ASSOCIAZIONE DEGLI INDUSTRIALI DELLA PROVINCIA DI VERONA Verona, 17 Ottobre 2005 Profili attuativi del Codice della privacy in azienda: il trattamento dei dati dei lavoratori, videosorveglianza e controlli a distanza, sanzioni, le policies aziendali. Avv. Alessandro del Ninno Responsabile del Dipartimento di Information & Communication Technology STUDIO LEGALE TONUCCI www.tonucci.it adelninno@tonucci.it

D.lgs. 30 Giugno 2003 n. 196 Codice della privacy Il Codice della privacy - in vigore dal 1° gennaio 2004 - riunisce in un Testo Unico la nota legge 675/1996 - ora abrogata - e gli altri decreti legislativi disciplinanti trattamenti di dati personali in particolari settori, regolamenti e codici deontologici che si sono succeduti in questi anni, e contiene altresì rilevanti innovazioni tenendo conto dei più importanti provvedimenti e decisioni adottati dall’Autorità Garante per la protezione dei dati personali e della direttiva UE 2000/58 sulla riservatezza nelle comunicazioni elettroniche.

Struttura del Codice della Privacy Il Codice è diviso in tre parti: la prima (artt. 1-45) dedicata alle disposizioni generali, riordinate in modo tale da trattare tutti gli adempimenti e le regole del trattamento con riferimento ai settori pubblico e privato. la seconda (artt. 46- 140) è la parte speciale dedicata a specifici settori: questa sezione, oltre a disciplinare aspetti in parte inediti (informazione giuridica, notificazioni di atti giudiziari, dati sui comportamenti debitori), completa anche la disciplina attesa da tempo per il settore degli organismi sanitari e quella dei controlli sui lavoratori.

Struttura del Codice della Privacy la terza (artt. 141-186) affronta la materia delle tutele amministrative e giurisdizionali con il consolidamento delle sanzioni amministrative e penali e con le disposizioni relative all'Ufficio del Garante.

Le norme del Codice sui rapporti di lavoro Titolo VII - Lavoro e Previdenza sociale. Capo I - Profili generali. Art.111 Codice di deontologia e di buona condotta. Art.112 Finalità di rilevante interesse pubblico. Capo II - Annunci di lavoro e dati riguardanti prestatori di lavoro. Art.113 Raccolta di dati e pertinenza. Capo III - Divieto di controllo a distanza e telelavoro. Art.114 Controllo a distanza. Art.115 Telelavoro e lavoro a domicilio. Capo IV - Istituti di patronato e di assistenza sociale. Art.116 conoscibilità di dati su mandato dell'interessato.

Il Codice Deontologico sul trattamento di dati nei rapporti di lavoro Il d.lgs 467/2001 prevede, tra gli altri, l’adozione di un codice deontologico relativo ai trattamenti di dati personali effettuati per finalità previdenziali o per la gestione del rapporto di lavoro, con previsione di specifiche modalità per l’informativa all’interessato e per l’eventuale prestazione del consenso relativamente alla pubblicazione di annunci per finalità di occupazione ed alla ricezione di curricula vitae contenenti dati personali anche sensibili.

Il Codice Deontologico sul trattamento di dati nei rapporti di lavoro Entro il 30 Giugno 2004 è prevista l’adozione di due codici: uno per le materie più specificamente lavoristiche, l’altro per i profili inerenti la previdenza sociale. I due codici deontologici di autoregolamentazione, alla cui stesura parteciperanno le organizzazioni rappresentative dei lavoratori e dei datori, completeranno l'architettura generale disegnata dal Codice della Privacy.

Il Codice Deontologico sul trattamento di dati nei rapporti di lavoro Saranno confermate le tutele già previste dallo Statuto dei lavoratori in materia di riservatezza, potenziandole attraverso la disciplina di ulteriori ed attuali problematiche, quali ad esempio il trattamento dei dati dei terzi e il rapporto tra privacy e tutela giudiziaria.

Principi del Codice deontologico 1. obbligatoria informativa ai dipendenti sull’installazione di apparecchiature di controllo; 2. negli annunci di lavoro dovrà essere inserito un facsimile per l'informativa e per la prestazione del consenso, o in alternativa dovrà essere indicato un sito Internet sul quale il facsimile sia agevolmente conoscibile; 3. semplificazione per la individuazione dei dipendenti come incaricati del trattamento

Volendo riepilogare le principali regole operative, si ricordi che: INFORMATIVA AGLI INTERESSATI E RICHIESTA DEL CONSENSO AL TRATTAMENTO DEI DATI PERSONALI Volendo riepilogare le principali regole operative, si ricordi che: 1. L’informativa, redatta ai sensi dell’articolo 13 del Codice della privacy, è sempre obbligatoria, anche quando non è necessario richiedere il consenso al trattamento da parte dell’interessato; 2. Il trattamento di dati ordinari da parte di soggetti privati o enti pubblici economici è ammesso solo con il consenso (espresso ed informato, anche prestato oralmente ma documentato per iscritto, mai presunto, acquisito prima dell’inizio del trattamento) dell’interessato, ad eccezione dei casi previsti dall’articolo 24 del Codice della privacy, per i quali non è necessario acquisire il consenso; 3. Il trattamento di dati “sensibili” è ammesso solo con il consenso scritto dell’interessato e previa l’autorizzazione del Garante; 4. Il trattamento dei dati giudiziari da parte di privati ed enti pubblici economici è consentito soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le rilevanti finalità di interesse pubblico del trattamento, i tipi di dati trattati e le operazioni eseguibili dunque non serve, alla presenza di tali presupposti, il consenso dell’interessato).

CASI DI DEROGA ALL’OBBLIGO DI RICHIEDERE IL CONSENSO AL TRATTAMENTO Per quanto riguarda il trattamento dei dati ordinari, non è necessario acquisire il consenso (ma è obbligatorio rendere l’informativa) tra l’altro nei seguenti casi di maggiore interesse per le imprese, e cioè quando il trattamento: 1. è necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria; 2. è necessario per eseguire obblighi derivanti da un contratto del quale è parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell'interessato; 3. riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati;

4. riguarda dati relativi allo svolgimento di attività economiche, trattati nel rispetto della vigente normativa in materia di segreto aziendale e industriale; 5. con esclusione della diffusione, è necessario per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento, nel rispetto della vigente normativa in materia di segreto aziendale e industriale; 6. con esclusione della diffusione, è necessario, nei casi individuati dal Garante sulla base dei principi sanciti dalla legge, per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati, anche in riferimento all'attività di gruppi bancari e di società controllate o collegate, qualora non prevalgano i diritti e le libertà fondamentali, la dignità o un legittimo interesse dell'interessato; 7. con esclusione della comunicazione all'esterno e della diffusione, è effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, in riferimento a soggetti che hanno con essi contatti regolari o ad aderenti, per il perseguimento di scopi determinati e legittimi individuati dall'atto costitutivo, dallo statuto o dal contratto collettivo, e con modalità di utilizzo previste dall’informativa.

CASI DI DEROGA ALL’OBBLIGO DI RICHIEDERE IL CONSENSO AL TRATTAMENTO Per quanto riguarda il trattamento dei dati sensibili, non è necessario acquisire il consenso scritto (ma è obbligatorio rendere l’informativa) tra l’altro nei seguenti casi di maggiore interesse per le imprese: 1. quando il trattamento è necessario per adempiere a specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e della popolazione e di previdenza e assistenza, nei limiti previsti dall'autorizzazione del Garante e ferme restando le disposizioni del futuro codice di deontologia e di buona condotta in ambito lavoristico (in tal caso non è necessario richiedere il consenso, ma occorre rispettare l’Autorizzazione generale applicabile ed il codice deontologico); 2. nel caso di trattamento dei dati riguardanti l'adesione di associazioni od organizzazioni a carattere sindacale o di categoria ad altre associazioni, organizzazioni o confederazioni a carattere sindacale o di categoria (in tal caso non solo non è necessario il consenso, ma neanche conformarsi all’autorizzazione del Garante).

LE REGOLE PER LA VIDEOSORVEGLIANZA L’acquisizione di immagini effettuata con l’ausilio di sistemi di videosorveglianza, rientra nell’ambito di applicazione della normativa a tutela della privacy nella misura in cui tali immagini, consentendo direttamente o indirettamente l’individuazione dei soggetti interessati, si configurino quali dati personali a tutti gli effetti. L’utilizzo di sistemi di videosorveglianza aziendali per ragioni di prevenzione e tutela della sicurezza è regolato dall’articolo 134 del Codice della Privacy (che si limita a rinviare all’adozione di un futuro codice di deontologia e buona condotta) e soprattutto dalle indicazioni operative contenute nel recente Provvedimento Generale sulla Videosorveglianza emanato dall’Autorità Garante il 29 Aprile 2004 (in aggiornamento del precedente Decalogo sulla Videosorveglianza del 29.11.2000).

LE REGOLE PER LA VIDEOSORVEGLIANZA Assenza dell’obbligo di richiedere il consenso e rispetto del principio di necessità Il Garante, nel Provvedimento citato, ha svincolato dal presupposto del consenso preventivo dell’interessato l’acquisizione di immagini a mezzo di sistemi di videosorveglianza quando chi intende rilevare le immagini persegue un interesse legittimo a fini di tutela di persone e beni rispetto a possibili aggressioni, furti, rapine, danneggiamenti, atti di vandalismo, prevenzione incendi, sicurezza del lavoro. La prima regola operativa è quella del cosiddetto “principio di necessità”, inteso come prerequisito essenziale, nel senso che l'acquisizione attraverso sistemi di videosorveglianza di immagini che rendano identificabile la persona interessata è lecita laddove le finalità perseguite mediante tale trattamento non possano essere realizzate con l'impiego di dati anonimi od altri sistemi meno invasivi.

LE REGOLE PER LA VIDEOSORVEGLIANZA Distinzione tra sistemi di rilevazione e sistemi di registrazione delle immagini Altra importante regola pratica da seguire fa riferimento alla distinzione tra impianti di registrazione delle immagini ed impianti di rilevazione delle immagini. A fronte della maggiore invasività dei dispositivi di registrazione delle immagini rispetto a quelli di semplice rilevazione, il Garante ha segnalato che le vere e proprie registrazioni effettuate a tutela della proprietà e del patrimonio aziendale sono legittime soltanto in presenza di concrete ed effettive situazioni di rischio. Dunque, in assenza di tali concrete situazioni di rischio (comprovate ad esempio da furti od atti lesivi della proprietà in passato subiti dal Titolare oppure dalla vicinanza a zone urbane ritenute “pericolose”), un sistema di videosorveglianza dovrebbe essere tarato in modo tale da non consentire la registrazione e conservazione delle immagini.

LE REGOLE PER LA VIDEOSORVEGLIANZA Dislocazione delle videocamere e modalità di ripresa in base al principio di proporzionalità. Il Garante ha ritenuto lecita l’installazione di apparati di videosorveglianza laddove l’adozione di altre misure di sicurezza si riveli insufficiente o inattuabile (il che rappresenta un ulteriore prerequisito di liceità dell’attivazione di impianti di videosorveglianza, nel senso che detta attivazione deve seguire una specifica analisi in base alla quale si sia verificato che altri sistemi di sicurezza sono in concreto – per la situazione specifica della sicurezza aziendale – insufficienti), ma ha dichiarato l’illegittimità dell’acquisizione di immagini in aree per le quali non ricorre un’effettiva esigenza di deterrenza in quanto non soggette a concreti pericoli.

In tal senso, nella generale politica della sicurezza adottata dal Titolare del trattamento, si deve tenere conto non solo delle effettive situazioni di rischio, ma a seguito della relativa analisi ne deve discendere una conseguente dislocazione dei sistemi di ripresa (non installati in via generale all’interno o all’esterno dei locali aziendali, ma semmai esclusivamente nelle aree dove gli stessi siano realmente necessari e proporzionati alle esigenze di sicurezza preventiva). Una volta dislocati i sistemi di ripresa in base alle considerazioni appena sopra formulate, il titolare dovrà altresì curare che l’angolo visuale delle riprese e la tipologia fissa o mobile dei dispositivi per l’acquisizione di immagini siano tali da evitare indebite interferenze nell’altrui sfera di riservatezza. In ogni caso, nell’uso delle apparecchiature volte a riprendere, per i legittimi interessi indicati, aree esterne ad edifici e immobili (perimetrali, adibite a parcheggi o a carico/scarico merci, accessi, uscite di emergenza), il trattamento deve essere effettuato con modalità tali da limitare l’angolo visuale all’area effettivamente da proteggere, evitando la ripresa di luoghi circostanti e di particolari non rilevanti (vie, edifici, esercizi commerciali, istituzioni ecc.).

Adempimenti nei confronti dei terzi (visitatori e addetti). LE REGOLE PER LA VIDEOSORVEGLIANZA Adempimenti nei confronti dei terzi (visitatori e addetti). Le finalità perseguite dal titolare del trattamento mediante l’apparato di videosorveglianza devono essere esplicitate e rese conoscibili al pubblico. Per tale motivo doverosa è l’indicazione di tali finalità nell’informativa che deve essere resa a quanti accedono o si trovano all’interno di un area videosorvegliata . E’ possibile utilizzare una informativa estremamente semplificata, redatta dalla stessa Autorità Garante. Tale informativa semplificata può essere utilizzata nelle aree esterne e deve essere collocata nelle immediate vicinanze dei luoghi ripresi. Il supporto recante l’informativa, inoltre, deve essere chiaramente visibile per formato e posizionamento.

Per gli apparati di videosorveglianza collocati in luoghi diversi dalle aree esterne il Garante prescrive l’adozione di un’informativa più circostanziata recante le indicazioni di cui all’art. 13 del Codice della Privacy. Tale diversa informativa tiene conto del fatto che i sistemi di ripresa potrebbero rilevare immagini non di visitatori occasionali ma di lavoratori ed impiegati del Titolare del trattamento. Tale seconda, diversa informativa è da collocarsi nelle aree interne in prossimità delle telecamere, anch’essa con formato e posizionamento tale da essere chiaramente visibile. Sempre con riferimento a riprese interne che implichino eventualmente rilevazione o registrazione di immagini relative a dipendenti o allo svolgimento di attività lavorative, va tenuto presente che nelle attività di sorveglianza occorre rispettare il divieto di controllo a distanza dell’attività lavorativa. Vanno poi osservate le garanzie previste in materia di lavoro quando la videosorveglianza è impiegata per esigenze organizzative e dei processi produttivi, ovvero è richiesta per la sicurezza del lavoro (art. 4 legge n. 300/1970; art. 2 d.lgs. n. 165/2001).

Queste garanzie vanno osservate sia all’interno degli edifici, sia in altri luoghi di prestazione di lavoro. E’ inammissibile l’installazione di sistemi di videosorveglianza in luoghi riservati esclusivamente ai lavoratori o non destinati all’attività lavorativa (ad es. bagni, spogliatoi, docce, armadietti e luoghi ricreativi). Eventuali riprese televisive sui luoghi di lavoro per documentare attività od operazioni solo per scopi divulgativi o di comunicazione istituzionale o aziendale, e che vedano coinvolto il personale dipendente, possono essere assimilati ai trattamenti temporanei finalizzati alla pubblicazione occasionale di articoli, saggi ed altre manifestazioni del pensiero. In tal caso, alle stesse si applicano le disposizioni sull’attività giornalistica contenute nel Codice, fermi restando, comunque, i limiti al diritto di cronaca posti a tutela della riservatezza, nonché l’osservanza del codice deontologico per l’attività giornalistica ed il diritto del lavoratore a tutelare la propria immagine opponendosi anche, per motivi legittimi, alla sua diffusione.

Conservazione delle immagini registrate. LE REGOLE PER LA VIDEOSORVEGLIANZA Conservazione delle immagini registrate. Oltre alla distinzione più sopra rilevata tra registrazione e rilevazione delle immagini va osservato che nel caso in cui il titolare del trattamento abbia preliminarmente verificato l’esistenza di concrete ed effettive situazioni di rischio (che in sostanza autorizzano non solo la rilevazione ma anche la registrazione delle immagini), in ogni caso, in applicazione del principio di proporzionalità, il tempo di conservazione delle immagini acquisite non deve eccedere quello strettamente necessario al raggiungimento della finalità perseguita dal titolare del trattamento mediante l’adozione dell’apparato di videosorveglianza. In tal senso, il Garante limita il tempo massimo di conservazione delle immagini acquisite alle ventiquattro ore successive alla rilevazione.

Un tempo di conservazione più ampio, comunque non superiore ad una settimana dalla rilevazione, viene ammesso a fronte di peculiari esigenze tecniche o della particolare rischiosità dell’attività svolta dal titolare del trattamento. Un eventuale allungamento dei tempi di conservazione deve essere valutato come eccezionale e comunque in relazione alla necessità derivante da un evento già accaduto o realmente incombente, oppure alla necessità di custodire o consegnare una copia specificamente richiesta dall’autorità giudiziaria o di polizia giudiziaria in relazione ad un’attività investigativa in corso. Il sistema impiegato deve essere programmato in modo da operare al momento prefissato - ove tecnicamente possibile - la cancellazione automatica da ogni supporto, anche mediante sovra-registrazione, con modalità tali da rendere non riutilizzabili i dati cancellati.

Soggetti incaricati del trattamento e misure di sicurezza. LE REGOLE PER LA VIDEOSORVEGLIANZA Soggetti incaricati del trattamento e misure di sicurezza. Le persone fisiche incaricate del trattamento (cioè, ai sensi dell’articolo 30 del Codice della Privacy e, le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile che operano sotto la diretta autorità del titolare o del responsabile, attenendosi alle istruzioni impartite), cioè gli addetti del Titolare del trattamento autorizzati ad utilizzare e gestire gli impianti di videosorveglianza e a visionare le immagini acquisite nei casi in cui ciò sia indispensabile, devono essere designate per iscritto (oppure deve essere preliminarmente definito per iscritto l’ambito dei trattamenti consentiti all’Unità Produttiva cui sono addetti gli Incaricati). Deve trattarsi di un numero molto ristretto di soggetti, in particolare quando ci si avvale di una collaborazione esterna (ad esempio, servizi esterni di sicurezza, eventualmente da nominare Responsabili del trattamento).

In materia di misure di sicurezza il Provvedimento prescrive la regolamentazione dell’accessibilità alle immagini acquisite al fine di ridurre al minimo i rischi di perdita, deterioramento, distruzione, accesso non autorizzato e trattamento non consentito delle immagini medesime. A tal proposito, adeguata e conforme a tale prescrizione appare la custodia delle apparecchiature di videoregistrazione all’interno di locali chiusi e la limitazione dell’accesso ai suddetti locali ai soli incaricati del trattamento. Parimenti adeguata e doverosa deve ritenersi la conservazione dei supporti contenenti le immagini registrate all’interno di appositi archivi chiusi a chiave ed anch’essi accessibili esclusivamente agli incaricati del trattamento. Quando i dati vengono conservati - naturalmente per un tempo limitato in applicazione del principio di proporzionalità - devono essere previsti diversi livelli di accesso al sistema e di utilizzo delle informazioni, avendo riguardo anche ad eventuali interventi per esigenze di manutenzione.

Occorre infine: 1. prevenire possibili abusi attraverso opportune misure di sicurezza basate in particolare su una “doppia chiave” fisica o logica che consentano una immediata ed integrale visione delle immagini solo in caso di necessità (da parte di addetti alla manutenzione o per l’estrazione dei dati ai fini della difesa di un diritto o del riscontro ad una istanza di accesso, oppure per assistere la competente autorità giudiziaria o di polizia giudiziaria). Va infatti tenuto conto che l’accessibilità regolamentata alle immagini registrate da parte degli addetti è fattore di sicurezza; 2. subordinare la visione delle immagini registrate alla sussistenza della sola ipotesi di svolgimento di indagini da parte dell’autorità giudiziaria e comunque previa autorizzazione del responsabile del servizio logistico, contemperando tale procedura con il legittimo esercizio del diritto di accesso ai dati che li riguardano attribuito dall’art. 7 del Codice ai soggetti identificabili attraverso le immagini registrate quali diretti interessati al trattamento. 3. Organizzare iniziative periodiche di formazione degli incaricati sui doveri, sulle garanzie e sulle responsabilità, sia all’atto dell’introduzione del sistema di videosorveglianza, sia in sede di modifiche delle modalità di utilizzo.

CONCLUSIONI SULLA VIDEOSORVEGLIANZA Documento interno del Titolare del trattamento sulle scelte relative al sistema di videosorveglianza. Le ragioni delle scelte relative alla attivazione ed implementazione del sistema di videosorveglianza interna del Titolare del trattamento devono essere adeguatamente documentate in un atto autonomo conservato presso la sede aziendale a cura del titolare o del responsabile del trattamento, e ciò anche ai fini dell’eventuale esibizione in occasione di visite ispettive, oppure dell’esercizio dei diritti dell’interessato o di contenzioso.

IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI Le regole operative sono contenute nella Autorizzazione Generale del Garante 1/2004 al trattamento dei dati sensibili nei rapporti di lavoro. L’autorizzazione è rilasciata alle persone fisiche e giuridiche, alle imprese, agli enti, alle associazioni e agli organismi che sono parte di un rapporto di lavoro o che utilizzano prestazioni lavorative anche atipiche, parziali o temporanee, o che comunque conferiscono un incarico professionale a consulenti, liberi professionisti, agenti, rappresentanti e mandatari, soggetti che effettuano prestazioni coordinate e continuative o ad altri lavoratori autonomi in rapporto di collaborazione con i soggetti appena elencati; L’autorizzazione riguarda anche l'attività svolta dal medico competente in materia di igiene e di sicurezza del lavoro (tenuto altresì al rispetto anche dell’Autorizzazione generale 4/2004), in qualità di libero professionista o di dipendente dei soggetti di cui sopra o di strutture convenzionate e da associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro, al solo fine di perseguire scopi determinati e legittimi individuati dagli statuti o dai contratti collettivi.

IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI Interessati ai quali i dati si riferiscono Il trattamento può riguardare i dati sensibili attinenti: 1. a lavoratori dipendenti, anche se prestatori di lavoro temporaneo o in rapporto di tirocinio, apprendistato e formazione e lavoro, ovvero ad associati anche in compartecipazione e, se necessario, ai relativi familiari e conviventi; 2. a consulenti e a liberi professionisti, ad agenti, rappresentanti e mandatari; 3. a soggetti che effettuano prestazioni coordinate e continuative o ad altri lavoratori autonomi in rapporto di collaborazione con i Titolari del trattamento; 3. a candidati all'instaurazione dei rapporti di lavoro di cui ai numeri precedenti; 4. a persone fisiche che ricoprono cariche sociali o altri incarichi nelle persone giuridiche, negli enti, nelle associazioni e negli organismi autorizzati dal garante al trattamento; 5. a terzi danneggiati nell'esercizio dell'attività lavorativa o professionale dai soggetti di cui ai precedenti numeri.

Finalità del trattamento IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI Finalità del trattamento Il trattamento dei dati sensibili deve essere indispensabile: a) per adempiere o per esigere l'adempimento di specifici obblighi o per eseguire specifici compiti previsti dalla normativa comunitaria, da leggi, da regolamenti o da contratti collettivi anche aziendali, in particolare ai fini dell'instaurazione, gestione ed estinzione del rapporto di lavoro, nonché dell'applicazione della normativa in materia di previdenza ed assistenza anche integrativa, o in materia di igiene e sicurezza del lavoro o della popolazione, nonché in materia fiscale, sindacale, di tutela della salute, dell'ordine e della sicurezza pubblica; b) anche fuori dei casi di cui alla lettera a), in conformità alla legge e per scopi determinati e legittimi, ai fini della tenuta della contabilità o della corresponsione di stipendi, assegni, premi, altri emolumenti, liberalità o benefici accessori; c) per perseguire finalità di salvaguardia della vita o dell'incolumità fisica dell'interessato o di un terzo;

d) per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di conciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dai regolamenti o dai contratti collettivi, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento. Qualora i dati siano idonei a rivelare lo stato di salute e la vita sessuale, il diritto da far valere o difendere deve essere di rango pari a quello dell'interessato, ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile; e) per esercitare il diritto di accesso ai documenti amministrativi, nel rispetto di quanto stabilito dalle leggi e dai regolamenti in materia; f) per adempiere ad obblighi derivanti da contratti di assicurazione finalizzati alla copertura dei rischi connessi alla responsabilità del datore di lavoro in materia di igiene e di sicurezza del lavoro e di malattie professionali o per i danni cagionati a terzi nell'esercizio dell'attività lavorativa o professionale; g) per garantire le pari opportunità; h) per perseguire scopi determinati e legittimi individuati dagli statuti di associazioni, organizzazioni, federazioni o confederazioni, etc.

IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI Categorie dei dati Il trattamento può avere per oggetto i dati strettamente pertinenti ai sopra indicati obblighi, compiti o finalità che non possano essere adempiuti o realizzati, caso per caso, mediante il trattamento di dati anonimi o di dati personali di natura diversa, e in particolare: a) nell'ambito dei dati idonei a rivelare le convinzioni religiose, filosofiche o di altro genere, ovvero l'adesione ad associazioni od organizzazioni a carattere religioso o filosofico, i dati concernenti la fruizione di permessi e festività religiose o di servizi di mensa, nonché la manifestazione, nei casi previsti dalla legge, dell'obiezione di coscienza;

b) nell'ambito dei dati idonei a rivelare le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere politico o sindacale, i dati concernenti l'esercizio di funzioni pubbliche e di incarichi politici, di attività o di incarichi sindacali (sempre che il trattamento sia effettuato ai fini della fruizione di permessi o di periodi di aspettativa riconosciuti dalla legge o, eventualmente, dai contratti collettivi anche aziendali), ovvero l'organizzazione di pubbliche iniziative, nonché i dati inerenti alle trattenute per il versamento delle quote di servizio sindacale o delle quote di iscrizione ad associazioni od organizzazioni politiche o sindacali; c) nell'ambito dei dati idonei a rivelare lo stato di salute, i dati raccolti e ulteriormente trattati in riferimento a invalidità, infermità, gravidanza, puerperio o allattamento, ad infortuni, ad esposizioni a fattori di rischio, all'idoneità psico- fisica a svolgere determinate mansioni, all'appartenenza a determinate categorie protette, nonché i dati contenuti nella certificazione sanitaria attestante lo stato di malattia, anche professionale dell'interessato, o comunque relativi anche all'indicazione della malattia come specifica causa di assenza del lavoratore.

IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI Modalità del trattamento Fermi restando gli obblighi previsti dagli articoli 11, 14 e 31 e ss. del Codice, il trattamento dei dati sensibili deve essere effettuato unicamente con operazioni, nonché con logiche e mediante forme di organizzazione dei dati strettamente indispensabili in rapporto ai sopra indicati obblighi, compiti o finalità. I dati sono raccolti, di regola, presso l'interessato. La comunicazione di dati all'interessato deve avvenire di regola direttamente a quest'ultimo o a un suo delegato (fermo restando quanto previsto dall'art. 84, comma 1, del Codice per la comunicazione all’interessato dei suoi dati inerenti a rivelare lo stato di salute, che possono essere comunicati solo per il tramite di un medico designato dal titolare o dall’interessato), in plico chiuso o con altro mezzo idoneo a prevenire la conoscenza da parte di soggetti non autorizzati, anche attraverso la previsione di distanze di cortesia. Restano inoltre fermi gli obblighi di informare l'interessato e, ove necessario, di acquisirne il consenso scritto, in conformità a quanto previsto dagli articoli 13, 23 e 26 del Codice.

IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI Conservazione dei dati Nel quadro del rispetto dell'obbligo di conservare i dati che consentono l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario a perseguire gli scopi per i quali i dati sono stati originariamente raccolti e trattati, i dati sensibili possono essere conservati per un periodo non superiore a quello necessario per adempiere agli obblighi o ai compiti illustrati nella slide relativa alle finalità del trattamento. A tal fine, anche mediante controlli periodici, deve essere verificata costantemente la stretta pertinenza, non eccedenza e indispensabilità dei dati rispetto al rapporto, alla prestazione o all'incarico in corso, da instaurare o cessati, anche con riferimento ai dati che l'interessato fornisce di propria iniziativa. I dati che, anche a seguito delle verifiche, risultano eccedenti o non pertinenti o non indispensabili non possono essere utilizzati, salvo che per l'eventuale conservazione, a norma di legge, dell'atto o del documento che li contiene. Specifica attenzione è prestata per l'indispensabilità dei dati riferiti a soggetti diversi da quelli cui si riferiscono direttamente le prestazioni e gli adempimenti.

IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI Comunicazione e diffusione dei dati I dati sensibili possono essere comunicati e, ove necessario diffusi, nei limiti strettamente pertinenti agli obblighi, ai compiti o alle finalità del trattamento, a soggetti pubblici o privati, ivi compresi organismi sanitari, casse e fondi di previdenza ed assistenza sanitaria integrativa anche aziendale, istituti di patronato e di assistenza sociale, centri di assistenza fiscale, agenzie per il lavoro, associazioni ed organizzazioni sindacali di datori di lavoro e di prestatori di lavoro, liberi professionisti, società esterne titolari di un autonomo trattamento di dati e familiari dell'interessato. Tra i dati sensibili, quelli idonei a rivelare lo stato di salute non possono mai essere diffusi.

CONCLUSIONI: RAPPORTI TRA L’AUTORIZZAZIONE 1/2004 E LE ALTRE NORMATIVE LAVORISTICHE APPLICABILI Restano fermi gli obblighi previsti da norme di legge o di regolamento, ovvero dalla normativa comunitaria, che stabiliscono divieti o limiti in materia di trattamento di dati personali e, in particolare, dalle disposizioni contenute: a) nell'art. 8 della legge 20 maggio 1970, n. 300, che vieta al datore di lavoro ai fini dell'assunzione e nello svolgimento del rapporto di lavoro, di effettuare indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore; b) nell'art. 6 della legge 5 giugno 1990, n. 135, che vieta ai datori di lavoro lo svolgimento di indagini volte ad accertare, nei dipendenti o in persone prese in considerazione per l'instaurazione di un rapporto di lavoro, l'esistenza di uno stato di sieropositività;

c) nelle norme in materia di pari opportunità o volte a prevenire discriminazioni; d) fermo restando quanto disposto dall'art. 8 della legge 20 maggio 1970, n. 300, nell'art. 10 del d.lg. 10 settembre 2003, n. 276, che vieta alle agenzie per il lavoro e agli altri soggetti privati autorizzati o accreditati di effettuare qualsivoglia indagine o comunque trattamento di dati ovvero di preselezione di lavoratori, anche con il loro consenso, in base alle convinzioni personali, alla affiliazione sindacale o politica, al credo religioso, al sesso, all'orientamento sessuale, allo stato matrimoniale o di famiglia o di gravidanza, alla età, all'handicap, alla razza, all'origine etnica, al colore, alla ascendenza, all'origine nazionale, al gruppo linguistico, allo stato di salute e ad eventuali controversie con i precedenti datori di lavoro, nonché di trattare dati personali dei lavoratori che non siano strettamente attinenti alle loro attitudini professionali e al loro inserimento lavorativo.

IL CASO PARTICOLARE DEL TRATTAMENTO DI DATI SENSIBILI PER ATTIVITA’ DI SELEZIONE DEL PERSONALE (GESTIONE CURRICULA VITAE) Le regole operative sono contenute sia nell’Autorizzazione Generale 5/2004 che nel Provvedimento 10 gennaio 2002 “Informativa negli annunci relativi ad offerte di lavoro”. Con riferimento al Provvedimento 10.1.2002, il Garante segnala: 1. gli annunci di lavoro devono contenere una chiara informativa, che evidenzi l'insieme degli elementi necessari per un conferimento consapevole dei dati da parte del candidato e, ove necessario, per l'acquisizione di un consenso informato e specifico (consenso che è peraltro superfluo ove i dati da inserire nel curriculum non abbiano natura sensibile o non siano comunicati a terzi) 2. L’informativa può essere fornita anche attraverso messaggi brevi e in stile colloquiale (omettendo superflue "assicurazioni" circa il rispetto della normativa sulla privacy), che permettano ai candidati interessati di comprendere i seguenti aspetti: -

A) l'identità del/i titolare/i del trattamento dei dati riportati nei curricula e le finalità e modalità del medesimo trattamento, specificando se vi siano ulteriori finalità oltre quelle connesse alla specifica ricerca di personale, o particolari modalità di organizzazione, di raffronto o di elaborazione dei dati. Devono essere indicati altresì i tempi della conservazione (anche per permettere agli interessati di poter eventualmente aggiornare ed integrare i dati), i quali devono risultare brevi e proporzionati rispetto alle finalità e modalità del trattamento; B) l'eventualità che i dati siano divulgati a terzi, individuati almeno per categorie; C) la circostanza che il conferimento dei dati è facoltativo e che la mancata indicazione di alcuni di essi può avere determinate conseguenze, invitando ad omettere dati non pertinenti in relazione all'offerta di lavoro e a manifestare per scritto il consenso al trattamento di dati sensibili (ad esempio, per quanto riguarda l'appartenenza a particolari categorie protette); D) una descrizione dei diritti riconosciuti al candidato interessato ai sensi dell'art. 7 del Codice della Privacy; E) i dati identificativi di almeno un responsabile del trattamento, ove questi sia designato (preferibilmente indicato nel soggetto preposto ai rapporti con gli interessati ai sensi dell'art. 7 del Codice della privacy).

INDICAZIONI OPERATIVE DEL GARANTE SUL MODELLO DI INFORMATIVA PER LA RACCOLTA DI CV L’Autorità suggerisce un possibile schema di informativa - riproducibile anche in parte nell'annuncio, a seconda dello spazio disponibile e della complessa utilizzazione dei dati - di seguito indicato a titolo meramente esemplificativo: a) "Nel curriculum vanno indicati i dati necessari a valutare il profilo del candidato. Saranno utilizzati con modalità strettamente riferite a questa selezione di personale. Potranno essere comunicati all'azienda ns. cliente (o ad altre società nel/i settore/i … e/o che ne facciano richiesta per valutare un'eventuale assunzione …). In caso di esito negativo saranno cancellati dopo .… E' possibile rivolgersi al servizio ... per verificare i propri dati e farli integrare, aggiornare o rettificare e/o per esercitare gli altri diritti previsti dall'art. 7 del Codice della privacy".

INDICAZIONI OPERATIVE DEL GARANTE SUL MODELLO DI INFORMATIVA PER LA RACCOLTA DI CV Si potrebbero poi inserire altre formule-tipo eventualmente necessarie del tipo: "Si prega di non indicare dati sensibili (relativi, in particolare, a salute, convinzioni religiose e opinioni politiche)". "Eventuali dati sensibili indicati (relativi, in particolare, a salute, convinzioni religiose e opinioni politiche) saranno immediatamente cancellati in mancanza di una dichiarazione scritta di consenso dell'interessato al loro trattamento da parte della nostra società (e dell'azienda nostra cliente)".

CURRICULA INVIATI SPONTANEMANTE Risulta in parte diversa l'ipotesi dei curricula che i soggetti in cerca di occupazione inviano spontaneamente ad aziende senza rispondere ad annunci o ad avvisi. In questa ipotesi, la raccolta dei dati conseguente alla ricezione del curriculum non avviene su iniziativa del titolare del trattamento, che, in questo caso, si trova nell'impossibilità di fornire una previa informativa, né può acquisire in anticipo il consenso eventualmente necessario alla luce dell'inclusione nel curriculum di alcuni dati sensibili (come, ad esempio, l'appartenenza a particolari categorie protette). Per i casi in cui l'interessato provvede all'invio del curriculum di propria iniziativa, il problema potrà essere risolto anche attraverso le specifiche disposizioni del codice di deontologia relativo al trattamento dei dati necessari per finalità previdenziali o per la gestione del rapporto di lavoro. In questa prospettiva, tuttavia, il Garante ha indicato agli operatori interessati la necessità di adempiere comunque, senza ritardo, agli obblighi dell'informativa — e di richiesta dell'eventuale consenso — in caso di successivo trattamento dei dati contenuti nei curricula ricevuti.

Trattamento dei dati sensibili tramite raccolta di curricula vitae IL CASO PARTICOLARE DEL TRATTAMENTO DI DATI SENSIBILI PER ATTIVITA’ DI SELEZIONE DEL PERSONALE (GESTIONE CURRICULA VITAE) Trattamento dei dati sensibili tramite raccolta di curricula vitae Con riferimento alle regole operative contenute nell’Autorizzazione Generale 5/2004 sul trattamento dei dati sensibili nell’ambito della gestione dei curricula vitae, si segnala quanto segue. Nel Capo IV - Attività di selezione del personale - dell’Autorizzazione 5/2004 si individuano i Titolari del trattamento nelle imprese, società, istituti e altri organismi o soggetti privati, titolari autonomi di attività svolta anche di propria iniziativa nell'interesse di terzi, ai soli fini della ricerca o della selezione del personale. Per quel che riguarda gli interessati cui si riferiscono i dati, il trattamento può riguardare i dati idonei a rivelare lo stato di salute e l'origine razziale ed etnica dei candidati all'instaurazione di un rapporto di lavoro o di collaborazione, solo se la loro raccolta è giustificata da scopi determinati e legittimi ed è strettamente indispensabile per instaurare tale rapporto.

Trattamento dei dati sensibili tramite raccolta di curricula vitae IL CASO PARTICOLARE DEL TRATTAMENTO DI DATI SENSIBILI PER ATTIVITA’ DI SELEZIONE DEL PERSONALE (GESTIONE CURRICULA VITAE) Trattamento dei dati sensibili tramite raccolta di curricula vitae Il trattamento dei dati idonei a rivelare lo stato di salute dei familiari o dei conviventi dei candidati è consentito con il consenso scritto degli interessati e qualora sia finalizzato al riconoscimento di uno specifico beneficio in favore dei candidati, in particolare ai fini di un'assunzione obbligatoria o del riconoscimento di un titolo derivante da invalidità o infermità, da eventi bellici o da ragioni di servizio. Qualora il consenso sia richiesto nei confronti di distinti titolari di trattamenti, la manifestazione di volontà deve riferirsi specificamente a ciascuno di essi. Il trattamento deve riguardare le sole informazioni strettamente pertinenti a tale finalità, sia in caso di risposta a questionari inviati anche per via telematica, sia nel caso in cui i candidati forniscano dati di propria iniziativa, in particolare attraverso l'invio di curricula.

Trattamento dei dati sensibili tramite raccolta di curricula vitae IL CASO PARTICOLARE DEL TRATTAMENTO DI DATI SENSIBILI PER ATTIVITA’ DI SELEZIONE DEL PERSONALE (GESTIONE CURRICULA VITAE) Trattamento dei dati sensibili tramite raccolta di curricula vitae Non è consentito il trattamento dei dati: a) idonei a rivelare le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni a carattere religioso, filosofico, politico o sindacale, l'origine razziale ed etnica, e la vita sessuale; b) inerenti a fatti non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore; c) in violazione delle norme in materia di pari opportunità o volte a prevenire discriminazioni. I dati idonei a rivelare lo stato di salute e l'origine razziale ed etnica possono essere comunicati nei limiti strettamente pertinenti al perseguimento delle finalità descritte, a soggetti pubblici o privati che siano specificamente menzionati nella dichiarazione di consenso dell'interessato. I dati sensibili non possono essere diffusi.

Recenti decisioni del garante in materia di trattamenti di dati personali svolti da datori di lavoro Il fascicolo del dipendente è riservato e i dati sensibili devono essere conservati (nel fascicolo) separatamente dalle altre informazioni. Le linee guida della tutela della riservatezza dei dipendenti sono state definite dal Garante in un provvedimento con il quale ha accolto il ricorso di una lavoratrice (ne da notizia la newsletter n. 230 del 17 ottobre 2004 dell'Autorità garante) che aveva contestato di avere trovato sulla scrivania di un collega la fotocopia di una sua lettera inviata all'ufficio personale dell'azienda nella quale erano contenuti dati sensibili propri e anche della figlia minore. L'azienda non ha saputo spiegare le ragioni per le quali la fotocopia non fosse idoneamente custodita, anzi ha avviato indagini interne per accertare eventuali negligenze e responsabilità. Il Garante ha ordinato alla società di astenersi dall'ulteriore trattamento illecito dei dati personali dell'interessata. Alla società è stato anche imposto di adottare tutte le misure di sicurezza idonee a prevenire il ripetersi di eventi del genere. La società dovrà anche far conoscere al Garante le misure di sicurezza adottate e le disposizioni impartite al personale per una doverosa protezione dei dati.

Recenti decisioni del garante in materia di trattamenti di dati personali svolti da datori di lavoro Provvedimento 30 Settembre 2002 - Il lavoratore ha il diritto di ottenere l'integrazione dei dati personali detenuti dal datore di lavoro con documenti ulteriori, che attestino valutazioni di merito; in ogni caso, resta salva la discrezionalità del datore circa le modalità di utilizzo di dette integrazioni. Provvedimento 12 Giugno 2002 - Il titolare del trattamento deve fornire un riscontro completo alla richiesta di accesso dell'interessato, senza limitarsi alla sola elencazione delle tipologie dei dati detenuti, comunicando in modo intellegibile tutte le informazioni in suo possesso (fattispecie relativa all'accesso ai dati personali, di tipo sanitario e contributivo, detenuti da istituti previdenziali). Provvedimento 23 Aprile 2002 - Costituiscono dati personali, come tali suscettibili di accesso da parte dell'interessato, sia le informazioni contenute nel fascicolo personale del lavoratore, sia quelle conservate nelle memorie dei computer aziendali ed inerenti all'attività lavorativa dal medesimo espletata, ivi compresi i messaggi di posta elettronica.

Recenti decisioni del garante in materia di trattamenti di dati personali svolti da datori di lavoro Provvedimento 19 Febbraio 2002 - La dicitura "pignoramento"apposta sulla busta-paga a motivazione di una ritenuta operata sullo stipendio contrasta con i principi posti a tutela della riservatezza dei dati personali, in quanto rende chiaramente conoscibile a terzi delicati aspetti della vita privata del lavoratore. Le finalità di documentazione e trasparenza nel rapporto fra datore di lavoro e dipendente possono essere soddisfatte mediante l'utilizzazione di diverse dizioni o codici identificativi che rendano enucleabile la ritenuta senza descriverla specificamente. Provvedimento 7 Febbraio 2002 Anche il datore di lavoro ove l'interessato ha prestato servizio deve comunicare all'ex dipendente, in modo analitico, i dati personali ancora detenuti, senza limitarsi ad una mera elencazione delle loro tipologie.

CONTROLLO DEL DATORE DI LAVORO SULL’UTILIZZO DI EMAIL E INTERNET IN AZIENDA ESIGENZE DEL LAVORATORE: TUTELA della dignità del lavoratore, della sua riservatezza e del suo equilibrio psico-fisico, che può essere turbato dalla costante consapevolezza, nello svolgimento delle proprie mansioni, di poter essere sottoposto ad un controllo ESIGENZE DEL DATORE DI LAVORO: CONTROLLO sulla esatta esecuzione della prestazione lavorativa. Il datore di lavoro ha diritto di verificare in ogni momento se il dipendente usa la richiesta diligenza nell'esecuzione della prestazione lavorativa e osserva le direttive impartitegli (art. 2104 c.c.) anche al fine dell'eventuale esercizio del potere disciplinare (art. 2106 c.c.)

I CONTROLLI “DIFENSIVI” DEL DATORE DI LAVORO I controlli difensivi sono quelli che si rendono necessari, e pertanto giustificati e legittimi, per garantire la tutela del patrimonio aziendale. Attraverso tali controlli, è possibile prevenire gli illeciti o, nel caso in cui questi siano stati già compiuti, individuarne gli autori. Esulano dall’ambito di applicazione dell’art. 4 Stat. Lav. i soli controlli difensivi diretti ad accertare condotte illecite del lavoratore e non quelli che riguardano, invece, direttamente o indirettamente l’attività lavorativa.

SENTENZA GIP TRIBUNALE DI MILANO 10 MAGGIO 2002 “non commette reato il capoufficio che, per assicurare la continuità della attività aziendale, legge la posta del dipendente quando questo è in ferie”. Il GIP ha sottolineato che “personalità dell’indirizzo non significa necessariamente privatezza”, “l’uso dell’e-mail costituisce un semplice strumento aziendale e che come tutti gli altri strumenti di lavoro rimane nella completa disponibilità del medesimo senza alcuna limitazione”.

SENTENZA GIP TRIBUNALE DI MILANO 10 MAGGIO 2002 L’indirizzo di posta elettronica affidato in uso al lavoratore, di solito accompagnato da qualche identificativo più o meno esplicito, ha carattere personale, nel senso che lo stesso viene attribuito al singolo lavoratore per lo svolgimento delle proprie mansioni. Tuttavia “personalità” dell’indirizzo non significa necessariamente “privatezza”del medesimo, dal momento che l’indirizzo aziendale, proprio perché tale, può sempre essere nella disponibilità di accesso e lettura da parte di persone diverse dall’utilizzatore consuetudinario (ma sempre appartenenti all’azienda) (…) Né si può ritenere che l’assimilazione della posta elettronica alla posta tradizionale, con conseguente affermazione “generalizzata” del principio di segretezza, si verifichi nel momento in cui il lavoratore utilizzi lo strumento per fini privati (ossia extralavorativi) atteso che giammai un uso illecito (o, al massimo, semplicemente tollerato ma non certo favorito) di uno strumento di lavoro può far attribuire, a chi questo illecito commette, diritti di sorta.” [Tribunale di Milano 10 maggio 2002]

SENTENZA GIP TRIBUNALE DI MILANO 10 MAGGIO 2002 La condotta del datore di lavoro che all’insaputa del lavoratore controlla la sua posta elettronica non integra gli estremi del reato di violazione della corrispondenza di cui all’art. 616 c.p. poiché il lavoratore non è titolare di un diritto all’utilizzo esclusivo della posta elettronica aziendale e quindi si espone al rischio che altri lavoratori o il datore di lavoro possano lecitamente entrare nella sua casella e leggere i messaggi. [Tribunale penale di Milano ordinanza 10 maggio 2002]

SENTENZA CASSAZIONE 3 APRILE 2002 “ai fini della operatività del divieto di utilizzo di apparecchiature per il controllo a distanza dei lavoratori …è necessario che il controllo riguardi (direttamente o indirettamente) l’attività lavorativa, mentre devono ritenersi certamente fuori dell’ambito di applicazione della norma i controlli diretti ad accertare condotte illecite del lavoratore (cd controlli difensivi), quali ad esempio i sistemi di controllo ad aree riservate o, gli apparecchi di rilevazione di telefonate ingiustificate”.

COMUNICATO GARANTE DEL 12 Luglio 1999 I messaggi che circolano, via Internet, nelle liste di posta elettronica e nei newsgroup ad accesso limitato devono essere considerati come corrispondenza privata e in quanto tali non possono essere violati. Per le caratteristiche assunte da tali circuiti privati di posta elettronica, i messaggi che in essi circolano vanno considerati quindi alla stregua della corrispondenza privata e non possono essere abusivamente intercettati. Ciò, sia che si tratti di vere e proprie "mailing list", sia che si tratti di newsgroup ad accesso condizionato dalla disponibilità di una password fornita ad una pluralità di soggetti determinati, e a prescindere dal fatto che la rete operi attraverso le strutture pubbliche che un'amministrazione ha consentito di utilizzare.

Documento Gruppo dei Garanti europei 29 Maggio 2002 su uso e-mail e Internet nel luogo di lavoro L'ubicazione e la proprietà in capo all’azienda dell’account e-mail utilizzato dal lavoratore non escludono la segretezza delle comunicazioni e della corrispondenza, quale sancita da principi giuridici fondamentali e costituzioni.

PRINCIPI COSTITUZIONALI APPLICABILI ALLA E-MAIL La Corte Costituzionale ha ritenuto che rientra nell’ambito di applicazione della garanzia apprestata dall’art. 15 Cost. non soltanto la segretezza del contenuto della comunicazione, ma anche quella relativa ai dati esterni della comunicazione, cioè quella relativa all’identità dei soggetti e ai riferimenti di tempo e di luogo. [Corte Cost. 11 marzo 1993 n. 81; Corte Cost. 17 luglio 1998 n. 281]

INDICAZIONE PRATICHE PER I DATORI DI LAVORO SU UTILIZZO EMAIL Per quanto riguarda la corrispondenza elettronica il datore di lavoro deve, tra gli altri, tenere presenti i seguenti punti: a) Eventuale diritto di un dipendente a disporre di un indirizzo e-mail per finalità puramente personali, eventuale liceità dell'impiego d'indirizzi webmail sul posto di lavoro ed eventuale raccomandazione del datore di lavoro che i dipendenti impieghino un indirizzo webmail privato quando vogliano utilizzare la posta elettronica per scopi puramente personali.

INDICAZIONE PRATICHE PER I DATORI DI LAVORO SU UTILIZZO EMAIL b) Accordi raggiunti con i dipendenti circa l'accesso ai contenuti di un messaggio di posta elettronica, con particolare riferimento ai casi di assenza imprevista del dipendente, e finalità specifiche di tale accesso. c) Laddove dei messaggi venga fatta una copia di backup, durata del periodo in cui tale copia è conservata. d) Informazioni circa il momento in cui i messaggi di posta elettronica vengono definitivamente cancellati dal server. e) Questioni di sicurezza. f) Coinvolgimento dei rappresentanti dei dipendenti nel definire la politica aziendale.

UTILIZZO DELLE CONNESSIONI INTERNET AZIENDALI Ogniqualvolta ciò risulti possibile la prevenzione va considerata più importante del rilevamento; in altre parole l'interesse del datore di lavoro risulta servito meglio da una spesa destinata a prevenire gli abusi dell'Internet con mezzi tecnici piuttosto che ad individuare casi d'abuso. Se ed in quanto ragionevolmente possibile, la politica perseguita in rapporto all'Internet dovrebbe fare affidamento su mezzi tecnici per ridurre l'accesso piuttosto che sul controllo dei comportamenti, basandosi ad esempio sul blocco di alcuni siti o sull'installazione di avvertenze automatiche per le richieste d'accesso a determinati siti.

UTILIZZO DELLE CONNESSIONI INTERNET AZIENDALI Per ridurre al minimo i problemi è importante informare prontamente il dipendente in merito al rilevamento di un impiego sospetto dell'Internet. Anche laddove costituisca un provvedimento necessario qualsiasi controllo deve rappresentare una risposta commisurata ai rischi cui deve far fronte il datore di lavoro. In molti casi l'abuso di Internet può essere individuato senza che occorra analizzare il contenuto dei siti visitati.

UTILIZZO DELLE CONNESSIONI INTERNET AZIENDALI Una verifica del tempo speso a navigare sull'Internet o dei siti più frequentemente visitati da un dipartimento può ad esempio essere sufficiente per rassicurare un datore di lavoro circa il fatto che le sue infrastrutture non sono soggette ad abusi. Qualora queste verifiche d'indole generale portino alla luce possibili abusi dell'Internet il datore di lavoro può considerare la possibilità di ulteriori controlli del settore in questione.

INDICAZIONE PRATICHE PER I DATORI DI LAVORO SU UTILIZZO INTERNET 1. il datore di lavoro deve indicare chiaramente ai dipendenti a quali condizioni è consentito l'impiego privato dell'Internet, precisando quale materiale non può essere visionato o copiato e spiegando ai dipendenti queste condizioni e questi limiti; 2. i dipendenti vanno informati circa i sistemi messi in opera per impedire l'accesso a determinati siti e per individuare i casi d'abuso. La portata di tali controlli andrà indicata, precisando ad esempio se essi possono riguardare singole persone o particolari sezioni dell'impresa oppure se in circostanze particolari il contenuto dei siti visitati è visionato o registrato dal datore di lavoro. La politica aziendale dovrà inoltre precisare quale uso può all'occorrenza venir fatto dei dati raccolti in rapporto alle persone che hanno visitato determinati siti; 3. i dipendenti vanno informati circa la partecipazione dei loro rappresentanti all'attuazione di tale politica e all'indagine sulle presunte infrazioni.

CONCLUSIONI: IL REGOLAMWENTO AZIENDALE INTERNO SULL’UTILIZZO DEI SISTEMI E DELLE RISORSE INFORMATICHE TELEFONIA Utilizzo aziendale Spiegazione dei sistemi aziendali (fissi, cellulari) Tecnologia applicate ai Call center Finalità del controllo Tipo di controllo (incluse attività manutentive e interventi tecnici) Ripartizione dei costi Individuazione delle persone preposte al controllo Eventuali azioni disciplinari Individuazione del responsabile del trattamento

CONCLUSIONI: IL REGOLAMWENTO AZIENDALE INTERNO SULL’UTILIZZO DEI SISTEMI E DELLE RISORSE INFORMATICHE INTERNET Utilizzo aziendale Spiegazione del sistema di navigazione Tecnologie di controllo (black list, firewall, …) Finalità del controllo Tipo di controllo (incluse attività manutentive e interventi tecnici) Eventuale ripartizione dei costi Individuazione delle persone preposte al controllo Eventuali azioni disciplinari Individuazione del responsabile del trattamento

CONCLUSIONI: IL REGOLAMWENTO AZIENDALE INTERNO SULL’UTILIZZO DEI SISTEMI E DELLE RISORSE INFORMATICHE POSTA ELETTRONICA Utilizzo aziendale Spiegazione del sistema di posta Tecnologie di controllo (e-mail server) Finalità del controllo Tipo di controllo (incluse attività manutentive e interventi tecnici) Individuazione delle persone preposte al controllo Eventuali azioni disciplinari Individuazione del responsabile del trattamento

CONCLUSIONI: IL REGOLAMWENTO AZIENDALE INTERNO SULL’UTILIZZO DEI SISTEMI E DELLE RISORSE INFORMATICHE TELEFONIA Utilizzo aziendale Spiegazione dei sistemi aziendali (fissi, cellulari) Tecnologia applicate ai Call center Finalità del controllo Tipo di controllo Ripartizione dei costi Individuazione delle persone preposte al controllo Eventuali azioni disciplinari Individuazione del responsabile del trattamento

Art. 161 - Omessa o inidonea informativa all’interessato L’IMPIANTO SANZIONATORIO DEL CODICE DELLA PRIVACY: LE VIOLAZIONI SANZIONATE IN VIA AMMINISTRATIVA Art. 161 - Omessa o inidonea informativa all’interessato La violazione delle disposizioni che obbligano il Titolare del trattamento a rendere agli interessati idonea e preventiva Informativa (art. 13 del Codice) è punita con la sanzione amministrativa del pagamento di una somma: da tremila euro a diciottomila euro se il trattamento su cui non è stata resa o è stata resa in maniera inidonea l’Informativa riguarda dati personali comuni; da cinquemila euro a trentamila euro se il trattamento su cui non è stata resa o è stata resa in maniera inidonea l’Informativa riguarda: 1. dati sensibili o giudiziari; 2. è un trattamento di dati diversi da quelli sensibili e giudiziari che, in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare, presenta rischi specifici o, comunque, di maggiore rilevanza del pregiudizio per i diritti e le libertà fondamentali, nonché per la dignità dell'interessato. La somma può essere aumentata sino al triplo quando risulta inefficace in ragione delle condizioni economiche del contravventore.

Art. 162 Violazione delle norme sulla cessione dei dati L’articolo 16 del Codice della Privacy prevede che in caso di cessazione, per qualsiasi causa, di un trattamento i dati sono: a) distrutti; b) ceduti ad altro titolare, purché destinati ad un trattamento in termini compatibili agli scopi per i quali i dati sono raccolti; c) conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione; d) conservati o ceduti ad altro titolare, per scopi storici, statistici o scientifici, in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta. La cessione dei dati in violazione di quanto previsto dall'articolo 16, comma 1, lettera b), o di altre disposizioni in materia di disciplina del trattamento dei dati personali è punita con la sanzione amministrativa del pagamento di una somma da cinque mila euro a trentamila euro.

Art. 163 Omessa o incompleta notificazione Chiunque, essendovi tenuto: a) non provvede tempestivamente alla notificazione ai sensi degli articoli 37 e 38 del Codice della Privacy; b) ovvero indica in essa notizie incomplete; è punito con: 1) la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro 2) la sanzione amministrativa accessoria della pubblicazione dell'ordinanza-ingiunzione, per intero o per estratto, in uno o più giornali indicati nel provvedimento che la applica.

Art. 164 Omessa informazione o esibizione al Garante Chiunque omette di fornire le informazioni o di esibire i documenti richiesti dal Garante: 1) in occasione della discussione di un ricorso davanti al Garante; 2) in occasione delle ordinarie attività di accertamento, ispezione e controllo del Garante; è punito con la sanzione amministrativa del pagamento di una somma da quattromila euro a ventiquattro mila euro.

L’IMPIANTO SANZIONATORIO DEL CODICE DELLA PRIVACY: GLI ILLECITI PENALI Art. 167 Trattamento illecito di dati Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione: A) delle norme del Codice (artt. 18 e 19) in materia di rispetto da parte dei soggetti pubblici dei principi di liceità generale dei trattamenti di dati comuni); B) delle norme del Codice in materia di acquisizione del consenso (art. 23); C) delle norme in materia di trattam,ento di dati nell’ambito di servizi di comunicazione elettronica, con particolare riferimento a:

Art. 167 Trattamento illecito di dati C.1) trattamento di dati relativi al traffico (art. 123); C.2) trattamento dei dati relativi all’ubicazione (art. 126); C.3) trattamento dei dati nell’ambito di elenchi di abbonati (art. 129); C.4) trattamento dei dati a fini di comunicazioni elettroniche non sollecitate (art. 130); è punito, se dal fatto deriva nocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi.

Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione: A) delle norme del Codice in materia di trattamenti che presentano particolari rischi per gli interessati (art. 17); B) delle norme del Codice in materia di trattamenti di dati sensibili o giudiziari svolti da soggetti pubblici (artt. 20, 21); C) delle norme del Codice in materia di trattamenti di dati idonei a rivelare lo stato di salute da soggetti pubblici in base ad espressa previsione normativa (artt. 22, commi 8 e 11); D) delle norme del Codice in materia di divieto di comunicazione o diffusione dei dati personali (art. 25); E) delle norme in materia di trattamento di dati sensibili o giudiziari svolti da soggetti privati (artt. 26 e 27); è punito, se dal fatto deriva nocumento, con la reclusione da uno a tre anni.

Procedimento del ravvedimento operoso: Art. 169 Omessa adozione delle misure di sicurezza Chiunque, essendovi tenuto, omette di adottare le misure minime di sicurezza è punito con l'arresto sino a due anni o con l'ammenda da diecimila euro a cinquantamila euro. Procedimento del ravvedimento operoso: All'autore del reato, all'atto dell'accertamento o, nei casi complessi, anche con successivo atto del Garante, è impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo tecnicamente necessario, prorogabile in caso di particolare complessità o per l'oggettiva difficoltà dell'adempimento e comunque non superiore a sei mesi. Nei sessanta giorni successivi allo scadere del termine, se risulta l'adempimento alla prescrizione, l'autore del reato è ammesso dal Garante a pagare una somma pari a 12.500 Euro. L'adempimento e il pagamento estinguono il reato.

Art. 168 Falsità nelle dichiarazioni e notificazioni al Garante Chiunque: A) nella notificazione di cui all'articolo 37; B) o in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti; dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, è punito, salvo che il fatto costituisca più grave reato, con la reclusione da sei mesi a tre anni Dunque tale caso è diverso e più grave rispetto alla violazione amministrativa consistente nella incompleta od omessa notificazione.

Altre fattispecie penalmente rilevanti (artt. 170, 171 e 172) Chiunque, essendovi tenuto, non osserva le prescrizioni contenute: A) nel sistema delle Autorizzazioni Generali sul trattamento dei dati sensibili (art. 26, co. 2);; B) nell’Autorizzazione sul trattamento di dati genetici e dei donatori di midollo osseo (art. 90); C) nel provvedimento con il quale il Garante, in occasione di un ricorso presentato all’Autorità, dispone l’immediato blocco, la sospensione del trattamento od ordina al Titolare la cessazione del comportamento illegittimo è punito con la reclusione da tre mesi a due anni.

Altre fattispecie penalmente rilevanti (artt. 170, 171 e 172) Sono punite, salvo che il fatto non costituisca più grave reato, con l'ammenda da Euro 51,16 ad Euro 516,00 o con l'arresto da 15 giorni ad un anno le fattispecie di violazione delle norme della L. 300/1970 (Statuto dei Lavoratori) di cui all’articolo 4 (Divieto di controllo a distanza dei lavoratori) e articolo 8 (divieto di indagini sulle opinioni). Nei casi più gravi le pene dell'arresto e dell'ammenda sono applicate congiuntamente. Quando, per le condizioni economiche del reo, l'ammenda può presumersi inefficace anche se applicata nel massimo, il giudice ha facoltà di aumentarla fino al quintuplo. L'autorità giudiziaria ordina la pubblicazione della sentenza penale di condanna nei modi stabiliti dall'art. 36 del codice penale. La condanna per uno dei delitti previsti dal Codice della Privacy importa la pubblicazione della sentenza.

LE SANZIONI SUL PIANO CIVILISTICO: IL RISARCIMENTO DEL DANNO DA TRATTAMENTO DI DATI PERSONALI (ART. 15) Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile. Il danno non patrimoniale è risarcibile anche in caso di violazione delle norme che stabiliscono i principi generali di liceità e correttezza dei trattamenti e dei requisiti dei dati (art. 11).

IL POTERE DI ACCERTAMENTO E DI CONTROLLO DEL GARANTE (ARTT. 157-160) Per l'espletamento dei propri compiti il Garante può richiedere al titolare, al responsabile, all'interessato o anche a terzi di fornire informazioni e di esibire documenti (anche via facsimile o via e-mail). Il Garante può disporre accessi a banche di dati, archivi o altre ispezioni e verifiche nei luoghi ove si svolge il trattamento o nei quali occorre effettuare rilevazioni comunque utili al controllo del rispetto della disciplina in materia di trattamento dei dati personali. Il Garante si avvale anche, ove necessario, della collaborazione di altri organi dello Stato. Gli accertamenti, se svolti in un'abitazione o in un altro luogo di privata dimora o nelle relative appartenenze, sono effettuati con l'assenso informato del titolare o del responsabile, oppure previa autorizzazione del presidente del tribunale competente per territorio in relazione al luogo dell'accertamento, il quale provvede con decreto motivato senza ritardo, al più tardi entro tre giorni dal ricevimento della richiesta del Garante quando è documentata l'indifferibilità dell'accertamento.

IL POTERE DI ACCERTAMENTO E DI CONTROLLO DEL GARANTE (ARTT. 157-160) Nel procedere a rilievi e ad operazioni tecniche il personale del Garante operante può altresì estrarre copia di ogni atto, dato e documento, anche a campione e su supporto informatico o per via telematica. Degli accertamenti è redatto sommario verbale nel quale sono annotate anche le eventuali dichiarazioni dei presenti. Ai soggetti presso i quali sono eseguiti gli accertamenti è consegnata copia dell'autorizzazione del presidente del tribunale, ove rilasciata. I medesimi soggetti sono tenuti a farli eseguire e a prestare la collaborazione a tal fine necessaria. In caso di rifiuto gli accertamenti sono comunque eseguiti e le spese in tal caso occorrenti sono poste a carico del titolare con il provvedimento che definisce il procedimento, che per questa parte costituisce titolo esecutivo ai sensi degli articoli 474 e 475 del codice di procedura civile. Gli accertamenti, se effettuati presso il titolare o il responsabile, sono eseguiti dandone informazione a quest'ultimo o, se questo è assente o non è designato, agli incaricati. Agli accertamenti possono assistere persone indicate dal titolare o dal responsabile.

IL POTERE DI ACCERTAMENTO E DI CONTROLLO DEL GARANTE (ARTT. 157-160) Se non è disposto diversamente nel decreto di autorizzazione del presidente del tribunale, l'accertamento non può essere iniziato prima delle ore sette e dopo le ore venti, e può essere eseguito anche con preavviso quando ciò può facilitarne l'esecuzione. Quando emergono indizi di reato il Garante segnala il caso alla competente Procura della Repubblica.

Avv. Alessandro del Ninno Responsabile del Dipartimento di Information & Communication Technology Studio Legale Tonucci Via Principessa Clotilde n. 7 00196 Roma e-mail: adelninno@tonucci.it