Il Garante Privacy ha irrogato una sanzione di 420 mila euro ad Autostrade per l’Italia per aver trattato in maniera illecita i dati personali di una lavoratrice, poi utilizzati per giustificarne il licenziamento.
La lavoratrice aveva presentato reclamo al Garante, lamentando, appunto il trattamento illecito dei dati, anche con riguardo all’utilizzo ritenuto “improprio” di dati personali tratti da messaggi scambiati su account di WhatsApp e Messenger e dal profilo Facebook, per fini connessi al rapporto di lavoro.
Nel riassumere il quadro normativo applicabile, il Garante ha rammentato che il datore di lavoro privato può trattare i dati personali dei lavoratori (art. 4, n. 1, del Regolamento), anche relativi a “categorie particolari”, di regola, se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure se è necessario “all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso” (artt. 6, par. 1, lett. b) e c), e 2 e 3, e art. 9, parr. 2, lett. b) e 4; 88 del Regolamento).
In caso di trattamento di dati “comuni” il titolare del trattamento/datore di lavoro può effettuare operazioni di trattamento qualora ciò sia necessario per il perseguimento di un legittimo interesse “a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali” (art. 6, par. 1, lett. f) del Regolamento).
Il titolare del trattamento è altresì tenuto ad osservare i principi generali della materia, in particolare quello di “liceità, correttezza e trasparenza”, di “limitazione delle finalità” e di “minimizzazione dei dati” (art. 5, par. 1, lett. a), b) e c) del Regolamento).
Nel caso di specie, dall’istruttoria era emerso che la Società aveva elaborato due contestazioni disciplinari utilizzando, in aggiunta al riferimento ad ulteriori fatti contestati, il contenuto di comunicazioni effettuate dalla reclamante attraverso il proprio profilo Facebook e i canali di messaggistica Messenger e WhatsApp.
In particolare, la Società, dopo aver ricevuto, tramite comunicazione WhatsApp, alcuni screenshot tratti dal profilo Facebook e dagli account Messenger e WhatsApp della reclamante estratti da alcuni partecipanti alle comunicazioni, aveva ritenuto di utilizzarli nel procedimento disciplinare, pur senza essersi direttamente attivata per effettuare ricerche presso il profilo social o i canali di messaggistica istantanea.
Secondo il Garante, l’assenza di un “ruolo attivo” della Società nella ricerca delle informazioni non ha alcun rilievo ai fini della identificazione dell’attività consistente nel successivo utilizzo nel procedimento disciplinare quale “trattamento”, in quanto ne costituisce solo una delle possibili manifestazioni.
Come si legge nel provvedimento (qui il testo integrale), i contenuti erano stati utilizzati dal datore di lavoro senza una base giuridica valida.
Nel motivare la propria decisione, il Garante ha precisato che i dati personali pubblicati sui social network o, più in generale, disponibili in rete, non possono essere utilizzati indiscriminatamente e a ogni fine, solo perché accessibili a un numero più o meno esteso di persone.
La condotta tenuta dalla Società – secondo il Garante - ha violato i principi di liceità, finalità e minimizzazione di cui all’art. 5, par. 1, lett. a), b) e c) e 6 del Regolamento, vista anche l’inutilizzabilità dei dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali (v. art. 2-decies del Codice), posto che, una volta venuta a conoscenza che i dati trasmessi riguardavano comunicazioni private e commenti sul profilo Facebook chiuso, la Società avrebbe dovuto astenersi dall’utilizzarli.