Trattamento illecito lavoratore Garante privacy
Il Garante ha esaminato un reclamo presentato da una dipendente di Autostrade per l’Italia S.p.A., oggetto di due contestazioni disciplinari fondate su contenuti tratti dal suo profilo Facebook, da conversazioni su Messenger e da messaggi WhatsApp. Trattamento illecito lavoratore Garante privacy.
Contestazioni mosse alla società
La dipendente lamenta che i suoi dati personali siano stati trattati in modo illecito, poiché utilizzati senza un’adeguata base giuridica e per finalità non compatibili con la loro raccolta (cioè per avviare procedimenti disciplinari).
Difesa della società
Autostrade per l’Italia ha sostenuto che:
-
non ha svolto ricerche attive, ma ha ricevuto i contenuti spontaneamente da colleghi o terzi;
-
ha agito nel proprio legittimo interesse, per tutelare i propri diritti nel contesto lavorativo;
-
ha effettuato valutazioni interne di bilanciamento tra interessi contrapposti;
-
le opinioni espresse dalla dipendente, anche se fuori dal lavoro, potevano incidere sull’immagine aziendale.
Conclusioni del Garante
Il Garante ha ritenuto illecito il trattamento dei dati personali per le seguenti motivazioni:
-
Violazione dei principi di liceità, finalità e minimizzazione previsti dal Regolamento (UE) 2016/679 (GDPR);
-
Violazione della riservatezza delle comunicazioni private, tutelata dall’art. 15 Cost. e dall’art. 8 della CEDU;
-
Utilizzo di informazioni tratte da canali privati (Facebook chiuso, Messenger, WhatsApp) senza adeguato test di bilanciamento e in assenza di idonea base giuridica;
-
Inosservanza dell’art. 113 del Codice Privacy, che vieta la raccolta e l’uso di informazioni non pertinenti alla valutazione dell’attitudine professionale del lavoratore;
-
I contenuti trattati erano opinioni personali e fatti esterni al rapporto lavorativo, non riconducibili a una valutazione professionale.
Provvedimenti adottati
-
Sanzione amministrativa pecuniaria di €420.000 a carico di Autostrade per l’Italia S.p.A.;
-
Pubblicazione dell’ordinanza sul sito del Garante, in considerazione della gravità e natura delle violazioni;
-
Ingiunzione di pagamento entro 30 giorni, con possibilità di riduzione del 50% se pagata entro il termine previsto per il ricorso.
Considerazioni finali
Il provvedimento ribadisce che:
-
anche le informazioni reperite passivamente (non cercate) sono soggette alla disciplina sul trattamento dei dati;
-
la semplice accessibilità online di un contenuto non ne autorizza l’uso indiscriminato da parte del datore di lavoro;
-
le comunicazioni private, anche se spontaneamente inoltrate da terzi, non possono essere utilizzate a fini disciplinari senza un’attenta valutazione di liceità e proporzionalità;
-
l’adozione di una “social media policy” aziendale non giustifica di per sé il trattamento illecito dei dati personali.
Il provvedimento rappresenta un’importante presa di posizione a tutela della riservatezza dei lavoratori, anche nell’ambito dei rapporti di lavoro e dell’utilizzo dei social network.
