Garante per la protezione
    dei dati personali


Comunicazione dei dati di undipendente a terzi senza consenso dell'interessato

PROVVEDIMENTO DEL 11 APRILE 2013

Registro dei provvedimenti
n. 179 dell'11 aprile 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTAla segnalazione del 6 ottobre 2012 presentata da XY concernente il trattamentodi dati personali riferiti all'interessata effettuato dallo "Studioodontoiatrico associato Dottori Gimmelli Beniamino e Giuseppe" di Foggia;

ESAMINATAla documentazione acquisita in atti;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla prof.ssa Licia Califano;

PREMESSO

1.Con segnalazione del 6 ottobre 2012, XY ha lamentato la violazione delladisciplina in materia di protezione dei dati personali in riferimento allaritenuta indebita comunicazione di informazioni a sé riferite ad Ina Assitalias.p.a. in occasione della stipula di una polizza assicurativa collettiva daparte dello Studio odontoiatrico associato Dottori Gimmelli Beniamino eGiuseppe di Foggia (di seguito, "Studio"), presso il quale la stessaha prestato servizio in qualità di dipendente a tempo indeterminato fino al 21gennaio 2010.

Conspecifico riferimento alla finalità di tale comunicazione, verificatasi per iltramite della locale Agenzia generale, e al contesto in cui i dati sarebberostati trattati, la segnalante rappresentando di aver altresì interessato, per i profili di competenza,l'Isvap haaltresì precisato non solo di essere "all'oscuro del trasferimento del suoTFR in una polizza collettiva assicurativa" (nota del 23 ottobre 2012), madi aver espressamente optato affinché il proprio trattamento di fine rapportonon fosse destinato ad alcuna forma pensionistica complementare (v.segnalazione cit., All. 8).

2.1.Al fine di accertare la liceità delle operazioni di trattamento di datipersonali effettuate, l'Ufficio (per i soli profili di competenza) ha formulatorichieste di informazioni allo Studio nonché all'Agenzia Ina di Foggia e allaDirezione generale dell'Ina, tenendo conto delle dichiarazioni da questi resenonché delle ulteriori osservazioni formulate dalla segnalante, elementi tuttidella cui veridicità i dichiaranti possono essere chiamati a rispondere aisensi dell'art. 168 del Codice.

2.2.Con nota del 12 novembre 2012, lo Studio ha dichiarato che:

a."ha stipulato una polizza destinata a garantire l'effettiva corresponsionedel trattamento di fine rapporto [ai dipendenti] nell'eventualità della suaconclusione" presso l'Agenzia Generale Ina Assitalia di Foggia;

b. a tale scopo è stato stipulato un contratto – che non ha "natura diprevidenza complementare" – "intercorrente esclusivamente tra[lo Studio] e l'impresa di assicurazione";

c. loStudio medesimo "nulla sa in merito alle modalità con le quali sarebbeavvenuta la comunicazione dei dati personali della propria ex dipendenteall'Ina Assitalia ai fini della stipula di una polizza. Della raccolta e deltrattamento dei dati si è infatti occupata la medesima agenzia e difatti imoduli contenenti l'informativa [] sono stati sottoposti, per la firma, aidipendenti [] ad opera degli agenti dell'Ina, a tale scopo [] presentatisipresso il gabinetto dentistico".

Anchein una successiva comunicazione, lo Studio – precisando di avere assunto laqualifica sia di assicurato che di beneficiario – ha altresì ribadito dinon aver "fornito i dati [riferiti alla segnalante] né l'autorizzazione,onere quest'ultimo della impresa di assicurazione" (nota 1 marzo 2013).

2.3.Con riferimento agli elementi acquisiti dall'Agenzia Generale Ina Assitalia diFoggia nonché dalla Direzione Generale Ina Assitalia, è emerso che:

I.quanto alla Agenzia Generale di Foggia, la stessa ha dichiarato:

a. diavere trattato alcuni dati riferiti alla segnalante (nome, cognome, data eluogo di nascita, codice fiscale) posto che la stessa "ha ricoperto laposizione di assicurata [] nella polizza [] dove il contrente è stato loStudio medico Odontoiatrico Ass. Gimmelli B. & G." (cfr. nota del 7gennaio 2013);

b. che"i dati personali della [segnalante] sono stati acquisiti dal ContraenteStudio []; per quanto riguarda le modalità di raccolta dei dati si è procedutomediante la trascrizione degli stessi sulla proposta di Emissione PosizioniAssicurative" (nota 7 marzo 2013);

II.quanto alla Direzione Generale Ina Assitalia (cfr. nota dell'8 gennaio 2013,priva di riscontro in merito all'origine e alle concrete modalità di raccoltadei dati riferiti alla segnalante), la stessa ha affermato di avere trattatodati personali riferiti alla lavoratrice in occasione della "stipula delcontratto collettivo" – nel quale lo Studio odontoiatrico figuracome contraente e beneficiario – e in particolare:

a.alcuni dati anagrafici nonché informazioni "relative ai versamenti dipremi relativi alle polizze" intestate alla segnalante;

b.ulteriori dati personali "in sede di liquidazione della posizioneassicurativa" (tra i quali: indirizzo di residenza, livello di istruzione,data d'inizio del rapporto di lavoro, qualifica professionale, mansione elivello di inquadramento).

LaDirezione generale ha altresì allegato:

c. copia del menzionato contratto (stipulato in data 25 marzo 2004 dallo Studio eda Ina s.p.a.) nel quale, all'art. 6 ("Dati necessari per l'emissionedelle polizze"), è previsto che "ai fini dell'emissione delle polizzel'Azienda dovrà trasmettere alla Società, compilata in ogni sua parte (dataeffetto e, per ogni dipendente, generalità, luogo e data di nascita, sesso,eventuale diversa età a scadenza, importo del premio unico e/o del premioannuo), l'apposita richiesta di assicurazione" (cfr. nota 8.1.2013, All.1);

d. unmodello di informativa concernente la polizza, predisposto da Ina Assitalias.p.a. e dall'Agenzia Generale di Foggia ai sensi dell'art. 13 del Codice,datato 2 febbraio 2010, recante una sottoscrizione con nome e cognome dellasegnalante (cfr. nota 8.1.2013, All. 5);

e. larichiesta di liquidazione presentata dallo Studio su modellistica predispostada Ina Assitalia e ad essa diretta per il tramite dell'Agenzia di Foggia aseguito dell'intervenuta cessazione del rapporto di lavoro, con effettidecorrenti dal 21 gennaio 2010 (cfr. All. 4 alla nota 8.1.2013).

2.4.La segnalante, da ultimo con comunicazione del 1 marzo 2013, nel ribadire laritenuta illegittimità della comunicazione dei propri dati personaliall'assicurazione, ha inoltre:

a.allegato una lettera (a sé indirizzata) del 15 novembre 2012, proveniente daIna Assitalia s.p.a., nella quale le viene comunicato che "per gliassicurati inseriti nella collettiva in argomento è previsto il consenso aisensi dell'art. 1919 del Codice Civile. Nel Suo caso, il predetto consenso non èstato tuttavia rintracciato", evidenziando altresì che "in data02.02.2010 Lei ha acconsentito al trattamento dei dati per fini contrattuali;risultano pertanto effettuati gli adempimenti in materia di privacy";

b.contestato di aver "acconsentito ad alcun trattamento dei dati per finicontrattuali" in data 2 febbraio 2012;

c.ritenuto che "la polizza di cui trattasi non poteva essere stipulata,[avendo] scelto come destinazione del [] T.F.R. [] che lo stesso rimanesse inazienda e non venisse destinato a nessuna altra forma previdenzialecomplementare".

3.1.Alla luce degli elementi complessivamente acquisiti – e riservata ogniulteriore valutazione in relazione al contenuto discordante delle dichiarazionirese all'Autorità circa l'origine e le modalità di acquisizione dei datipersonali riferiti alla segnalante in occasione dell'attivazione della polizzain esame – deve ritenersi che i dati personali riferiti alla segnalantenecessari all'attivazione della polizza collettiva siano stati comunicati daldatore di lavoro all'assicurazione in violazione della disciplina di protezionedei dati personali, in particolare non risultando comprovato il consensoinformato della stessa alla predetta comunicazione (artt. 13 e 23 del Codice).

Invero,al di là di quanto dichiarato dall'Agenzia Ina di Foggia circa l'avvenutacomunicazione dei dati da parte dello Studio (cfr. par. 2.3.I.b), l'art. 6 delcontratto di assicurazione pone in capo al datore di lavoro (contraente ebeneficiario della polizza in virtù dell'art. 3 del contratto medesimo)l'obbligo di trasmettere all'assicuratore i dati personali (allo stesso noti)necessari alla predisposizione e alla successiva gestione della polizzacollettiva riferiti ai propri dipendenti (e nel caso di specie alla segnalantein qualità di assicurata, come si evince dall'art. 2 del contratto). Del resto,analoga comunicazione si è altresì verificata in occasione della cessazione delrapporto di lavoro con la menzionata presentazione da parte dello Studio della"richiesta di liquidazione" (cfr. all. 4, nota Ina Assitalia dell'8gennaio 2013).

Néil datore di lavoro ha fornito nel corso del procedimento elementi idonei asuffragare la diversa ricostruzione in base alla quale sarebbe stata lacompagnia assicurativa (in deroga a quanto stabilito in sede di regolamentocontrattuale) a raccogliere direttamente presso i singoli dipendentidell'azienda le informazioni necessarie alla predisposizione della polizzacollettiva.

Talericostruzione, comunque negata dalla segnalante, non può peraltro risultarecomprovata dalla produzione in atti di copia dell'informativa (allegata da InaAssitalia alla nota dell'8 gennaio 2013) recante la sottoscrizione dallasegnalante – che potrà, se del caso, disconoscerne la paternità nellesedi opportune –, considerato che tale documento risulterebbe comunqueinidoneo a realizzare le finalità previste dall'art. 13 del Codice, posto chela data della sottoscrizione (2 febbraio 2010) è posteriore sia allastipulazione della polizza collettiva (25 marzo 2004) che alla cessazione delrapporto di lavoro instaurato con lo Studio odontoiatrico (21 gennaio 2010).

3.2.Alla luce di tali elementi, non risultando comprovato che il datore di lavoroabbia informato la segnalante circa la comunicazione di dati personali allastessa riferiti per la stipula di una polizza assicurativa (oltre che per lasua gestione e liquidazione) e in assenza di alcun presupposto alternativo alconsenso (esso stesso non risultato acquisito) per tale comunicazione, deveritenersi che la trasmissione dei dati ad Ina Assitalia s.p.a. per il tramitedella locale Agenzia generale sia stata effettuata dallo Studio in violazionedi legge (artt. 11, comma 1, lett. a), 13 e 23 del Codice; in merito cfr.altresì Provv. 23 novembre 2006, in www.garanteprivacy.it, doc. web n. 1364099,Linee-guida per il trattamento di dati dei dipendenti privati, punti 5.1 e 7).

4.Impregiudicata ogni valutazione circa la validità del contratto diassicurazione con riguardo alla posizione concernente la segnalante profilo evidenziato dalla stessacompagnia assicuratrice che ha rilevato l'assenza del consenso dell'assicuratarichiesto dall'art. 1919 c.c. (cfr. lettera 15.11.2012, in atti) –, devealtresì rilevarsi l'illiceità del trattamento effettuato da Ina Assitalias.p.a. in relazione ai dati riferiti alla segnalante in difetto dellaprescritta informativa da parte della compagnia assicurativa. Infatti,indipendentemente dalla contestata autenticità della sottoscrizione che risultaapposta al modello di informativa predisposto da Ina (cfr. par. 2.4), dettainformativa risulterebbe comunque tardiva rispetto al trattamento effettuato(essendo in ipotesi fornita quando il contratto di lavoro dell'assicurata eraormai cessato), in violazione della previsione contenuta nell'art. 13, comma 4del Codice.

5.Salve le ulteriori valutazioni dell'Autorità in ordine all'eventualecontestazione delle violazioni amministrative rilevabili nel caso di specienonché con riguardo alla veridicità delle dichiarazioni rese all'Autorità, ilGarante dispone la trasmissione di copia del presente provvedimentoall'Istituto per la Vigilanza sulle Assicurazioni per le valutazioni dicompetenza.

Restaimpregiudicato il diritto della segnalante di far valere eventuali preteserisarcitorie in ragione delle operazioni di trattamento effettuate avanti allacompetente autorità giudiziaria.

TUTTO CIO' PREMESSO, IL GARANTE

1. aisensi dell'art. 154, comma 1, lett. a) e b) del Codice, salva la conservazionedei dati personali trattati per esigenze di tutela dei diritti:

a.dichiara illecita, nei termini di cui in motivazione, la comunicazione di datipersonali riferiti alla segnalante effettuata dallo Studio odontoiatricoassociato Dottori Gimmelli Beniamino e Giuseppe di Foggia a Ina Assitalias.p.a. (par. 3.2);

b.dichiara illecito il successivo trattamento di dati personali riferiti allasegnalante effettuato da Ina Assitalia s.p.a. (par. 4);

2. dispone, ai sensi dell'art. 154, comma 3, del Codice, la trasmissione di copiadel presente provvedimento all'Istituto per la Vigilanza sulle Assicurazioniper le valutazioni di competenza (par. 5).

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 11 aprile 2013

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia