50 mila euro di sanzione sono state comminate dal Garante privacy alla nota società del settore dell'abbigliamento H&M Hennes & Mauritz s.r.l. per aver installato sistemi di videosorveglianza in violazione del Regolamento europeo, del Codice privacy e dello Statuto dei lavoratori.
Le nuove modalità di controllo automatizzato del green pass introdotte dal Dpcm del 12 ottobre scorso devono consentire la raccolta dei soli dati strettamente necessari per l’applicazione delle misure conseguenti al mancato possesso. La presenza in azienda di un sistema costituito da totem per la verifica delle certificazioni, terminali di lettori badge per il controllo accessi con attivazione automatica di tornelli e software di gestione presenze comporta, per il suo funzionamento, il controllo automatico e il trattamento di dati personali presenti nei database dell’organizzazione.
Una società manifatturiera non potrà più utilizzare i dati dei dipendenti trattati illecitamente attraverso un sistema informatico in uso presso l’azienda. La società non aveva informato correttamente i lavoratori delle caratteristiche del sistema che aveva impiegato anche oltre i limiti stabiliti dall’autorizzazione dell’Ispettorato territoriale del lavoro. Per questi motivi dovrà pagare una sanzione di 40mila euro e mettersi in regola con le misure correttive stabilite dal Garante per la privacy.
Quello dei “furbetti del cartellino” è da tempo un problema spinoso che datori di lavoro pubblici e privati cercano di risolvere, escogitando spesso soluzioni tecnologiche che non sempre però sono rispettose della normativa sulla protezione dei dati personali.
Adesso che si dispone, grazie agli adeguamenti apportati dal recentissimo decreto 101 del 4 luglio 2018, di un testo aggiornato del nostro Codice Privacy, possiamo dire cosa c’è di nuovo in tema di trattamenti nell’ambito dei rapporti di lavoro e controlli sui dipendenti. Ricordiamo che il Regolamento ha rinviato alla normazione nazionale la tematica (cons. 155 e art. 88). In particolare l’articolo 88 del Regolamento definisce in modo ampio gli ambiti e le finalità dei trattamenti in tema di rapporti di lavoro, che possono essere regolati mediante regole più precise “da legge o tramite contratti collettivi”.
I sistemi di localizzazioni Gps installati su furgoni aziendali devono essere già forniti in configurazione adattabile e configurabile alla normativa privacy nonché alle specifiche esigenze del cliente utilizzatore: è il contenuto dell'innovativo provvedimento n. 396 della Autorità Garante per la protezione dei dati del 28 giugno scorso. Una società esercente attività di distribuzione e commercializzazione di impianti per saldatura/macchine per saldare e relativa assistenza ai clienti aveva installato sui propri furgoni, a scopo di tutela dei beni aziendali e per garantire interventi di riparazione tempestivi, dispositivi di geo-localizzazione mediante sistema Gps.
La pubblicazione, qualche giorno fa, da parte dell’European Data Protection Board(l’“Edpb” o il “Comitato”, ossia l’organo che, dopo l’entrata in vigore del Regolamento n. 679/2016 (Gdpr), ha sostituito il vecchio Gruppo dei Garanti Europei, istituito dall’art. 29 della Direttiva 95/46, abrogata dal Gdpr), dell’“Opinion on the draft list of the competent supervisory authority of Italy regarding the processing operations subjects to the requirement of a data protection impact assessment”, costituisce un importante avvenimento per due motivi.
I dati dei lavoratori non si trattano in base al loro consenso. Se si segue questa strada (sbagliata), al datore di lavoro può arrivare una sanzione molto salata. Come è successo a una grande società (Price Waterhouse Business Solution), sanzionata dal Garante della privacy greco a pagare 150 mila euro. Il provvedimento, n. 26/2019, si segnala anche per un altro motivo. Il Garante greco ha sanzionato per la violazione dell'articolo 5 del Gdpr, che è una disposizione formulata in maniera generalissima, tale da essere applicata per ogni violazione, piccola o grande, sostanziale o formale, anche quando non si accerta la violazione di una norma specifica.
Il D.lgs. n. 24/2023 ha previsto alcune operazioni di trattamento in ambito whistleblowing che necessitano del consenso dell’interessato (art. 6 e 7 del GDPR), quale condizione di liceità per specifiche finalità. Tali trattamenti sono previsti dall’art. 12 (obbligo di riservatezza), paragrafi 2 e 5 e dalla art. 14 (conservazione della documentazione), paragrafi 2 e 4, del citato Dlgs. n. 24/2023.
Con sentenza n. 21888 del 9 ottobre 2020 la Corte di Cassazione si è nuovamente pronunciata sulla legittimità dei controlli "occulti" svolti dal datore di lavoro, che – nella fattispecie esaminata – riguardano il caso di un lavoratore licenziato per giusta causa in considerazione della scarsa diligenza con la quale aveva reso la prestazione (un "pervicace ritardo nell'esecuzione della prestazione") nonchè per una perdurante inosservanza degli obblighi e dei doveri di servizio nello svolgimento delle mansioni assegnate (nel caso esaminato, si trattava di un lavoratore con mansioni di portalettere).
