Source: https://www.ictlex.net/?p=572
Timestamp: 2020-02-22 19:38:09+00:00
Document Index: 16171066

Matched Legal Cases: ['art. 2087', 'art. 2', 'art. 47', 'art. 3', 'art. 11', 'art. 11', 'art. 4', 'art. 4', 'art. 11', 'art. 11', 'art. 8', 'art. 616', 'art. 49', 'art. 11', 'art. 26', 'art. 154', 'art. 154', 'art. 24', 'art. 143', 'art. 3']

Garante dei dati personali – Del. 13/07 – ICT Lex
Posted on 1/3/2007 8/3/2007 by Andrea Monti
Visti i reclami, le segnalazioni e i quesiti pervenuti riguardo ai trattamenti di dati personali effettuati da datori di lavoro riguardo all’uso, da parte di lavoratori, di strumenti informatici e telematici;
1 Utilizzo della posta elettronica e della rete Internet nel rapporto di lavoro
Le informazioni di carattere personale trattate possono riguardare, oltre all’attività lavorativa, la sfera personale e la vita privata di lavoratori e di terzi. La linea di confine tra questi ambiti, come affermato dalla Corte europea dei diritti dell’uomo, può essere tracciata a volte solo con difficoltà. (2) Il luogo di lavoro è una formazione sociale nella quale va assicurata la tutela dei diritti, delle libertà fondamentali e della dignità degli interessati garantendo che, in una cornice di reciproci diritti e doveri, sia assicurata l’esplicazione della personalità del lavoratore e una ragionevole protezione della sua sfera di riservatezza nelle relazioni personali e professionali (artt. 2 e 41, secondo comma, Cost.; art. 2087 cod. civ.; cfr. altresì l’art. 2, comma 5, Codice dell’amministrazione digitale (d.lg. 7 marzo 2005, n. 82), riguardo al diritto ad ottenere che il trattamento dei dati effettuato mediante l’uso di tecnologie telematiche sia conformato al rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell’interessato). (3)
Nell’impartire le seguenti prescrizioni il Garante tiene conto del diritto alla protezione dei dati personali, della necessità che il trattamento sia disciplinato assicurando un elevato livello di tutela delle persone, nonché dei principi di semplificazione, armonizzazione ed efficacia (artt. 1 e 2 del Codice ). Le prescrizioni potranno essere aggiornate alla luce dell’esperienza e dell’innovazione tecnologica.
La disciplina di protezione dei dati va coordinata con regole di settore riguardanti il rapporto di lavoro e il connesso utilizzo di tecnologie, nelle quali è fatta salva o richiamata espressamente (art. 47, comma 3, lett. b) Codice dell’amministrazione digitale). (4)
a) il principio di necessità, secondo cui i sistemi informativi e i programmi informatici devono essere configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi in relazione alle finalità perseguite (art. 3 del Codice; par. 5.2 );
b) il principio di correttezza, secondo cui le caratteristiche essenziali dei trattamenti devono essere rese note ai lavoratori (art. 11, comma 1, lett. a), del Codice). Le tecnologie dell’informazione (in modo più marcato rispetto ad apparecchiature tradizionali) permettono di svolgere trattamenti ulteriori rispetto a quelli connessi ordinariamente all’attività lavorativa. Ciò, all’insaputa o senza la piena consapevolezza dei lavoratori, considerate anche le potenziali applicazioni di regola non adeguatamente conosciute dagli interessati (v. par. 3 );
c) i trattamenti devono essere effettuati per finalità determinate, esplicite e legittime (art. 11, comma 1, lett. b), del Codice: par. 4 e 5), osservando il principio di pertinenza e non eccedenza (par. 6). Il datore di lavoro deve trattare i dati “nella misura meno invasiva possibile”; le attività di monitoraggio devono essere svolte solo da soggetti preposti (par. 8) ed essere “mirate sull’area di rischio, tenendo conto della normativa sulla protezione dei dati e, se pertinente, del principio di segretezza della corrispondenza” (Parere n. 8/2001, cit., punti 5 e 12 ).
In base al richiamato principio di correttezza, l’eventuale trattamento deve essere ispirato ad un canone di trasparenza, come prevede anche la disciplina di settore (art. 4, secondo comma, Statuto dei lavoratori;allegato VII, par. 3 d.lg. n. 626/1994 e successive integrazioni e modificazioni in materia di “uso di attrezzature munite di videoterminali”, il quale esclude la possibilità del controllo informatico “all’insaputa dei lavoratori”). (5)
Le finalità da indicare possono essere connesse a specifiche esigenze organizzative, produttive e di sicurezza del lavoro, quando comportano un trattamento lecito di dati (art. 4, secondo comma, l. n. 300/1970 ); possono anche riguardare l’esercizio di un diritto in sede giudiziaria.
Con riguardo al principio secondo cui occorre perseguire finalità determinate, esplicite e legittime (art. 11, comma 1, lett. b), del Codice), il datore di lavoro può riservarsi di controllare (direttamente o attraverso la propria struttura) l’effettivo adempimento della prestazione lavorativa e, se necessario, il corretto utilizzo degli strumenti di lavoro (cfr. artt. 2086, 2087 e 2104 cod. civ. ).
Il trattamento dei dati che ne consegue è illecito, a prescindere dall’illiceità ell’installazione stessa. Ciò, anche quando i singoli lavoratori ne siano consapevoli. (6)
In particolare non può ritenersi consentito il trattamento effettuato mediante sistemi hardware e software preordinati al controllo a distanza, grazie ai quali sia possibile ricostruire –a volte anche minuziosamente– l’attività di lavoratori.
É il caso, ad esempio:
Il controllo a distanza vietato dalla legge riguarda l’attività lavorativa in senso stretto e altre condotte personali poste in essere nel luogo di lavoro. (7) A parte eventuali responsabilità civili e penali, i dati trattati illecitamente non sono utilizzabili (art. 11, comma 2, del Codice). (8)
Il trattamento di dati che ne consegue può risultare lecito. Resta ferma la necessità di rispettare le procedure di informazione e di consultazione di lavoratori e sindacati in relazione all’introduzione o alla modifica di sistemi automatizzati per la raccolta e l’utilizzazione dei dati (11), nonché in caso di introduzione o di modificazione di procedimenti tecnici destinati a controllare i movimenti o la produttività dei lavoratori. (12)
si individui preventivamente (anche per tipologie) a quali lavoratori è accordato l’utilizzo della posta elettronica e l’accesso a Internet; (13)
Il datore di lavoro ha inoltre l’onere di adottare tutte le misure tecnologiche volte a minimizzare l’uso di dati identificativi (c.d. privacy enhancing technologies–PETs ). Le misure possono essere differenziate a seconda della tecnologia impiegata (ad es., posta elettronica o navigazione in Internet).
Il datore di lavoro, per ridurre il rischio di usi impropri della “navigazione” in Internet (consistenti in attività non correlate alla prestazione lavorativa quali la visione di siti non pertinenti, l’upload o il download di file, l’uso di servizi di rete con finalità ludiche o estranee all’attività), deve adottare opportune misure che possono, così, prevenire controlli successivi sul lavoratore. Tali controlli, leciti o meno a seconda dei casi, possono determinare il trattamento di informazioni personali, anche non pertinenti o idonei a rivelare convinzioni religiose, filosofiche o di altro genere, opinioni politiche, lo stato di salute o la vita sessuale (art. 8 l. n. 300/1970; artt. 26 e 113 del Codice; Provv. 2 febbraio 2006, cit. ).
Il contenuto dei messaggi di posta elettronica –come pure i dati esteriori delle comunicazioni e i file allegati– riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente, la cui ratio risiede nel proteggere il nucleo essenziale della dignità umana e il pieno sviluppo della personalità nelle formazioni sociali; un’ulteriore protezione deriva dalle norme penali a tutela dell’inviolabilità dei segreti (artt. 2 e 15 Cost.;
Corte cost. 17 luglio 1998, n. 281 e 11 marzo 1993, n. 81; art. 616, quarto comma, c.p.; art. 49 Codice dell’amministrazione digitale). (14)
il datore di lavoro metta a disposizione di ciascun lavoratore apposite funzionalità di sistema, di agevole utilizzo, che consentano di inviare automaticamente, in caso di assenze (ad es., per ferie o attività di lavoro fuori sede), messaggi di risposta contenenti le “coordinate” (anche elettroniche o telefoniche) di un altro soggetto o altre utili modalità di contatto della struttura. É parimenti opportuno prescrivere ai lavoratori di avvalersi di tali modalità, prevenendo così l’apertura della posta elettronica. (16) In caso di eventuali assenze non programmate (ad es., per malattia), qualora il lavoratore non possa attivare la procedura descritta (anche avvalendosi di servizi webmail), il titolare del trattamento, perdurando l’assenza oltre un determinato limite temporale, potrebbe disporre lecitamente, sempre che sia necessario e mediante personale appositamente incaricato (ad es., l’amministratore di sistema oppure, se presente, un incaricato aziendale per la protezione dei dati), l’attivazione di un analogo accorgimento, avvertendo gli interessati;
In assenza di particolari esigenze tecniche o di sicurezza, la conservazione temporanea dei dati relativi all’uso degli strumenti elettronici deve essere giustificata da una finalità specifica e comprovata e limitata al tempo necessario –e predeterminato– a raggiungerla (v. art. 11, comma 1, lett. e), del Codice ).
all’indispensabilità del dato rispetto all’esercizio o alla difesa di un diritto in sede giudiziaria;
L’eventuale trattamento di dati sensibili è consentito con il consenso degli interessati o, senza il consenso, nei casi previsti dal Codice (in particolare, esercizio di un diritto in sede giudiziaria, salvaguardia della vita o incolumità fisica;
specifici obblighi di legge anche in caso di indagine giudiziaria: art. 26).
Nel caso di eventuali interventi per esigenze di manutenzione del sistema, va posta opportuna cura nel prevenire l’accesso a dati personali presenti in cartelle o spazi di memoria assegnati a dipendenti.
Resta fermo l’obbligo dei soggetti preposti al connesso trattamento dei dati (in particolare, gli incaricati della manutenzione) di svolgere solo operazioni strettamente necessarie al perseguimento delle relative finalità, senza realizzare attività di controllo a distanza, anche di propria iniziativa.
Resta parimenti ferma la necessità che, nell’individuare regole di condotta dei soggetti che operano quali amministratori di sistema o figure analoghe cui siano rimesse operazioni connesse al regolare funzionamento dei sistemi, sia svolta un’attività formativa sui profili tecnico-gestionali e di sicurezza delle reti, sui principi di protezione dei dati personali e sul segreto nelle comunicazioni (cfr. Allegato B) al Codice, regola n. 19.6; Parere n. 8/2001 cit., punto 9).
1) prescrive ai datori di lavoro privati e pubblici, ai sensi dell’art. 154, comma 1, lett. c), del Codice, di adottare la misura necessaria a garanzia degli interessati, nei termini di cui in motivazione, riguardante l’onere di specificare le modalità di utilizzo della posta elettronica e della rete Internet da parte dei lavoratori (punto 3.1.), indicando chiaramente le modalità di uso degli strumenti messi a disposizione e se, in che misura e con quali modalità vengano effettuati controlli;
a) l’adozione e la pubblicizzazione di un disciplinare interno (punto 3.2.);
b) l’adozione di misure di tipo organizzativo (punto 5.2.) affinché, segnatamente:
• si proceda ad un’attenta valutazione dell’impatto sui diritti dei lavoratori;
• si individui preventivamente (anche per tipologie) a quali lavoratori è accordato l’utilizzo della posta elettronica e dell’accesso a Internet;
• si individui quale ubicazione è riservata alle postazioni di lavoro per ridurre il rischio di impieghi abusivi;
c) l’adozione di misure di tipo tecnologico, e segnatamente:
I. rispetto alla “navigazione” in Internet (punto 5.2., a):
• l’individuazione di categorie di siti considerati correlati o non correlati con la prestazione lavorativa;
• la configurazione di sistemi o l’utilizzo di filtri che prevengano determinate operazioni;
• il trattamento di dati in forma anonima o tale da precludere l’immediata identificazione degli utenti mediante opportune aggregazioni;
• l’eventuale conservazione di dati per il tempo strettamente limitato al perseguimento di finalità organizzative, produttive e di sicurezza;
• la graduazione dei controlli (punto 6.1.);
II. rispetto all’utilizzo della posta elettronica (punto 5.2., b):
• la messa a disposizione di indirizzi di posta elettronica condivisi tra più lavoratori, eventualmente affiancandoli a quelli individuali;
• l’eventuale attribuzione al lavoratore di un diverso indirizzo destinato ad uso privato;
• la messa a disposizione di ciascun lavoratore, con modalità di agevole esecuzione, di apposite funzionalità di sistema che consentano di inviare automaticamente, in caso di assenze programmate, messaggi di risposta che contengano le “coordinate” di altro soggetto o altre utili modalità di contatto dell’istituzione presso la quale opera il lavoratore assente;
• consentire che, qualora si debba conoscere il contenuto dei messaggi di posta elettronica in caso di assenza improvvisa o prolungata e per improrogabili necessità legate all’attività lavorativa, l’interessato sia messo in grado di delegare un altro lavoratore (fiduciario) a verificare il contenuto di messaggi e a inoltrare al titolare del trattamento quelli ritenuti rilevanti per lo svolgimento dell’attività lavorativa. Di tale attività dovrebbe essere redatto apposito verbale e informato il lavoratore interessato alla prima occasione utile;
• l’inserzione nei messaggi di un avvertimento ai destinatari nel quale sia dichiarata l’eventuale natura non personale del messaggio e sia specificato se le risposte potranno essere conosciute nell’organizzazione di appartenenza del mittente;
3) vieta ai datori di lavoro privati e pubblici, ai sensi dell’art. 154, comma 1, lett. d), del Codice, di effettuare trattamenti di dati personali mediante sistemi hardware e software che mirano al controllo a distanza di lavoratori (punto 4), svolti in particolare mediante:
b) la riproduzione e l’eventuale memorizzazione sistematica delle pagine web visualizzate dal lavoratore;
d) l’analisi occulta di computer portatili affidati in uso;
4) individua, ai sensi dell’art. 24, comma 1, lett. g), del Codice, nei termini di cui in motivazione (punto 7), i casi nei quali il trattamento dei dati personali di natura non sensibile possono essere effettuati per perseguire un legittimo interesse del datore di lavoro anche senza il consenso degli interessati;
5) dispone che copia del presente provvedimento sia trasmessa al Ministero della giustizia-Ufficio pubblicazione leggi e decreti, per la sua pubblicazione sulla Gazzetta Ufficiale della Repubblica italiana ai sensi dell’art. 143, comma 2, del Codice.
(1) Cfr. Gruppo Art. 29 sulla protezione dei dati, Parere n. 8/2001 sul trattamento dei dati personali nel
contesto dell’occupazione, 13 settembre 2001, punti 5 e 12, in http://ec.europa.eu/…pdf .
(2) Cfr. Niemitz v. Germany, 23 novembre 1992, par. 29; v. pure Halford v. United Kingdom, 25 giugno 1997, parr.
(3) V. pure Gruppo Art. 29 cit., Documento di lavoro riguardante la vigilanza sulle comunicazioni elettroniche sul
posto di lavoro, Wp 55, 29 maggio 2002, p. 4, in http://ec.europa.eu/…pdf .
(4) V. pure la Direttiva per l’impiego della posta elettronica nelle pubbliche amministrazioni del 27 novembre 2003;
Raccomandazione n. R (89)2 del Consiglio d’Europa in materia di protezione dei dati personali nel contesto del
rapporto di lavoro, in http://cm.coe.int/…doc); Parere n. 8/2001 , cit., punto 5.
(5) V. altresì la Raccomandazione n. R (89) 2, cit., punto 3; Parere n. 8/2001 , cit., punto 9.1 e Wp 55, cit.,
punto 3.1.3.
(8) Cfr. anche Cass., 17 giugno 2000, n. 8250 rispetto all’uso probatorio.
(12) Art. 3 cit., comma 2; disposizione in base alla quale, in presenza di rischi “per il diritto al rispetto della vita
privata e della dignita’ umana dei lavoratori, dovra’ essere ricercato l’accordo dei lavoratori o dei loro rappresentanti
prima dell’introduzione o della modifica di tali sistemi o procedimenti, a meno che altre garanzie specifiche non siano
previste dalla legislazione nazionale”: art. 3, comma 3.
(13) Cfr. Provv. 2 febbraio 2006 , in http://www.garanteprivacy.it, doc. web n. 1229854.
(14) Cfr. nota del Garante 16 giugno 1999 , Boll. n. 9, giugno 1999 , p. 96; Tar Lazio, Sez. I ter, 15 novembre
2001, n. 9425.
CategoriesComputer crime e sicurezza, Controllo lavoratori, Delib. Authority, Normativa italiana, Privacy e dati personali
Previous PostPrevious PDL s2012 Ratifica ed esecuzione della Convenzione del Consiglio d’ Europa sulla criminalita’ informatica, fatta a Budapest il 23 novembre 2001, e norme di adeguamento dell’ ordinamento interno
Next PostNext IBLC 2007