Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1366011
Timestamp: 2020-06-06 20:48:51+00:00
Document Index: 23264933

Matched Legal Cases: ['art. 11', 'art. 7', 'art. 10', 'art. 154', 'art. 13', 'art. 13', 'art. 13', 'art. 29', 'art. 154', 'art. 7', 'art. 13', 'art. 154']

Trattamento di dati relativi al rapporto di lavoro presso un gestore... - Garante Privacy
Lavoro e previdenza sociale - È dato personale anche un codice identificativo numerico assegnato ad un dipendente - 24 settembre 2001 [42140]
Trattamento di dati personali sensibili di un dipendente attraverso il protocollo informatico aziendale - 12 giugno 2014 [3318492]
Provvedimento del 12 ottobre 2016 [5867531]
Provvedimento del 5 marzo 2015 [3985524]
Trattamento dei dati personali riferiti alla navigazione internet dei dipendenti - 5 febbraio 2015 [3813428]
Provvedimento del 21 settembre 2016 [5773877]
Comunicazione per via telefonica di dati personali relativi ad un dipendente - 10 aprile 2014 [3214369]
Semplificazioni di taluni adempimenti in ambito pubblico e privato rispetto a trattamenti per finalità amministrative e contabili - 19 giugno 2008...
Provvedimento del 30 dicembre 2014 [3750667]
Sistema di videosorveglianza, installato all’interno di un esercizio commerciale - 8 maggio 2014 [3250490]
Provvedimento del 12 maggio 2016 [5185157]
[doc. web n. 1366011]
Trattamento di dati relativi al rapporto di lavoro presso un gestore telefonico - 16 novembre 2006
In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale;
Visti gli esiti delle verifiche attivate d´ufficio da questa Autorità nei confronti di Telecom Italia S.p.a. a seguito di decisioni del Garante su ricorsi del 1999, 2000, 2001, e 2002 presentati contro la società da alcuni dipendenti che lamentavano l´incompletezza del riscontro ricevuto alle istanze di accesso ai propri dati personali trattati nell´ambito del rapporto di lavoro;
Esaminati gli elementi acquisiti dal Garante nel corso degli accertamenti ispettivi svolti presso alcune sedi di Telecom Italia S.p.a. in data 27 aprile 2004, 30 aprile 2004 e 11 maggio 2004;
Esaminati, altresì, gli ulteriori elementi acquisiti dall´Autorità il 21 gennaio 2005 e 31 marzo 2005 nel corso degli accertamenti ispettivi svolti presso la sede legale di Accenture Hr Services S.p.a. (Tess S.p.a.);
1. Alcuni dipendenti di Telecom Italia S.p.a. (di seguito Telecom) hanno presentato in tempi diversi ricorso al Garante lamentando l´incompletezza del riscontro fornito dalla società ad istanze di accesso ai dati personali trattati nell´ambito del rapporto di lavoro.
Dopo le distinte decisioni adottate dal Garante a conclusione dei singoli procedimenti instaurati dai ricorsi, stante le sollecitazioni provenienti dai ricorrenti tese a dimostrare la parzialità dei riscontri forniti dalla società in ottemperanza alle decisioni medesime, l´Autorità ha disposto l´avvio di un ulteriore ed autonomo procedimento nei confronti di Telecom volto ad accertare, in primo luogo, la posizione della società in ordine alle statuizioni del Garante contenute in talune delle decisioni stesse.
Gli accertamenti sono stati disposti anche al fine di verificare se, nell´ambito del complessivo trattamento dei dati personali dei dipendenti, Telecom adottasse misure idonee a garantire l´effettivo, integrale e tempestivo esercizio del diritto di accesso ai propri dati da parte degli interessati, nonché la "liceità dei trattamenti dei dati personali dei dipendenti effettuati mediante l´utilizzo di particolari sistemi organizzativi e gestionali di tipo automatizzato" (cfr. Provv. 30 dicembre 2002 riguardante Telecom, in doc. web n. 1067203). In relazione a quest´ultimo profilo, alcuni dei ricorrenti avevano infatti lamentato il mancato riscontro all´esercizio del diritto di accesso ai dati personali loro riferiti conservati in un sistema di gestione dell´attività lavorativa adottato dalla società, denominato Work Force Management" (di seguito "Wfm "), ipotizzandone anche potenziali capacità di controllo a distanza dell´attività lavorativa.
2.1. Nell´ambito degli accertamenti disposti dal Garante, sono stati effettuati accessi presso quattro sedi operative di Telecom e presso le sedi di Accenture HR Services S.p.a. (Tess S.p.a.) acquisendo copiosa documentazione unitamente alle dichiarazioni di un elevato numero di dipendenti delle società.
Dalla documentazione in atti e dalle dichiarazioni rese da Telecom in sede ispettiva risulta che il fascicolo personale di ciascun dipendente consta di "una raccolta di documenti essenziali per la gestione del rapporto di lavoro dalla sua costituzione fino alla cessazione ".
In tale fascicolo confluiscono, "a puro titolo esemplificativo, le comunicazioni dell´azienda relative alle variazioni di livello funzionale e retributivo, dell´orario e della sede di lavoro, nonché le comunicazioni del dipendente all´azienda e comunicazioni diverse, quali quelle relative all´assegnazione della vettura aziendale o di particolari benefit". Esso comprende anche "la documentazione prodotta da precedenti datori di lavoro poi confluiti in Telecom" per effetto di vicende societarie di riorganizzazione e ristrutturazione, nonché le schede di valutazione delle prestazioni dei dipendenti con qualifica di "quadro" o di "impiegato con funzioni direttive " (cfr. verbale di operazioni compiute del 27 aprile 2004, p. 2).
In relazione al profilo delle valutazioni del personale, Telecom ha puntualizzato che tra i lavoratori ai quali è attribuito il livello 5 sono valutati solo quelli in possesso di specifici profili professionali, mentre altri, pur essendo inquadrati "solo sotto il profilo economico con provvedimenti ad personam nel livello quinto ", svolgono attività non soggette a valutazione delle prestazioni (cfr. verbale di operazioni compiute del 30 aprile 2004, p. 2 e 3).
Le acquisizioni documentali confermano, inoltre, che la società avrebbe effettuato, sia pure a titolo sperimentale e per il solo 1998, la valutazione delle prestazioni di alcuni lavoratori in possesso di livelli e di profili professionali per i quali non era e non è, di norma, prevista alcuna valutazione professionale (v. allegati al verbale di operazioni compiute del 30 aprile 2004).
2.2. Dalle dichiarazioni in atti rese per conto di Telecom risulta, inoltre, che i fascicoli personali relativi ai dipendenti erano custoditi alla data degli accertamenti "presso le sedi delle singole aree territoriali " in cui si articolano le tre divisioni poste alle dipendenze della Direzione centrale delle risorse umane (v. verbale di operazioni compiute del 27 aprile 2004, p. 2).
Alla luce delle deduzioni della medesima società, il fascicolo personale non contiene né la documentazione afferente a particolari vicende connesse all´esecuzione del rapporto di lavoro individuale (ad esempio i contenziosi in materia di lavoro), per la cui gestione "vengono aperti appositi fascicoli presso le relative unità operative", né quella inerente alla posizione amministrativa e contributiva. In relazione a quest´ultima, Telecom ha precisato di aver affidato "in outsourcing la gestione della posizione amministrativa e contributiva del proprio personale a Tess, nominandola responsabile del trattamento dei dati" e che "la documentazione connessa a tale gestione viene comunicata […] alla predetta società che pertanto provvede anche alla sua conservazione " (v. verbale di operazioni compiute del 27 aprile 2004, p. 2 e 3).
2.3. È stato altresì attestato (cfr. verbale di operazioni compiute del 27 aprile 2004, p. 2) che tutti i responsabili delle unità organizzative e delle aree territoriali in cui è articolata la società sono stati designati "responsabili del trattamento" dei dati personali connessi all´espletamento delle rispettive attività (circostanza che è risultata verificata in relazione ai responsabili delle strutture interessate agli accertamenti ispettivi, i cui atti di designazione sono stati acquisiti agli atti del procedimento); anche Tess è stata designata responsabile del trattamento dei dati relativi alla gestione amministrativa del personale Telecom (cfr. lettera del 7 febbraio 2002 allegata al verbale di operazioni compiute del 27 aprile 2004).
Non diversamente, tutti i dipendenti "che operano nell´ambito della gestione delle risorse umane sono stati nominati incaricati del trattamento dei dati personali ", anche sensibili, riferiti ai lavoratori operanti presso Telecom. Gli elenchi degli incaricati delle strutture aziendali ispezionate e copia di alcune lettere di designazione e delle istruzioni fornite dalla società sono agli atti del procedimento.
3. Tess ha confermato di operare in qualità di outsourcer per conto di Telecom (cfr. verbale di operazioni compiute del 21 gennaio 2005, p. 2), curando gli aspetti strettamente amministrativi di gestione del personale (ad esempio, relativi alla copia dei cedolini paga e dei giustificativi di assenza, ai moduli trasferte, ai certificati medici), ed ha altresì precisato di conservare tali atti per tre anni presso due distinti archivi (denominati, rispettivamente, "corrente" per il primo anno e "morto" per ulteriori due anni), ubicati nell´edificio ove ha la propria sede.
La stessa documentazione viene successivamente trasferita presso un magazzino gestito da Innovis S.p.a. (di seguito Innovis), società specializzata nel settore, con la quale Tess ha stipulato apposito contratto di appalto dei servizi di gestione dei propri archivi e di quelli dei propri clienti (cfr. verbale di operazioni compiute del 21 gennaio 2005, p. 3). Al riguardo, da alcuni documenti in atti (cfr. allegato A allo stralcio di accordo quadro di fornitura di servizi tra Tess e Innovis; v. anche il punto 1.3.1. della procedura interna n. 18 "Archiviazione" di Tess e l´allegato F) alla medesima procedura) risulta che i soggetti autorizzati ad inoltrare e a ricevere le richieste di consultazione degli archivi presso Innovis sono esclusivamente referenti di Tess; non risulta, agli atti, che Telecom possa rivolgersi direttamente a Innovis per richiedere la documentazione riferita ai propri dipendenti, anche laddove debba ottemperare alle istanze di accesso dei medesimi (con il conseguente rischio di fornire agli interessati riscontri tardivi o incompleti).
Inoltre, per quanto riguarda i tempi di consegna da parte di Innovis dei documenti richiesti da Tess, la citata procedura contiene un richiamo ai tempi contrattualmente previsti, che l´accordo quadro (punto 3.8. dell´allegato A allo stralcio di accordo) quantifica in 24 ore con riguardo alle richieste c.d. "ordinarie" (pervenute, cioè, entro le ore 14.00 del giorno precedente); è rimesso ad un apposito piano da concordare la definizione dei tempi di consegna della documentazione per i c.d. "grandi volumi".
Tess ha inoltre dichiarato in sede ispettiva (cfr. verbale di operazioni compiute del 21 gennaio 2005, p. 3; v. anche art. 11 dello stralcio di accordo cit.) di aver designato, nella fase iniziale di esecuzione del contratto di appalto, quattro dipendenti di Innovis quali incaricati del trattamento dei dati dei dipendenti Telecom contenuti nei documenti archiviati e che la stessa Telecom ha successivamente designato Innovis quale responsabile del trattamento con atto di nomina che è stato acquisito al procedimento (v. nota prot. n. 0013714–01 dell´11 agosto 2004, acquisita dall´Autorità il 1° marzo 2006).
4.1. In sede ispettiva non è risultata comprovata la presenza nei fascicoli dei ricorrenti di ulteriori dati personali riferibili alle istanze di accesso formulate dai ricorrenti o non esibiti ai richiedenti (oltre quelli già messi a disposizione in ottemperanza alle decisioni del Garante). È emerso altresì che i documenti conservati possono essere non omogenei a causa delle vicende di riorganizzazione e ristrutturazione della società.
Tuttavia, dall´esame della documentazione relativa ad uno dei fascicoli dei ricorsi menzionati in premessa e al punto 1, acquisita agli atti del procedimento successivamente alla pronuncia del Garante, è emerso che uno dei ricorrenti possedeva (ed ha prodotto all´Autorità) copia di una scheda di valutazione delle proprie prestazioni professionali redatta da altro dipendente della società, gerarchicamente sovraordinato all´interessato. Tale documento, pur dovendo rientrare nel fascicolo personale del lavoratore alla luce della composizione dello stesso dichiarata da Telecom, non è stato invece rinvenuto in occasione della verifica ispettiva effettuata dall´Autorità il 30 aprile 2004.
Dagli ulteriori accertamenti svolti sul profilo da ultimo menzionato (v. verbali del 31 gennaio e 2 novembre 2006, in atti), pur non risultando allo stato comprovata una condotta elusiva da parte della società per quanto riguarda l´ottemperanza alla decisione a suo tempo adottata dal Garante (cfr. Provv. 24 settembre 2001 riguardante Telecom, in doc. web n. 42140), i controversi elementi acquisiti inducono tuttavia a ritenere necessaria la trasmissione degli atti e di copia del presente provvedimento all´autorità giudiziaria per le valutazioni di competenza in ordine alla genuinità delle dichiarazioni rese all´Autorità e al connesso adempimento della sopra menzionata decisione (artt. 168 e 170 del Codice).
In ogni caso, emergono i presupposti per prescrivere alla società di adottare le misure preordinate a fornire un riscontro completo a chi eserciti, ai sensi dell´art. 7 del Codice, il diritto di accesso a tutti i propri dati (ivi compresi quelli valutativi), ferma restando l´adozione delle prescritte misure di sicurezza volte ad assicurare l´integrità dei dati lecitamente trattati (artt. 31 ss. del Codice).
4.2. Più in generale, dalla complessiva valutazione degli elementi acquisiti in atti, non è emersa prova di illiceità a proposito delle procedure adottate da Telecom per garantire l´accesso ai dati personali da parte dei propri dipendenti, considerata anche la mole dei dati personali dei lavoratori trattati, dei relativi flussi documentali e delle complesse vicende societarie che hanno comportato riorganizzazioni interne.
Il Codice in materia di protezione dei dati personali prescrive infatti a tutti i titolari del trattamento di adottare idonee misure volte a garantire l´effettivo esercizio dei diritti degli interessati (art. 10, comma 1). Contrariamente a quanto previsto da tale disposizione, alla luce degli accertamenti svolti, le misure organizzative in concreto esistenti presso Telecom non sempre sono apparse idonee ad agevolare, come dovuto, il tempestivo ed esaustivo riscontro da parte della società alle richieste degli interessati ai sensi degli articoli 7 e ss. del Codice.
Oltre all´ipotesi menzionata al punto 4.1., difficoltà nel dare riscontro all´esercizio del diritto d´accesso si sono manifestate in altri casi (come in alcuni di quelli esaminati a suo tempo dal Garante in sede di ricorso contro la società), in cui le istanze di accesso sono state formalizzate in termini generali, tali da comprendere tutti i dati personali relativi al lavoratore istante, comunque trattati dalla società anche in sedi o fascicoli differenziati. Ciò, nonostante la società possa avvalersi in questi ultimi casi della previsione normativa che permette di completare il riscontro all´interessato entro 30 gg., anziché 15, data la complessità del riscontro stesso o per altro giustificato motivo.
Va pertanto prescritto alla società, quale misura opportuna ai sensi dell´art. 154, comma 1, lett. c), del Codice, di adottare soluzioni organizzative aggiuntive rispetto a quelle esistenti, dandone comunicazione al Garante, volte ad agevolare l´esercizio del diritto d´accesso da parte dei dipendenti, con particolare riguardo ai casi in cui i dati personali siano conservati in più archivi, specie se presso società diverse da Telecom. Tali misure possono consistere, ad esempio, nell´individuazione di un unico centro di competenza aziendale per l´esercizio del diritto d´accesso dei lavoratori o nella messa a punto di procedure snelle, note a tutti i responsabili del trattamento, per mettere a disposizione dell´interessato in sede di diritto d´accesso i dati personali al medesimo riferiti, curandone direttamente la raccolta presso unità organizzative diverse della medesima società o presso soggetti che operano quali outsourcers di Telecom (come nel caso di specie, Tess e Innovis).
5.1. Per quanto riguarda l´informativa distribuita ai dipendenti e risultante in atti (v., tra gli allegati al verbale di operazioni compiute del 27 aprile 2004 l´allegato 4 alla lettera di designazione quale incaricato), va prescritto a Telecom di dare integrale attuazione alla previsione contenuta nell´art. 13, del Codice. Dagli elementi acquisiti, infatti, risulta che le società Tess ed Innovis non sono menzionate tra i responsabili del trattamento presenti nella rete intranet aziendale (art. 13, comma 1, lett. f) del Codice) e che le società che effettuano l´attività di gestione degli archivi relativi alla documentazione amministrativa dei dipendenti (nel caso di specie Innovis) non sono annoverate tra i soggetti o le categorie di soggetti ai quali i dati possono essere comunicati o venirne a conoscenza in qualità di responsabili (art. 13, comma 1, lett. d) del Codice).
5.2. Alla luce di tali considerazioni, ove la società intenda continuare ad indicare nella rete intranet i soggetti designati responsabili del trattamento (art. 29 del Codice), va prescritto a Telecom ai sensi dell´art. 154, comma 1, lett. c) del Codice di integrare detto elenco (ad oggi, sul punto, ancora incompleto: cfr. elenco dei responsabili del trattamento acquisito da Telecom il 14 novembre 2006; cfr., altresì, tra gli allegati del verbale di operazioni compiute del 27 aprile 2004 il punto 3.2. dell´allegato 3 alla lettera di designazione a incaricato, recante il "Compendio della normativa sulla privacy per l´incaricato del trattamento dei dati personali in Telecom Italia"), inserendovi Tess ed Innovis. Ciò in attuazione del vigente quadro normativo in materia di esercizio del diritto di accesso ai dati personali, il quale prevede che l´istante ha diritto di ottenere agevolmente l´indicazione degli estremi identificativi di tutti i responsabili del trattamento (art. 7, comma 2, lett. d) ed e) del Codice). Si consideri, al riguardo, che lo stesso testo dell´informativa in atti, nel recare un testuale riferimento all´elenco di responsabili del trattamento consultabile "sull´intranet aziendale sul sito sicurezza alla voce "Responsabili 675" (riferimento normativo che è poi da aggiornare tenuto conto che il testo dell´informativa contiene esclusivamente richiami alle norme del Codice), prevede che il dipendente possa rivolgersi a tali soggetti per esercitare i diritti di cui agli articoli 7 e ss. del Codice.
5.3. Del pari, la società dovrà integrare anche il testo dell´informativa indicando specificamente, in aggiunta a quanto oggi operato, che esistono alcuni soggetti terzi (allo stato degli atti, Innovis), individuandoli per categorie o nominativamente, che possono venire a conoscenza dei dati personali dei lavoratori in qualità di responsabili del relativo trattamento in quanto effettuano l´attività di gestione degli archivi amministrativi dei dipendenti.
5.4. Con separato provvedimento l´Autorità provvederà alla contestazione della sanzione amministrativa per l´inidonea informativa (art. 13, comma 1, lett. d) ed f), del Codice).
6. Con riguardo alle risultanze emerse in relazione al sistema "Wfm", le verifiche ispettive hanno confermato quanto già accertato nelle decisioni adottate dal Garante a seguito dei ricorsi (sopra menzionati in premessa e al punto 1) presentati dai lavoratori nei confronti di Telecom: "Wfm" è un sistema di gestione automatizzata del processo di comunicazione fra i tecnici incaricati di eseguire interventi sul territorio e i centri di gestione dei medesimi interventi (c.d. Fom) finalizzato esclusivamente a pianificare le attività delle risorse tecniche presenti in azienda.
Le dichiarazioni rese dalle società ispezionate e alcune note in atti inviate dal Servizio ispezione del lavoro territorialmente competente, hanno evidenziato che tale sistema, nonostante contenga dati personali dei dipendenti (anagrafica, numero di matricola, qualifica), non è uno strumento idoneo al controllo a distanza dei lavoratori in quanto non rileva autonomamente la durata di ciascun intervento tecnico che risulta conoscibile solo su segnalazione del tecnico interessato che ne comunica l´inizio e la fine.
a) prescrive a Telecom Italia S.p.a., ai sensi dell´art. 154, comma 1, lett. c), del Codice, le misure necessarie o opportune a garanzia degli interessati nei termini di cui in motivazione, da adottare entro il 31 dicembre 2006, e segnatamente:
con riferimento alla necessità di dare tempestivo riscontro ai lavoratori che esercitino il diritto d´accesso, di adottare soluzioni organizzative aggiuntive rispetto a quelle esistenti, dandone comunicazione al Garante (punto 4.2.);
con riferimento all´informativa,
di inserire Tess ed Innovis nell´elenco dei responsabili del trattamento reperibile sul sito intranet aziendale (punto 5.2.);
di integrare il testo in atti, indicando specificamente l´esistenza di ulteriori soggetti terzi che possono venire a conoscenza dei dati personali dei lavoratori in qualità di responsabili del relativo trattamento (punto 5.3.);
b) dispone la trasmissione degli atti e di copia del presente provvedimento all´autorità giudiziaria per le valutazioni di competenza in ordine alla genuinità delle dichiarazioni rese all´Autorità e al connesso adempimento della sopra menzionata decisione (artt. 168 e 170 del Codice) (punto 4.1.).
Roma, 16 novembre 2006