Garante privacy, no al controllo indiscriminato dei lavoratori su internet

• No al controllo della navigazione internet dei lavoratori
• Il trattamento dei dati deve rispettare il Gdpr
• L'Autorità al sindaco: via dai social foto di minori disagiati
• Telemarketing, l'Autorità sanziona Iren per 3 mln di euro

No al controllo della navigazione internet dei lavoratori

Non si può monitorare la navigazione internet dei lavoratori in modo indiscriminato. A stabilirlo è il Garante per la protezione dei dati personali in un provvedimento sanzionatorio nei confronti del Comune di Bolzano, avviato in base ad un reclamo presentato da un dipendente che, nel corso di un procedimento disciplinare, aveva scoperto di essere stato costantemente controllato. L'amministrazione, che inizialmente gli aveva contestato la consultazione di Facebook e Youtube durante l'orario di lavoro, aveva poi archiviato il procedimento per l'inattendibilità dei dati di navigazione raccolti.

Indipendentemente da specifici accordi sindacali, le eventuali attività di controllo devono comunque essere sempre svolte nel rispetto dello Statuto dei lavoratori e della normativa sulla privacy. Da accertamenti si era scoperto un sistema di controllo e filtraggio della navigazione internet dei dipendenti,attuato dal comune in questione, con la conservazione dei dati per un mese e la creazione di apposita reportistica, per finalità di sicurezza della rete.

Il trattamento dei dati deve rispettare il Gdpr

Nonostante il datore di lavoro avesse stipulato un accordo con le organizzazioni sindacali, come richiesto dalla disciplina di settore, il Garante ha chiarito che il trattamento di dati deve comunque rispettare anche i principi di protezione dei dati previsti dal Gdpr. E invece il sistema, secondo quanto appurato dall'Autorità «consentiva operazioni di trattamento non necessarie e sproporzionate rispetto alla finalità di protezione e sicurezza della rete interna, effettuando una raccolta preventiva e generalizzata di dati relativi alle connessioni ai siti web visitati dai singoli dipendenti. Il sistema raccoglieva inoltre anche informazioni estranee all'attività professionale e comunque riconducibili alla vita privata dell'interessato».

Il provvedimento ha inoltre chiarito che «l'esigenza di ridurre il rischio di usi impropri della navigazione in Internet non può portare al completo annullamento di ogni aspettativa di riservatezza dell'interessato sul luogo di lavoro, anche nei casi in cui il dipendente utilizzi i servizi di rete messi a disposizione del datore di lavoro».

I risultati dell'istruttoria hanno portato a riscontrare violazioni anche in merito al trattamento dei dati relativi alle richieste di accertamento medico straordinario da parte dei dipendenti, effettuate attraverso un apposito modulo, Il modulo, messo a disposizione dall'amministrazione, prevedeva la presa visione obbligatoria da parte del dirigente dell'unità organizzativa, circostanza che comportava un trattamento di dati sulla salute illecito. Il Garante, tenendo conto della piena collaborazione dell'amministrazione, ha disposto una sanzione di 84.000 euro per l'illecito trattamento dei dati del personale. A ciò si aggiungano le misure tecniche e organizzative «per anonimizzare il dato relativo alla postazione di lavoro dei dipendenti, cancellare i dati personali presenti nei log di navigazione web registrati, nonché aggiornare le procedure interne individuate e inserite nell'accordo sindacale».

L'Autorità al sindaco: via dai social foto di minori disagiati

Tra i provvedimenti presi dal Garante figura anche una decisione che intima ad un primo cittadino l'eliminazione dal profilo social di foto e video di minori disagiati poiché si tratta di una pubblicazione lesiva della privacy e la dignità delle persone.

Il Garante della privacy ha spiegato che, nel denunciare situazioni di degrado presenti nel suo Comune, un sindaco non può pubblicare sulle proprie pagine social immagini e video in chiaro di minorenni disabili e di persone disagiate, o di presunti autori di trasgressioni esponendoli ai commenti offensivi degli utenti del social network.

Al sindaco di Messina dunque è stato ordinato di rimuovere dal proprio profilo le immagini pubblicate e sanzionandolo per 50mila euro.

Telemarketing, l'Autorità sanziona Iren per 3 mln di euro

Un altro provvedimento dell'Autorità si è occupato invece di Telemarketing ed ha stabilito che il consenso di un cliente va acquisito per ciascun passaggio dei dati tra più titolari. Il Garante ha comminato una sanzione di circa 3 milioni di euro ad Iren Mercato S.p.A., società operante nel settore energetico, per non aver verificato che tutti i passaggi dei dati dei destinatari delle promozioni fossero coperti da consenso. A seguito di diversi reclami e segnalazioni il Garante ha accertato che la società aveva infatti trattato dati personali per attività di telemarketing, che non aveva raccolto direttamente, ma che aveva acquisito da altre fonti. Iren infatti aveva ottenuto liste di anagrafiche da una S.r.l., che a sua volta le aveva acquisite, in veste di autonomo titolare del trattamento, da altre due aziende. Queste ultime società avevano ottenuto il consenso dei potenziali clienti per il telemarketing effettuato sia da loro che da parte di terzi, ma tale consenso non copriva anche il passaggio dei dati dei clienti dalla S.r.l. all'Iren.