Il Garante ha di recente sanzionato una società di trasporto pubblico per il trattamento illecito dei dati personali degli operatori addetti al suo call center (qui l’ordinanza ingiunzione).

La società ha violato la disciplina di protezione dei dati personali e le specifiche norme di settore in materia di controllo a distanza dei lavoratori.

La disciplina del controllo a distanza dei lavoratori

Secondo l’art. 4 dello Statuto dei Lavoratori, gli strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere utilizzati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e solo previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali. In mancanza di accordo, previa autorizzazione della sede territoriale dell’Ispettorato nazionale del lavoro (comma 1).

Tale disciplina non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze (comma 2).

In entrambi i casi, le informazioni raccolte sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dalla normativa sulla privacy (comma 3).

Il GDPR prevede che gli stati membri possano introdurre norme più specifiche per assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro. Tali norme includono misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati anche per quanto riguarda i sistemi di monitoraggio sul posto di lavoro.

L’art. 114 del Codice della Privacy, titolato “Garanzie in materia di controllo a distanza” richiama quanto disposto dall’articolo 4 della legge 20 maggio 1970, n. 300.

Il caso  

La vicenda ha avuto origine dal reclamo di un dipendente di una società a totale partecipazione pubblica, affidataria del servizio di trasporto pubblico locale.

Nel corso dell’istruttoria il Garante ha verificato che:

• i dipendenti non avevano ricevuto un’informativa adeguata, in quanto la stessa non riportava tutte le informazioni richieste dall’art. 13 del Regolamento per assicurare un trattamento corretto e trasparente, quali, in particolare, l’indicazione dei diritti degli interessati di cui agli artt. 15-22 del Regolamento e il diritto di proporre reclamo all’autorità di controllo;
• il sistema era dotato di funzionalità che permettevano anche la memorizzazione e riascolto delle telefonate, nonché la raccolta di informazioni di dettaglio (meta informazioni: il nome dell’operatore, il numero chiamante, la data e l’ora della chiamata), associate in via diretta al dipendente che gestiva la telefonata con l’utente, conservandole per un tempo indeterminato;
• la Società aveva trattato i dati senza rispettare i principi di minimizzazione e di limitazione del periodo di conservazione dei dati e non aveva neppure adottato misure tecniche e organizzative adeguate a garantire la riservatezza e l’integrità dei dati personali trattati.

Nel corso del procedimento la società si è difesa deducendo che:

• il call center aziendale era uno dei canali principali per la diffusione delle informazioni all’utenza e che l’attivazione delle registrazioni delle telefonate era giustificata dalla necessità di verificare gli standard qualitativi e di gestire gli eventuali reclami;
• il sistema utilizzato costituiva uno strumento di lavoro ai sensi dell’art. 4 comma 2 dello Statuto dei Lavoratori e quindi la registrazione delle telefonate intercorse tra utenza e operatori di call center era consentita senza la necessità di sottoscrizione di un previo accordo sindacale o della previa autorizzazione dell’INL, essendo sufficiente adeguata informativa;
• l’informativa era stata predisposta e fornita in formato cartaceo al personale interessato prima di attivare il sistema di registrazione telefonica;
• erano stati convocati all’epoca i sindacati per informarli dell’implementazione delle nuove funzionalità.

Le conclusioni del Garante

Sulla base delle informazioni raccolte il Garante ha ritenuto che, in considerazione delle caratteristiche del software adottato, il sistema di gestione delle telefonate doveva essere considerato come un’attività di controllo a distanza dei dipendenti e non poteva essere considerato come un semplice strumento di lavoro.

Tale conclusione è in linea con quando precisato dall’Ispettorato nazionale del lavoro con riguardo agli strumenti di supporto all’attività dei call center, per cui “possono essere considerati strumenti di lavoro” (ai sensi dell’art. 4, comma 2 della l. n. 300/1970) i sistemi che consentono “il mero collegamento tra la chiamata e l’anagrafica del cliente senza ulteriori elaborazioni”, viceversa, negli altri casi, ad esempio quando consentono di effettuare anche “ulteriori elaborazioni”, essi sono comunque atti a realizzare un indiretto e preterintenzionale “monitoraggio dell´attività telefonica” effettuata dagli operatori addetti al call center con possibilità di ricostruirne anche indirettamente l’attività. Tali strumenti che comportano “un controllo ‘incidentale’ sull’attività del lavoratore” rientrano, quindi, nell’ambito di applicazione dell’art. 4, comma 1, della l. n. 300/1970.

In questo caso il sistema consentiva anche altre operazioni di trattamento e “ulteriori elaborazioni” e, nello specifico, la registrazione delle chiamate e la memorizzazione delle meta informazioni ad esse relative, associate direttamente ai nominativi dei dipendenti che le avevano effettuate nell’ambito della propria attività lavorativa.

La diretta conseguenza è che, l’utilizzo di tale software richiedeva un previo accordo sindacale o, in alternativa, l’autorizzazione dell’Ispettorato. Non bastava dunque la mera condivisione con le organizzazioni sindacali di un documento informativo.

La sanzione

In forza delle conclusioni raggiunte il Garante ha applicato una sanzione amministrativa di € 30.000.

Al fine di quantificare la sanzione l’Autorità ha tenuto conto del fatto che la Società aveva prestato la propria collaborazione nel corso dell’istruttoria, provvedendo ad adottare, già a seguito dell’attività ispettiva condotta dall’Ufficio, taluni primi correttivi ai trattamenti oggetto di reclamo e provvedendo inoltre prontamente a disattivare il sistema di gestione delle telefonate oggetto del procedimento.