità del trattamento ai sensi dell´art. 11, comma 1, lett. a), del Codice (punto 43.), prescrive al patronato Inas-Cisl, esclusivo titolare dei trattamenti effettuati, quale misura opportuna ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di designare quali responsabili del trattamento i soggetti operanti presso le proprie strutture regionali ai sensi dell´art. 29 del Codice (punto 5).
Roma, 2 ottobre 2009