Pubblico impiego: no al controllo indiscriminato degli accessi ad internet dei dipendenti.

Garante per la protezione dei dati personali, ordinanza del 31 maggio 2021.

Una dipendente del Comune di Bolzano ha lamentato la violazione della disciplina di protezione dei dati personali con riguardo al trattamento di dati posti in essere dall’Ente mediante il monitoraggio del traffico di rete e dei singoli accessi ad Internet effettuati dall’interessato e, in generale, dai dipendenti comunali.

La dipendente ha lamentato che l’Ente avrebbe trattato dati personali relativi alla sua navigazione in Internet, durante l’orario di lavoro, e di aver ricevuto una comunicazione di avvio di procedimento disciplinare, nella quale le veniva contestato di essersi collegata a Facebook, a YouTube ed aver consultato pagine Internet non inerenti al suo lavoro, come risultanti dai tabulati del traffico dati del Comune di Bolzano.

Con il reclamo è stata lamentata l’inosservanza dei principi di liceità, correttezza e minimizzazione nel trattamento dei dati personali dei dipendenti del Comune, atteso che il sistema di registrazione degli accessi ad Internet impiegato dall’Ente consentirebbe di controllare, tracciare, filtrare in maniera massiva, costante e indiscriminata la cronologia dei siti internet visitati e il tempo di navigazione di per ciascun sito, nonché la memorizzazione e la conservazione di tali dati associati a ciascun dipendente per un lungo periodo di tempo.

Il trattamento sarebbe avvenuto in assenza di un’informativa ai dipendenti in merito ai possibili controlli sugli accessi ad Internet da parte del datore di lavoro.

La disciplina di protezione dei dati personali consente che il datore di lavoro tratti i dati personali, anche relativi a categorie particolari di dati, dei lavoratori nel rispetto dei principi generali del trattamento e se il trattamento è necessario per adempiere a specifici obblighi o compiti previsti dalla normativa nazionale o dell’Unione, in particolare per finalità di gestione del rapporto di lavoro oppure per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento.

Il datore di lavoro deve, inoltre, rispettare le norme nazionali, che includono misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati anche per quanto riguarda i sistemi di monitoraggio sul posto di lavoro.

Nel rispetto del principio di liceità, correttezza e trasparenza, il titolare del trattamento deve adottare misure appropriate per fornire all'interessato tutte le informazioni previste dal Regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile.

Il Comune ha adottato, invece, un sistema che consente il tracciamento generalizzato degli accessi ad Internet da parte dei dipendenti e la memorizzazione, per trenta giorni, di informazioni di natura personale.

Il trattamento risulta essere stato effettuato in violazione dell’obbligo previsto dall’articolo 13 del Regolamento, nonché, attesa la frammentarietà delle informazioni contenute in molteplici atti, diversi per natura e funzione, stratificatisi nel tempo dall’amministrazione, non in conformità al principio di correttezza e trasparenza.

In base al Regolamento, il trattamento deve essere necessario rispetto alla lecita finalità perseguita e avere ad oggetto i soli dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.

Il sistema adottato dal Comune ha, invece, dato luogo a una raccolta sistematica di dati relativi all’attività e all’utilizzo dei servizi di rete da parte dipendenti direttamente identificabili.

Il sistema utilizzato dal Comune, effettuando una raccolta sistematica dei dati di navigazione dei dipendenti comportava inevitabilmente il trattamento di informazioni anche estranee all’attività professionale e risultava, pertanto, in contrasto con il divieto per il datore di lavoro di trattare dati non attinenti alla valutazione dell’attitudine professionale.

L’esigenza di ridurre il rischio di usi impropri della navigazione in Internet da parte dei dipendenti, consistenti in attività non correlate alla prestazione lavorativa non può giustificare ogni forma di interferenza nella vita privata, ma può essere soddisfatta mediante la predisposizione di misure tecniche e organizzative idonee.

Il datore di lavoro può utilizzare, per ulteriori trattamenti necessari alla gestione del rapporto di lavoro, solo le informazioni raccolte nel rispetto delle condizioni e dei limiti previsti dall’articolo 4 della legge 300/1970 e della disciplina di protezione dati. Tali successive ed eventuali operazioni di trattamento presuppongono quindi la necessità di fornire agli interessati un’adeguata informativa sui trattamenti che il datore di lavoro si riserva di effettuare e l’opportuna configurazione dei sistemi in modo che siano attuate le sole operazioni necessarie e raccolti i soli dati pertinenti in relazione alla finalità principale per la quale i dati sono originariamente trattati.

Nel caso affrontato, invece, i dati relativi alla navigazione web, sono stati raccolti e trattati in modo non proporzionato e non conforme alla disciplina in materia di protezione dei dati personali, e senza un’adeguata informativa. Il Garante, in definitiva, ha rilevato l’illiceità del trattamento effettuato ed ha ingiunto, tra l’altro, al Comune di Bolzano di pagare la somma di 84.000,00 euro.

15 settembre 2021