|
Garante per la protezione dei dati personali Strumenti informatici aziendali e privacy del dipendente PROVVEDIMENTO DEL 2 OTTOBRE 2009 IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti; VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali); VISTO il provvedimento del 1 marzo 2007, recante le Linee guida per posta elettronica e internet, pubblicato in G.U. del 10 marzo 2007, n. 58; VISTO il reclamo del 15 gennaio 2008 proposto ai sensi degli artt. 142 e ss. del Codice da XY contro La Perla s.r.l.; ESAMINATA la documentazione in atti, con particolare riferimento alla nota del Dipartimento risorse tecnologiche del 27 aprile 2009; VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000; RELATORE il dott. Giuseppe Fortunato; PREMESSO 1. Accesso a documenti contenuti nel computer aziendale durante un periodo trascorso in cassa integrazione guadagni. 1.1. XY, dipendente di La Perla s.r.l. (di seguito, la societ), rientrata in azienda dopo un periodo trascorso in cassa integrazione guadagni (dal 12 maggio all'8 luglio 2007), ha rilevato che, durante la sua assenza, sarebbero stati effettuati accessi indebiti ad alcuni file (sia lavorativi che personali) contenuti nel computer aziendale in dotazione alla medesima per lo svolgimento delle proprie mansioni. La reclamante, al riguardo, sostiene che: nel computer fornitole dall'azienda, munito di password di accesso (al pari della cartella personale di rete) "perfettamente rispondente ai parametri di sicurezza indicati nel DPS aziendale", "ha memorizzato sia dati di pertinenza strettamente aziendale, sia file esclusivamente personali" (cfr. reclamo del 15 gennaio 2008, in atti, p. 2); nel primo giorno di ripresa dell'attivit lavorativa (9 luglio 2007), la stessa "si avvide casualmente che numerosi file di sua pertinenza, e memorizzati all'interno del suo PC erano stati copiati altrove, ad opera della persona designata dall'azienda quale sostituta per il periodo di CIGS" (cfr. reclamo del 15 gennaio 2008, cit., p. 3); "detti file contenevano analisi ed elaborazioni dei dati contenuti nel sistema centrale di calcolo delle retribuzioni" dei dipendenti dell'azienda, redatti e compilati "allo scopo di fornire i report richiesti dall'Ufficio Amministrazione e dall'Ufficio Controllo di Gestione" (cfr. reclamo del 15 gennaio 2008, cit., p. 3). Gli stessi file, peraltro, non contenevano "informazioni riservate o in qualche modo "protette", dal momento che erano esattamente identici ai file trasmessi agli altri uffici, con in aggiunta solo le formule ideate e costruite" dall'interessata "per estrarre ed elaborare i dati presenti sul sistema gestionale aziendale" (cfr. reclamo del 15 gennaio 2008, cit., p. 3); parimenti, "analoga sorte era toccata alle query [], che consentivano un accesso ragionato ed efficiente ai dati contenuti nel database del programma gestionale" (cfr. reclamo del 15 gennaio 2008, cit., pp. 3 e 4); in data 30 ottobre 2007, la reclamante "si accorse che l'intero contenuto della cartella personale di rete "XY" era stato reso completamente visibile" alla persona designata dall'azienda quale sostituta dell'interessata per il periodo di integrazione salariale, ivi compresi i file di carattere personale. Tale "disguido" sarebbe stato ascrivibile al fatto che la "procedura a suo tempo attivata nei suoi confronti comportava" –nel rispetto della continuit di servizio che l'ufficio del personale era tenuto ad assicurare–, la messa a disposizione del personale operante in sostituzione della reclamante "di qualsiasi documento che era legato al suo profilo personale" (cfr. reclamo del 15 gennaio 2008, cit., p. 4); di tale accessibilit alla propria cartella di rete "non fu data alcuna informativa o informazione alla dipendente XY all'atto della sua sospensione dal lavoro" (cfr. reclamo del 15 gennaio 2008, cit., p. 5). 1.2. L'insieme di file memorizzati all'interno del computer assegnato in dotazione alla reclamante, secondo quanto sostenuto, sarebbe stato quindi oggetto di illecito trattamento da parte della societ, tenuto conto, in particolare, che: nessuna informativa sarebbe stata resa all'interessata in merito alle procedure aziendali volte a garantire "l'accesso ai dati dei dipendenti assenti o sospesi dal servizio e delle attivit poste in essere per avere accesso ai dati medesimi" (cfr. reclamo del 15 gennaio 2008, cit., p. 6); nessuna informativa sarebbe stata altres fornita circa la "sorte" dei dati personali dell'interessata non riconducibili all'attivit lavorativa dalla medesima espletata (cfr. reclamo del 15 gennaio 2008, cit., p. 6); l'accesso alla cartella personale di rete prefigurerebbe una violazione del principio di pertinenza e di non eccedenza nel trattamento (art. 11, comma 1, lett. d), del Codice), "in quanto avente ad oggetto dati personali contenuti in file estranei all'attivit lavorativa" (cfr. reclamo del 15 gennaio 2008, cit., p. 6). L'eccedenza sarebbe tra l'altro confermata dal fatto che "durante l'intero periodo di sospensione dal lavoro per CIGS la esponente sempre stata disponibile e reperibile" mediante il palmare aziendale alla stessa lasciato in uso (cfr. reclamo del 15 gennaio 2008, cit., p. 7); pi in generale, l'accesso indistinto a file di carattere lavorativo e personale (memorizzati sul computer aziendale sia "in locale" che "in rete"), come pure alla casella di posta elettronica in uso all'interessata, risulterebbe in ogni caso inammissibile, "dovendo comunque essere salvaguardati ed esclusi i file estranei alle mansioni" dalla medesima svolte. 1.3. In relazione a tali circostanze, la reclamante ha chiesto a questa Autorit di: a. disporre nei confronti della societ il blocco o il divieto del trattamento di tutti i dati personali contenuti nei file "estranei" alla propria prestazione lavorativa; b. prescrivere nei confronti della medesima societ l'adozione di opportune misure volte a evitare il ripetersi di episodi quali quello oggetto del reclamo proposto; c. prescrivere alla societ di fornire "completa informativa" circa le operazioni di trattamento effettuate sui file presenti all'interno del computer in uso all'interessata (unitamente a quella relativa alla loro ubicazione e sorte). 2. La difesa della societ. 2.1. In replica alle deduzioni della reclamante, la societ, con nota di risposta del 16 giugno 2008 (in atti), ha affermato che: il reclamo presentato dall'interessata non "fa riferimento ad alcun file o cartella personale che si assume in concreto violata", mentre il richiamo all'asserita violazione della casella di posta elettronica della reclamante "emerge quasi –per cos dire– negli obiter dicta, nella parte finale del reclamo" (cfr. nota di risposta del 16 giugno 2008, cit. p. 2). "Neppure dall'esame minuzioso" delle risultanze documentali prodotte dall'istante, peraltro, "emerge[rebbe] alcun accesso ad informazioni o dati che anche solo apparentemente possano essere indicati come "personali"" (cfr. nota di risposta del 16 giugno 2008, cit. p. 3); l'unica operazione posta in essere dalla societ stata "quella di estendere (temporaneamente, a causa della assenza della [stessa] reclamante) le autorizzazioni sulla cartella di rete "XY", destinata [] alla conservazione di documenti professionali, alla persona che, per ovvie e conseguenti oggettive esigenze aziendali ed in base ad una discrezionale valutazione organizzativa della titolare, doveva coprirne –in parte o in toto– il ruolo" (cfr. nota di risposta del 16 giugno 2008, cit. p. 3). 2.2. Nel merito delle specifiche contestazioni mosse, la societ ha affermato in particolare che: nessun accesso stato effettuato e/o assicurato a terzi in ordine alle informazioni strettamente personali riferite alla reclamante, tantomeno a quelle memorizzate "in locale" (cfr. nota di risposta del 16 giugno 2008, cit. p. 5); la mancata disattivazione (temporanea) dell'account, sarebbe addebitabile al periodo feriale fruito dalla reclamante nell'intervallo temporale intercorrente tra il 12 maggio e il 4 giugno 2007 (cfr. nota di risposta del 16 giugno 2008, cit. p. 6); nessun file (in formato excel) memorizzato in locale stato copiato o spostato in aree accessibili a terzi, tenuto conto che le informazioni raccolte (come ammesso dalla stessa reclamante) non sarebbero dati personali alla medesima riferiti, bens "documenti professionali esattamente identici ai file trasmessi agli altri uffici" (cfr. nota di risposta del 16 giugno 2008, cit. p. 7); il mancato tempestivo ripristino delle procedure di accesso alla cartella personale della reclamante "si in effetti verificato", ma non gi per effetto di "un'inesistente vis persecutoria o per una maliziosa intenzione nei confronti" della stessa reclamante, bens "per un errore di comunicazione tra ufficio personale e sistemi informativi, errore peraltro immediatamente ammesso dal responsabile dei sistemi informativi" (cfr. nota di risposta del 16 giugno 2008, cit. p. 8); la reclamante era comunque a conoscenza delle procedure relative alla gestione degli strumenti informatici durante i periodi di assenza dei dipendenti, come si evincerebbe dalle dichiarazioni rese dall'interessata nello stesso reclamo (cfr. nota di risposta del 16 giugno 2008, cit. p. 9); nessun accesso, infine, avvenuto alla casella di posta elettronica della reclamante, vista la corrispondenza e-mail dalla stessa prodotta, dalla quale si pu al pi supporre che, "per un periodo peraltro brevissimo, si [] [siano] verificati malfunzionamenti dell'accesso alla posta via web" (cfr. nota di risposta del 16 giugno 2008, cit. pp. 11 e 12). Alla luce delle argomentazioni addotte, la societ ha chiesto il rigetto del reclamo. 3. Ulteriori osservazioni delle parti 3.1. Con l'ulteriore nota del 16 luglio 2008 (in atti), la reclamante ha dedotto che: la societ non ha provato, mediante documentazione attestante gli interventi di manutenzione effettuati, i "malfunzionamenti tecnici" cui sarebbe stata soggetta la posta elettronica dell'interessata (cfr. nota del 16 luglio 2008, cit., p. 3). Peraltro, alcuni parametri di "sicurezza" della casella di posta elettronica sarebbero stati modificati lo stesso giorno in cui l'interessata ha comunicato alla societ di aver "trovato" la propria cartella personale di rete e la stessa casella di posta elettronica in regime di condivisione con la persona designata dall'azienda quale sostituta della medesima reclamante per il periodo di integrazione salariale (cfr. nota del 16 luglio 2008, cit., p. 3); la cartella personale riferita alla reclamante, al pari di altre, sarebbe stata liberamente accessibile ad altri account (cfr. nota del 16 luglio 2008, cit., p. 8); all'epoca dei fatti, nessun manuale sulla privacy era stato distribuito dalla societ ai dipendenti (cfr. nota del 16 luglio 2008, cit., pp. 14-15); conseguentemente, nessuna informativa era stata resa all'interessata in ordine alle procedure concernenti l'attivazione delle operazioni relative alla sospensione dal lavoro (cfr. nota del 16 luglio 2008, cit., p. 15); la societ non ha adottato le prescritte misure minime di sicurezza, considerato che la "sostituta" della reclamante avrebbe bypassato la password dell'interessata "registrandosi come nuovo account nel PC, in uso abituale alla reclamante, per accedere indiscriminatamente a tutto il patrimonio informativo ed informatico custodito dalla [stessa] reclamante sul PC datole in dotazione" (cfr. nota del 16 luglio 2008, cit., p. 17). 3.2. Di contro, la societ, con nota del 12 settembre 2008 (in atti), ha asserito che: nell'ambito dell'intero procedimento non "emerso il riferimento ad un solo file personale asseritamente violato" (cfr. nota del 12 settembre 2008, cit., p. 2); i sistemi locali di tutti i personal computer dell'azienda sono stati oggetto, nel tempo, di aggiornamento, ragion per cui nessuna modifica sarebbe stata artificiosamente effettuata in ordine ai profili di sicurezza della casella di posta elettronica in uso alla reclamante (cfr. nota del 12 settembre 2008, cit., p. 2); i "profili" che, secondo la reclamante, avrebbero avuto accesso alla sua posta elettronica non costituiscono, in realt "prerogative di accesso di terze persone al database di posta XY [], bens solo policy di esecuzione di programmi/oggetti/script creati da questi utenti" (cfr. nota del 12 settembre 2008, cit., p. 3); peraltro, su un computer aziendale " doveroso, oltre che normale, che siano attivati pi profili, e fra questi taluni dotati di privilegi particolari [] per poter svolgere funzioni di amministrazione "tecnica"" (cfr. nota del 12 settembre 2008, cit., p. 5); l'account della reclamante non "stato immediatamente disattivato in quanto, essendo ella in ferie, non si [] [sono verificate] le condizioni di legge per la disattivazione" (cfr. nota del 12 settembre 2008, cit., p. 6); l'azienda non ha "mai dato alcuna disposizione di accedere ai dati conservati in "locale"" (cfr. nota del 12 settembre 2008, cit., p. 6); i "manuali privacy" relativi alla policy aziendale in tema di trattamenti di dati personali sono stati distribuiti sin dal 2005 (ancorch non in formato elettronico), ragion per cui non troverebbero fondamento le censure rivolte dalla reclamante. Discorso analogo deve essere effettuato in relazione alla formazione degli incaricati, per la quale "l'azienda ha organizzato negli anni diversi eventi formativi in materia" (cfr. nota del 12 settembre 2008, cit., pp. 7 e 8); le formule professionali della reclamante sono costituite, per ammissione della stessa, "al pi di query e di fogli di excel, e dunque di normalissime modalit di utilizzo dei sistemi e dei programmi aziendali finalizzate all'esecuzione della prestazione lavorativa (non certo di opere dell'ingegno n di algoritmi innovativi). Queste modalit sono per natura destinate alla condivisione con i responsabili e con i colleghi" (cfr. nota del 12 settembre 2008, cit., pp. 8 e 9). La societ insiste dunque per il rigetto del reclamo. 4. Trattamento di dati personali e accesso al computer in uso alla reclamante. 4.1. Il presente reclamo verte sul presunto trattamento di dati personali contenuti in alcuni file (asseritamente a carattere professionale e personale) memorizzati all'interno del computer aziendale in uso alla reclamante e nella corrispondenza elettronica alla medesima riferita. Merita preliminarmente rilevare che esula dall'oggetto del presente provvedimento la valutazione delle richieste (peraltro di non chiara formulazione) avanzate dalla reclamante in ordine alle "prescrizioni" da impartire alla societ al fine di fornire informazioni circa le ritenute "operazioni di trattamento" compiute sui file personali presenti all'interno del computer e della cartella personale in uso alla stessa, unitamente a quelle relative alla loro "ubicazione e/o sorte". Tale profilo, in relazione agli eventuali dati personali contenuti all'interno dei documenti oggetto di accesso, potrebbe essere fatto eventualmente valere innanzi a questa Autorit, previo esercizio dei diritti previsti dall'art. 7 del Codice nei confronti del titolare del trattamento, con il diverso strumento del ricorso, disciplinato dagli artt. 145 e ss. del Codice. Risulta peraltro irrilevante l'ulteriore profilo sollevato dalla reclamante in ordine al mancato rilascio dell'informativa relativa all'accessibilit alla propria cartella di rete per finalit di continuit del servizio aziendale, tenuto conto che dalla documentazione in atti risulta che al personale dipendente viene rilasciata la prescritta informativa di cui all'art. 13 del Codice (la quale, tra l'altro, prevede che i dati riferiti ai lavoratori "possono essere comunicati ad altri dipendenti/collaboratori del Gruppo La Perla [] per sole ragioni di organizzazione e svolgimento del lavoro" (cfr. documento programmatico sulla sicurezza del 31 marzo 2007, all. n. 18 al reclamo, p. 344). Nessuna competenza, inoltre, attribuita dalla legge al Garante in ordine all'eventuale ricorrenza, nel caso di specie, dei presupposti per l'applicabilit della disciplina a tutela delle opere dell'ingegno (con specifico riferimento alle "formule professionali" ritenute tali dalla reclamante e contestate dalla societ). Eventuali controversie, al riguardo, potranno formare oggetto di esame, se del caso, innanzi all'autorit giudiziaria ordinaria. 4.2. Nel merito della vicenda segnalata, occorre evidenziare che dal complesso degli elementi acquisiti agli atti e dalle dichiarazioni rese (della cui veridicit gli autori possono essere chiamati a rispondere in sede penale ai sensi dell'art. 168 del Codice) non risulta allo stato provato che la societ abbia reso accessibili a terzi non autorizzati dati personali concretamente riferibili alla reclamante, n per quanto concerne i file memorizzati sul disco fisso, n in relazione ai file presenti nella cartella di rete "XY". Rispetto al primo profilo, premesso che, in termini generali, al fine di ottimizzare l'uso dell'infrastruttura tecnologica all'interno di un'azienda, pu risultare giustificato rendere accessibili a utenti diversi le singole postazioni di lavoro (nel rispetto delle istruzioni impartite a ciascun incaricato dal titolare del trattamento), merita rilevare, in ordine alla fattispecie in esame, che alla luce della documentazione prodotta (ad opera sia della reclamante che della societ), non risulta allo stato provato che la societ abbia concretamente messo a disposizione di terzi (n di soggetti diversi da altri dipendenti che non fossero incaricati del trattamento) dati personali riferibili all'interessata, tenuto conto che le uniche informazioni che risultano esser state rese accessibili sono riconducibili esclusivamente ad un certo numero di file (documenti di testo, tabelle e fogli elettronici), peraltro a quanto consta riferibili all'attivit lavorativa svolta dalla reclamante per conto della medesima societ. Parimenti, le risultanze documentali non risultano per s sole idonee a comprovare l'effettiva presenza, nei file e documenti memorizzati all'interno della cartella di rete denominata "XY" assegnata alla reclamante, di dati personali riferiti all'interessata. La documentazione in atti ha evidenziato che la cartella di rete denominata "XY" risulta collocata – unitamente ad altre cartelle individuali e ad accesso condiviso – all'interno di altra cartella denominata "Ufficio personale" (nota 16 luglio 2008, all. D) e che la societ risulta aver predisposto i necessari controlli di accesso e di autenticazione, differenziando sul server di rete le cartelle ad accesso "libero" da quelle ad accesso "riservato" (cfr. all. n. 18 al reclamo, pagg. 63 e 89). Peraltro tutte le cartelle risultano essere configurate per assicurare "la disponibilit dei dati in caso di emergenza" (cfr. dps predisposto dalla societ, all. 18 al reclamo, pp. 89-90). A tale proposito deve rilevarsi che, dall'insieme degli elementi raccolti, non risultano chiare le condizioni di accesso da parte della societ (o di suoi incaricati) alle cartelle assegnate ai dipendenti (e per le quali risulti ammesso un uso personale, tale da consentire, almeno in astratto, che nelle medesime siano anche custoditi dati personali degli interessati). Da un lato, in ragione della locuzione utilizzata, che non consente di comprendere univocamente quali siano le condizioni di "emergenza" che giustificherebbero l'accesso da parte di altri incaricati; dall'altro, la circostanza che tali condizioni (seppur confusamente) sono contenute nel dps (documento che, in ragione della sua destinazione, non forma oggetto di consultazione da parte del personale). Il Garante ritiene pertanto di dover prescrivere alla societ, considerato il principio di correttezza (art. 11, comma 1, lett. a) del Codice) e quale misura ai sensi dell'art. 154, comma 1, lett. c), del Codice, l'obbligo di fornire una chiara informativa ai dipendenti (nel caso in cui agli stessi sia consentito o sia comunque tollerato un uso "personale", ancorch limitato, delle risorse informatiche aziendali) circa le condizioni, le finalit e le modalit con le quali vengono rese accessibili le cartelle "personali" di rete, definendo altres puntualmente le situazioni di "emergenza" che ne giustificherebbero un'eventuale visibilit a terzi regolarmente autorizzati. Indicazioni che, opportunamente, potrebbero essere formulate mediante un apposito disciplinare interno (eventualmente associandole alle indicazioni pi in generale fornite per l'uso di tutti i sistemi informativi rientranti nella dotazione degli incaricati, conformemente a quanto gi suggerito, con particolare riferimento all'utilizzo di internet e della posta elettronica, da questa Autorit con le Linee guida per posta elettronica e internet del 10 marzo 2007), fugando cos nei destinatari equivoci e chiarendo l'estensione di eventuali legittime aspettative. Si ritiene, inoltre, di dover prescrivere alla medesima societ, ai sensi dei menzionati artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice, di integrare le istruzioni contenute nel citato dps, specificando in forma chiara e puntuale le condizioni, le finalit e le modalit di utilizzo di aree virtuali eventualmente destinate ad un uso "personale" da parte dei dipendenti. TUTTO CI PREMESSO, IL GARANTE ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive a La Perla s.r.l., di: a. fornire una chiara informativa ai dipendenti, anche mediante disciplinare interno autonomo e distinto dal dps, circa le condizioni, le finalit e le modalit con le quali vengono rese accessibili le cartelle "personali" di rete, definendo altres le situazioni di "emergenza" che ne giustificherebbero un'eventuale visibilit a terzi regolarmente autorizzati (punto 4.3); b. integrare le istruzioni contenute nel citato dps, specificando in forma chiara e puntuale le condizioni, le finalit e le modalit di utilizzo di aree virtuali eventualmente destinate ad un uso "personale" da parte dei dipendenti, rendendo questi ultimi edotti di tale facolt (punto 4.3). Roma, 2 ottobre 2009 Il presidente Il relatore Il segretario generale |