Source: http://www.privacy.it/archivio/garantesanz201104072.html
Timestamp: 2018-02-24 21:48:14+00:00
Document Index: 154138814

Matched Legal Cases: ['art. 11', 'art. 7', 'art. 24', 'art. 168', 'art. 11', 'art. 13', 'art. 11', 'art. 11', 'art. 11', 'art. 11', 'art. 143']

Vietato il trattamento di dati personali del dipendente ricavati da file e documenti acquisiti nell'ambito di operazioni di backup effettuate sul server aziendale
Registro dei provvedimenti n. 139 del 7 aprile 2011
VISTO il provvedimento del 1� marzo 2007, recante le Linee guida per posta elettronica e internet, pubblicato in G.U. 10 marzo 2007, n. 58;
1. Il reclamo. 1.1. XY, dipendente di Hi. Tech S.p.A., in data 8 aprile 2009 ha ricevuto una lettera di contestazione disciplinare con la quale le veniva ascritto, tra l'altro, un indebito utilizzo degli strumenti aziendali volti all'espletamento delle funzioni lavorative. Secondo quanto riferito, tale uso si sarebbe concretizzato nell'impiego del computer –sin dalla data di assunzione dell'interessata e durante l'orario di lavoro– per finalit� non riconducibili all'attivit� istituzionale della societ� e, pi� precisamente, per svolgere attivit� di consulenza a vantaggio di terzi. Di tale attivit� la societ� sarebbe venuta a conoscenza nell'ambito di un presunto "controllo" che alcuni esponenti aziendali avrebbero effettuato "in modo assolutamente occulto e con modalit� non dichiarate" sul computer in uso all'interessata e sui file ivi contenuti, presenti in una cartella che la stessa reclamante aveva qualificato come "personale". Considerato che tra i file oggetto dell'ipotizzato accesso figurerebbero anche "prenotazioni alberghiere, foto dei [�] bambini e di famiglia ed anche dati sensibili quali referti medici", l'istante ha chiesto all'Autorit� di disporre il blocco o il divieto del trattamento dei dati personali illecitamente acquisiti dalla societ� (con contestuale declaratoria di inutilizzabilit� degli stessi), prescrivendole, al contempo, di adottare misure opportune o necessarie per conformare le operazioni di trattamento alle disposizioni vigenti.
1.2. Secondo la reclamante, l'accesso al computer e ai file ivi contenuti –in precedenza gi� oggetto, secondo quanto riferitole da alcuni colleghi, di un altro tentativo di accesso da parte dei medesimi esponenti aziendali– non sarebbe avvenuto "accidentalmente" (come dichiarato dalla societ� in un pregresso scambio epistolare con l'interessata) nell'ambito di "ordinarie operazioni di gestione del server" aziendale (cfr. all. 6 al reclamo), bens� tramite un intervento "diretto" sullo strumento; inoltre, la reclamante ha sostenuto che, in considerazione della natura dichiaratamente "personale" della cartella denominata "XY_personali", contenuta nel disco locale "C" (originariamente "condiviso" di default), la stessa avrebbe dovuto essere espunta dalle operazioni di backup effettuate periodicamente dalla societ�. Infine, la XY ha sostenuto che tale intervento sarebbe stato effettuato nonostante il fatto che la societ�, a dispetto del divieto formalmente imposto ai dipendenti circa un'utilizzazione a fini personali degli strumenti aziendali, avesse comunque sempre manifestato tolleranza nei confronti di tale uso.
A tale riguardo, la reclamante ha precisato che la societ� non avrebbe adottato alcuna specifica policy volta a disciplinare, in forma chiara e puntuale, l'utilizzo degli strumenti elettronici affidati in dotazione ai dipendenti, ma si sarebbe limitata a redigere un regolamento interno contenente alcune "norme di comportamento" da osservare ai fini del "corretto e regolare svolgimento dell'attivit�" lavorativa. L'omessa adozione di tale policy, a detta dell'istante, avrebbe determinato un trattamento illecito dei suoi dati, perch� acquisiti, oltre che in violazione dell'art. 11, comma 1, lett. a) e b) del Codice, anche in difetto delle indicazioni impartite da questa Autorit� con le Linee guida per posta elettronica e internet (Provv. 1� marzo 2007) che, tra l'altro, prevedono l'onere, a carico dei titolari dei trattamenti, di disciplinare e rendere note agli interessati anche le modalit� di eventuali controlli posti in essere per verificare l'utilizzo degli strumenti aziendali.
Infine, la reclamante ha lamentato che le credenziali di accesso al computer affidatole in dotazione, "fino alla prima met� di febbraio 2009", non sarebbero state conformi alle prescrizioni di cui all'allegato "B" al Codice, con relativa violazione anche delle misure minime di sicurezza di cui agli artt. 31 e ss. dello stesso Codice.
a) di una comunicazione inviata dalla societ�, nella quale si afferma che "i files rinvenuti sul computer utilizzato dalla [reclamante] (trattasi di documenti di monitoraggio, proposte di rinnovo contrattuale, mansionari sulla privacy, documenti programmatici sulla sicurezza, fatture, ecc.) sono indubitabilmente da attribuirsi alla [stessa]" (cfr. nota del 26 aprile 2009: all. 3 al reclamo);
b) del riscontro inviato all'interessata in relazione a un'istanza di accesso formulata ai sensi dell'art. 7 del Codice, dal quale risulta che tra i dati personali detenuti dalla societ� figurano "numerose lettere e documenti estranei alla [�] attivit� lavorativa [della societ�], ma [�] elaborati [dall'istante] durante l'orario di lavoro [�]. Tali documenti –comprovanti lo svolgimento da parte [della reclamante] di un'attivit� di consulenza [�] nei confronti di clienti operanti in diversi settori merceologici del tutto estranei alla [�] societ�– possono essere cos� riassunti: - proposte di rinnovo di contratto di consulenza [�]; - documenti di monitoraggio personalizzati [�]; - documenti programmatici di sicurezza personalizzati [�]; - corrispondenza [�] intrattenuta con i clienti [�] ignoti [alla societ�]" (cfr. nota del 28 dicembre 2009, all. 6 al reclamo). "Per quanto attiene questi dati", prosegue tale ultima nota, "essi sono stati rilevati nei server aziendali nell'ambito delle ordinarie operazioni di gestione del server";
c) del regolamento interno (datato 9 giugno 2008) relativo alle "norme di comportamento" da osservare ai fini del "corretto e regolare svolgimento dell'attivit�" lavorativa. Tale regolamento, per quanto concerne l'utilizzo degli strumenti aziendali, prevede il divieto di utilizzo "per scopi e motivi personali di tutta l'attrezzatura e strumentazione aziendale, quale a titolo esemplificativo e non esaustivo: telefono, personal computer, collegamento a internet compreso qualsiasi utilizzo della posta elettronica".
2. Le osservazioni della societ�. 2.1. Con comunicazioni del 3 marzo 2010 e del 30 aprile 2010, la societ� ha fatto pervenire le proprie osservazioni, rappresentando preliminarmente che l'acquisizione dei documenti citati dalla reclamante sarebbe avvenuto "accidentalmente" –e non in forma occulta come sostenuto da quest'ultima– "al momento di eliminare i backup [..] relativi al 2008"; peraltro, la societ� si sarebbe limitata a trattare i soli dati contenuti in documenti relativi all'attivit� di consulenza svolta dall'interessata a vantaggio di terzi, senza accedere ad "altri files inerenti documenti personali" a lei riconducibili (cfr. nota del 3 marzo 2010).
In ogni caso, la societ� ha sostenuto che i dati acquisiti (non riguardanti "argomenti di natura sensibile") potevano essere lecitamente trattati in difetto del consenso dell'interessata, perch� volti a far valere o difendere un diritto in sede giudiziaria (art. 24, comma 1, lett. f), del Codice).Sotto distinto profilo, la societ� ha poi precisato che il computer affidato alla reclamante, come quelli in dotazione al restante personale, sarebbe stato privo "di capacit� di archiviazione autonoma", in quanto dotato di un "sistema operativo scaricato da un apposito server e condiviso da tutti i pc [�]"; pi� precisamente, "i pc destinati al personale non [sarebbero dotati] di un sistema operativo locale" ma "si connett[erebbero] direttamente ai server aziendali per tutte le funzioni di elaborazione e di registrazione dei dati", con la conseguenza che gli stessi conterrebbero "solo una copia (cache) locale dei file [direttamente] residenti sul server". La societ� ha quindi ribadito che "nessun accesso � mai stato effettuato sul computer in uso alla [reclamante]" e che "tutti i files in questione sono stati reperiti su backup archiviati sui server".
Inoltre, "tutto il personale era [stato] informato, attraverso un regolamento aziendale, che era fatto assoluto divieto di usare gli strumenti di lavoro aziendale per uso personale"; lo stesso personale era consapevole "che i dati ven[iva]no registrati sul server e [che] pertanto, per motivi di lavoro, [potevano] essere acceduti anche da altri utenti"; ci� anche alla luce del fatto che "a norma di regolamento [gli stessi] non po[teva]no contenere per nessun motivo dati personali" (cfr. nota inviata il 30 aprile 2010).
Diversamente da quanto asserito dalla reclamante, la societ� ha dichiarato di conservare "in busta chiusa sigillata" le credenziali di accesso al computer gi� in uso alla stessa, credenziali ritenute conformi "alle prescrizioni minime di cui all'allegato B del Codice" (cfr. nota inviata il 30 aprile 2010).
Con specifico riferimento alle procedure e alle operazioni di controllo effettuate sui computer in dotazione al personale, � stato poi affermato che "vengono effettuati dei controlli saltuari previa comunicazione al personale tramite e-mail" da parte di personale appositamente autorizzato ("responsabile della sicurezza informatica, eventualmente mediante l'ausilio tecnico degli amministratori di sistema").
Infine, per quanto concerne le "policy di rotazione dei backup in uso", la societ� ha dichiarato che "ogni giorno viene effettuato backup notturno dei dati interni, che vengono archiviati a intervalli mensili e cancellati dopo i termini previsti dalla normativa vigente".
2.2. Tra i documenti prodotti dalla societ� a suffragio delle proprie dichiarazioni figurano alcuni allegati dai quali risulta, in particolare, che le password utilizzate da un incaricato negli anni 2006 e 2007 (con scadenza, rispettivamente, 31 dicembre 2006 e 30 giugno 2007) erano costituite da parole composte, rispettivamente, da n. 7 e n. 5 caratteri (all. 7 e 8).
Inoltre, � stata prodotta copia di un regolamento aziendale (datato 27 novembre 2009 ed efficace dal 1� dicembre 2009), distinto da quello consegnato a suo tempo anche alla reclamante, recante istruzioni sul corretto utilizzo degli strumenti informatici affidati in dotazione ai dipendenti (all. 14).
Da ultimo, � stata acquisita una comunicazione intercorsa tra la societ� e un legale (datata 7 aprile 2009), dalla quale si evince che i file relativi alla reclamante sarebbero stati oggetto di reperimento "nel backup di un [�] server aziendale" e che il correlato trattamento non presupporrebbe il consenso dell'interessata "anche in considerazione del fatto che i dati rinvenuti non sono di natura sensibile" (all. 11).
3. Ulteriori osservazioni della reclamante. Con successiva nota del 22 giugno 2010, la reclamante, nel confermare la propria versione dei fatti, ha evidenziato alcune contraddizioni in cui sarebbe incorsa la controparte, sottolineando, tra l'altro, che:
a) gli interventi "per esigenze di manutenzione del sistema informatico aziendale" avrebbero dovuto essere effettuati "in modo tale da escludere l'accesso a dati personali presenti in cartelle o spazi di memoria assegnati ai dipendenti", sicch� la cartella "espressamente qualificata come personale" dall'istante "avrebbe dovuto essere esclusa dalle copie di backup";
b) a prescindere dalla liceit� o meno del trattamento effettuato, la societ� avrebbe comunque dovuto rendere all'interessata "una preventiva ed esplicita informativa" in ordine alle tipologie e modalit� del controllo effettuabile relativamente all'utilizzo degli strumenti informatici, invero mai rilasciata nemmeno al restante personale.
Alla luce di tali ulteriori considerazioni, la reclamante, nel richiamarsi alle conclusioni gi� formulate nel reclamo, ha chiesto l'accoglimento delle proprie richieste.
4. Profili di illiceit� del trattamento. 4.1. Le risultanze istruttorie hanno preliminarmente confermato che la societ� ha effettivamente trattato dati personali riferiti all'istante desunti da file e documenti concernenti la sua presunta attivit� di consulenza svolta a vantaggio di terzi; ci� emerge sia dalle dichiarazioni rese dalla societ� (cfr. nota del 3 marzo 2010, p. 2, e nota inviata il 30 aprile 2010, p. 3) che dalla documentazione acquisita agli atti (cfr. all. 6 al reclamo).
Per contro, non risulta invece provato che tale trattamento abbia interessato anche dati sensibili riferiti all'interessata, stanti le dichiarazioni rese sul punto dalla societ� (ai sensi e per gli effetti di cui all'art. 168 del Codice, con conseguente assunzione di responsabilit� anche penale) e il contenuto del materiale prodotto da quest'ultima (cfr. punti 2.1. e 2.2.). Circoscritto cos� il campo di indagine al solo trattamento (dei dati comuni) correlato alla presunta attivit� di consulenza che la reclamante avrebbe effettuato a vantaggio di terzi, occorre esaminare le modalit� con le quali sono stati concretamente acquisiti i dati personali a lei riferiti.
4.2. In proposito, vale anzitutto rilevare che, sulla base degli elementi prodotti, non risulta con certezza che la societ� abbia concretamente acquisito file e documenti riferiti all'interessata attraverso un intervento "diretto" sul computer affidatole in dotazione.
In primo luogo un accesso diretto non pu� ritenersi dimostrato dalla semplice affermazione, da parte della sola reclamante, dell'esistenza, in tal senso, di alcune "voci di corridoio" in ambito lavorativo.
Inoltre, la stessa Hi.Tech S.p.A. ha prodotto una nota datata 7 aprile 2009, inviatale per chiarimenti dal proprio legale, da cui risulta espressamente che l'accertamento sulle effettive modalit� di utilizzazione del computer aziendale assegnato in uso alla reclamante era dipeso dall'avvenuto "reperimento dei files nel back up del [�] server aziendale"; tale specifica circostanza non pu� ritenersi contraddetta dalla successiva nota del 26 aprile 2009, sottoscritta da altro legale ed inviata al difensore della reclamante, nella quale si fa soltanto un generico riferimento ai "files rinvenuti sul computer utilizzato" dalla XY.
Ci� nonostante, si deve rilevare che il trattamento operato dalla societ� in relazione ai dati personali dell'interessata non sia comunque lecito per le ragioni che seguono.
4.3. In primo luogo, sul piano sistematico, occorre evidenziare che questa Autorit�, pur avendo rammentato pi� volte che il datore di lavoro pu� riservarsi di controllare (direttamente o attraverso la propria struttura) l'effettivo adempimento della prestazione lavorativa e, se necessario, il corretto utilizzo degli strumenti di lavoro da parte dei dipendenti (artt. 2086, 2087 e 2104 cod. civ.) (cfr., da ultimo, Provv. 10 giugno 2010; Provv. 24 febbraio 2010; Provv. 23 dicembre 2010, ha comunque chiarito che, nell'esercizio di tale prerogativa, debbono essere salvaguardati la libert� e la dignit� dei lavoratori, nonch� i principi fissati dall'art. 11 del Codice sul trattamento dei dati personali, che impongono, tra l'altro, di rendere note ai lavoratori le caratteristiche essenziali dei trattamenti, soprattutto se effettuati per finalit� di controllo (cfr. p. 5.2 e 6.1 delle citate Linee guida).
Nel caso di specie, dalle risultanze istruttorie � emerso che la societ� ha trattato dati personali riferiti alla reclamante acquisendoli in occasione di una verifica effettuata sui propri sistemi informativi; tale attivit�, per�, risulta compiuta senza che fosse stata fornita ai dipendenti –e quindi neanche all'odierna reclamante- un'idonea e preventiva informativa sul punto (art. 13 del Codice), non potendo a tal fine ritenersi sufficienti le scarne indicazioni contenute nel regolamento del 9 giugno 2008, unico documento avente contenuto informativo posto a conoscenza dell'interessata (l'altro regolamento richiamato dalla societ�, infatti, risulta predisposto ed entrato in vigore in data successiva al licenziamento della predetta). Difatti, bench� il regolamento del giugno 2008 rechi un riferimento all'obbligo di utilizzare gli strumenti elettronici affidati ai lavoratori per esclusive finalit� professionali, esso non riporta alcuna indicazione circa la possibilit� per la societ� di acquisire e conservare dati personali dei dipendenti anche per effetto di copie di backup (cfr. punto 3.2 delle Linee guida del 1� marzo 2007, cit.; cfr. altres� Provv. 2 febbraio 2006, n� sull'eventualit� di trattare tali dati in vista di possibili controlli (anche occasionali), le cui modalit� di effettuazione, peraltro, non risultano neanche adombrate.
Ne consegue che il trattamento operato dalla societ�, alla luce dei principi di correttezza e finalit� posti dal Codice (art. 11, comma 1, lett. a) e b)) e richiamati nelle citate Linee guida, non pu� essere reputato conforme a legge.
Inoltre, il trattamento risulta essere anche eccedente rispetto alla finalit� perseguita (art. 11, comma 1, lett. d) del Codice).
Infatti, fermo restando il diritto della societ� di verificare l'eventuale violazione, da parte della reclamante, degli obblighi cui la stessa era tenuta in qualit� di prestatrice di lavoro (stante anche l'esplicito divieto contenuto nel regolamento del 9 giugno 2008 di utilizzare per motivi personali "tutta l'attrezzatura e strumentazione aziendale"), non pu� non rilevarsi che ai fini di tale accertamento, anzich� prendere conoscenza degli specifici contenuti nella directory denominata "XY_personali" (circostanza, questa, non smentita dalla societ�), sarebbe stato sufficiente constatare l'esistenza della "cartella" stessa, la quale, gi� in ragione della sua denominazione, lasciava intuire la presenza di informazioni di carattere privato (cfr., in proposito, anche Provv. 10 giugno 2010 e Provv. 18 maggio 2006.
Tutto ci� premesso, stante l'acclarata violazione dei princ�pi di correttezza, finalit� e proporzionalit� del trattamento (art. 11, comma 1, lett. a), b) e d) del Codice), si ritiene di dover disporre nei confronti di Hi. Tech S.p.A. il divieto dell'ulteriore trattamento dei dati personali riferiti all'interessata e ritratti dai file e documenti acquisiti in occasione delle operazioni di backup effettuate sul server aziendale.
4.4. Per quanto concerne, invece, la tipologia di password di accesso al computer utilizzate in epoca meno recente per accedere al sistema informatico della societ� (quantomeno fino al primo semestre del 2007), esse non risultano conformi alle disposizioni contenute nell'allegato "B" al Codice; tale circostanza emerge dallo stesso materiale prodotto dalla societ�, ove si fa riferimento all'impiego di parole chiave inferiori agli otto caratteri e, comunque, non pari al numero massimo di caratteri consentito dallo strumento (reg. 5 del menzionato allegato "B").
Al contrario, non risulta provato che la societ� utilizzi ancora attualmente parole chiave inferiori agli otto caratteri; ci� si desume non solo dal regolamento adottato dalla societ� il 27 novembre 2009 (ove si afferma che la parola chiave utilizzata "deve essere composta da almeno otto caratteri") ma, a contrariis, dalle stesse affermazioni della reclamante che, avendo sostenuto la non conformit� delle credenziali di accesso "fino alla prima met� di febbraio 2009", ha lasciato intendere che successivamente sia intervenuta una "regolarizzazione" delle stesse.
Ne consegue che, allo stato, rispetto a tale profilo, non sussistono i presupposti per adottare specifiche prescrizioni nei confronti della societ�.
4.5. Da ultimo, va rilevato che la societ�, nell'adottare successivamente al licenziamento della reclamante una pi� dettagliata policy aziendale sul corretto utilizzo degli strumenti affidati in dotazione ai dipendenti (cfr. regolamento del 27 novembre 2009, all. 14 alla nota inviata il 30 aprile 2010), ha individuato termini e modalit� di accesso agli strumenti aziendali non sempre conformi alle indicazioni suggerite da questa Autorit� con le richiamate Linee guida del 1� marzo 2007.
In particolare, da un esame di detto regolamento emerge che per ragioni di sicurezza e di salvaguardia del sistema, oltre che per motivi tecnici e manutentivi, il personale "sistemistico" potr� avere accesso "in qualunque momento, ai dati trattati da ciascuno, ivi compresi gli archivi di posta elettronica, nonch� effettuare verifiche "sui siti internet acceduti dagli utenti [�]"; inoltre, "tutti i dati contenuti" nelle caselle di posta elettronica aziendale potranno "essere acceduti da personale della [�] azienda per motivi inerenti all'organizzazione del lavoro", ivi compresi il "superiore gerarchico dell'utente" o altra "persona individuata dall'azienda" per "ogni ipotesi in cui [ci�] si renda necessario", mentre gli eventuali controlli relativi alla navigazione web da parte dei dipendenti "potranno avvenire mediante un sistema di controllo dei contenuti (Proxy server) o mediante "file di log" della navigazione svolta".
In ragione di tali disposizioni, riservati comunque eventuali approfondimenti in relazione ai trattamenti di dati personali dei dipendenti ad esse correlati, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice, si ritiene di dover prescrivere a Hi. Tech S.p.A. di conformare il contenuto del regolamento adottato il 27 novembre 2009 per disciplinare le modalit� di utilizzo degli strumenti elettronici aziendali alle istruzioni fornite da questa Autorit� con le gi� citate Linee guida per posta elettronica e internet del 1� marzo 2007 e con il provvedimento del 27 novembre 2008, recante "Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema".
accertata l'illiceit� del trattamento svolto:
a) ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d) del Codice, dispone nei confronti di Hi. Tech S.p.A., perch� in contrasto con i princ�pi di correttezza e finalit� (artt. 11, comma 1, lett. a), e 13 del Codice) e proporzionalit� (art. 11, comma 1, lett. d) del Codice), il divieto dell'ulteriore trattamento dei dati personali riferiti all'interessata e ritratti dai file e documenti acquisiti nell'ambito delle operazioni di backup effettuate sul server aziendale;
b) ai sensi dell'art. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice, prescrive a Hi. Tech S.p.A. di conformare il contenuto del regolamento adottato il 27 novembre 2009 per disciplinare le modalit� di utilizzo degli strumenti elettronici aziendali alle istruzioni fornite da questa Autorit� con le Linee guida del 1� marzo 2007 (posta elettronica e internet) e con il provvedimento del 27 novembre 2008 (amministratori di sistema).