Lavoro: no al controllo indiscriminato di e-mail e navigazione Internet

Verifiche indiscriminate sulla posta elettronica e sulla navigazione web del personale sono in contrasto con il Codice della privacy e con lo Statuto dei lavoratori. Questa la decisione adottata dal Garante [doc. web n. 5408460], che ha vietato a un´università il monitoraggio massivo delle attività in Internet dei propri dipendenti. Il caso era sorto proprio per la denuncia del personale tecnico-amministrativo e docente, che lamentava la violazione della propria privacy e il controllo a distanza posto in essere dall´Ateneo.

Nel corso dell´istruttoria, l´amministrazione ha respinto le accuse, sostenendo che l´attività di monitoraggio delle comunicazioni elettroniche era attivata saltuariamente, e solo in caso di rilevamento di software maligno e di violazioni del diritto d´autore o di indagini della magistratura. L´Università aveva inoltre aggiunto che non venivano trattati dati personali  dei dipendenti che si connettevano alla rete. L´istruttoria del Garante ha invece evidenziato che i dati raccolti erano chiaramente riconducibili ai singoli utenti, anche grazie al tracciamento puntuale degli indirizzi Ip (indirizzo Internet) e dei Mac Address (identificativo hardware) dei pc assegnati ai dipendenti.

L´infrastruttura adottata dall´Ateneo, diversamente da quanto affermato, consentiva poi la verifica costante e indiscriminata degli accessi degli utenti alla rete e all´e-mail, utilizzando sistemi e software che non possono essere considerati, in base alla normativa, "strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa". Tali software, infatti, non erano necessari per lo svolgimento della predetta attività ed operavano, peraltro, in background, con modalità non percepibili dall´utente. E´ stato così violato lo Statuto dei lavoratori - anche nella nuova versione modificata dal cosiddetto "Jobs Act" – che in caso di controllo a distanza prevede l´adozione di specifiche garanzie per il lavoratore.

Nel provvedimento il Garante ha rimarcato che l´Università avrebbe dovuto privilegiare misure graduali che rendessero assolutamente residuali i controlli più invasivi, legittimati solo in caso di individuazione di
specifiche anomalie, come la rilevata presenza di virus. In ogni caso, si sarebbero dovute prima adottare misure meno limitative per i diritti dei lavoratori.

L´Autorità ha infine riscontrato che l´Università non aveva fornito agli utilizzatori della rete un´idonea informativa privacy, tale non potendosi ritenere la mera comunicazione al personale del Regolamento relativo al corretto utilizzo degli strumenti elettronici, violando così il principio di liceità alla base del trattamento dei dati personali.  L´Autorità ha quindi dichiarato illecito il trattamento dei dati personali così raccolti e ne ha vietato l´ulteriore uso, imponendo comunque la loro conservazione per consentirne l´eventuale acquisizione da parte della magistratura.

Newsletter promozionali: no senza consenso

No alle newsletter promozionali senza consenso. È quanto ha riaffermato il Garante per la privacy [doc. web n. 4988238] affrontando il caso di un utente che lamentava la ricezione sulla propria mail di una newsletter a carattere promozionale proveniente dall´indirizzo di posta elettronica di una società che opera nell´e-commerce di articoli medicali. La comunicazione, giunta all´utente dopo l´acquisto on line di alcuni prodotti sul sito della società,  era stata inviata senza che avesse fornito un esplicito e specifico consenso al ricevimento di materiale pubblicitario. Una procedura più volte sanzionata dall´Autorità perché in aperta violazione con quanto stabilito dal Codice sulla protezione dei dati personali.

Dalle verifiche effettuate dall´Autorità sul sito dell´azienda è emerso che gli utenti non solo non potevano esprimere uno specifico consenso per le finalità di marketing ma erano per di più impossibilitati a procedere all´acquisto di un prodotto senza aver prima fornito un generico consenso al "trattamento dei dati personali". Inoltre, dai riscontri è risultato che anche l´informativa fornita dalla società presentava profili di inidoneità, non specificando le modalità di contatto per lo svolgimento di attività a contenuto promozionale.

Il Garante ha quindi vietato alla società l´ulteriore trattamento per finalità di marketing dei dati personali raccolti in assenza di idonea informativa e di consenso legittimamente manifestato, imponendole, inoltre, la riformulazione del form con il quale si chiede il consenso, l´integrazione del testo con le modalità utilizzate per il contatto promozionale e, infine, l´adozione delle misure opportune affinché la manifestazione del consenso da parte degli interessati al trattamento per finalità di marketing non sia condizione necessaria per il perfezionamento dell´acquisto tramite sito web.

L´Autorità si è riservata di verificare, con autonomo procedimento, la sussistenza dei presupposti per contestare le violazioni amministrative concernenti l´inidonea informativa e il consenso per l´utilizzo dei dati a fini di marketing.

Ecco il Nucleo Speciale Privacy, Reparto della Guardia di Finanza

Il "Codice in materia di trattamento dei dati personali" (art. 158, comma 2, del D.Lgs. 30 giugno 2003, n. 196) stabilisce che, per lo svolgimento delle sue funzioni, l’Autorità Garante per la protezione dei dati personali si avvale, ove necessario, anche della collaborazione di altri organi dello Stato.

Il Dott. Antonello Soro, Presidente dell’Autorità e il Gen. C.A. Saverio Capolupo, Comandante Generale pro tempore della Guardia di Finanza, hanno sottoscritto un Protocollo d’Intesa nell’ambito di questo quadro normativo e in attuazione dei principi contenuti nel D.Lgs. n. 68/2001 il 10 marzo 2016 che ribadisce la competenza generale del Corpo in materia economico-finanziaria e ne prevede espressamente la collaborazione con le Autorità indipendenti.

Tale protocollo, che ha sostituito quello sottoscritto una prima volta il 26 settembre 2002, si colloca nel solco dei consolidati rapporti di collaborazione del Corpo con altre istituzioni pubbliche e in particolare con il Garante per la protezione dei dati personali.

Esso testimonia gli ottimi risultati sin qui ottenuti e la volontà di adeguare il testo alle modifiche di carattere normativo e ordinativo del Corpo, assicurando il proprio sostegno a un comparto delicato come quello della tutela dei dati personali.

Per le attivazioni e i relativi riscontri operativi, il Garante attiva il Nucleo Speciale Privacy, quale Reparto della Guardia di Finanza individuato per assicurare - su tutto il territorio nazionale o previo interessamento del Reparto territorialmente competente - gli adempimenti connessi all’attività di collaborazione.

Nel suddetto Nucleo Speciale sono concentrate le migliori professionalità del settore, sia dal punto di vista operativo che per quanto riguarda le funzioni di analisi dei fenomeni che toccano il comparto.

Lo scopo del protocollo è in definitiva quello di assicurare all’Autorità, tramite l’Unità Speciale, un’efficace collaborazione allo svolgimento delle sue funzioni ispettive, conoscitive e informative sui fenomeni che riguardano il trattamento dei dati personali.

In particolare, il Corpo collabora all’attività ispettiva condotta dall’Autorità attraverso:

• il reperimento di dati e informazioni sui soggetti da controllare;
• l’assistenza nei rapporti con le Autorità Giudiziarie;
• la partecipazione di proprio personale agli accessi alle banche dati, ispezioni, verifiche e alle altre rilevazioni nei luoghi ove si svolge il trattamento;
• lo sviluppo delle attività delegate o sub-delegate per l’accertamento delle violazioni di natura penale o amministrativa;
• la contestazione delle sanzioni amministrative rilevate nell’ambito delle attività delegate;
• l’esecuzione di indagini conoscitive sullo stato di attuazione della citata Legge in settori specifici.

Con il presente protocollo sono state previste più strette sinergie nell’attività di informazione in tema di protezione dei dati personali, mediante il supporto dell’Autorità nei processi di formazione del personale in materia di protezione dei dati personali.

La firma del nuovo protocollo assume particolare rilievo perché la Guardia di Finanza conferma di essere il principale interlocutore istituzionale dell’Autorità in materia di accertamento delle violazioni alla normativa sui dati personali. Viene confermata la competenza del personale del Corpo nel particolare comparto, grazie alle specializzazioni professionali maturate nelle attività di polizia giudiziaria e amministrativa.

Si rafforza così la presenza della Guardia di Finanza in un comparto che suscita notevole interesse nella collettività, perché riguarda un insieme di diritti sempre più sentiti dai cittadini, oltre che oggetto di importanti interventi legislativi.

Tlc, no alla pesca a strascico sul web per formare gli elenchi telefonici

No ai software che "pescano" on line in maniera sistematica e indiscriminata dati e informazioni per realizzare elenchi telefonici. Le società che intendono costituire questo tipo di pubblicazione, cartacea o on line, devono utilizzare il data base unico (dbu), l´archivio elettronico che raccoglie  numeri di telefono e  altri dati dei clienti di tutti gli operatori nazionali di telefonia fissa e mobile. In alternativa,  devono acquisire il consenso libero, informato, specifico per ogni finalità che si intende perseguire (come la consultazione on line dell´elenco o la "ricerca inversa" delle generalità di un abbonato attraverso il numero di telefono).

 

Questi principi sono stati ribaditi dal Garante privacy che ha dichiarato illecito e ha vietato ad una società la formazione e la diffusione on line di un elenco telefonico contenente dati di oltre 12.500.000 persone non raccolti dal dbu ma da altri siti web (mediante web scraping) senza il consenso degli utenti [doc. web n. 6053915]. I dati trattati in modo illecito dovranno essere cancellati dalla società.

 

Le numerose segnalazioni pervenute all´Autorità lamentavano la diffusione sul sito della società di un elenco telefonico on line contenente vari dati personali (nome e cognome, indirizzo, recapito telefonico, a volte anche utenze riservate, numero di cellulare o indirizzo email) raccolti senza consenso. Alcuni segnalanti, inoltre, associavano la ricezione di telefonate promozionali indesiderate alla messa a disposizione dei propri dati sul sito. Dagli accertamenti effettuati è emerso che la società gestiva un sito in cui aggregava e rendeva disponibili i numeri di telefonia fissa e altri dati personali raccolti in maniera automatica e sistematica attraverso script  lanciati direttamente sulle fonti web acquisendone i contenuti (web scraping). Gli script, come affermato dalla società, erano impostati in modo tale da raccogliere qualsiasi informazione pubblicata su fonti web accessibili a tutti, per poi metterla a disposizione degli utenti del sito della società.

 

Nel disporre il divieto il Garante ha riaffermato le regole sulla formazione degli elenchi telefonici  e ha ritenuto la pubblicazione on line di un elenco telefonico non tratto dal dbu e senza il consenso degli interessati un trattamento particolarmente invasivo per l´agevole reperibilità dei dati anche mediante i più comuni motori di ricerca e per la possibilità che essi possano essere utilizzati anche per ulteriori trattamenti (ad es. marketing indesiderato).

 

L´Autorità sta valutando l´applicazione di una sanzione amministrativa per gli illeciti commessi dalla società.

E-commerce, no alla profilazione senza consenso

No alla profilazione senza consenso di gusti e abitudini dei clienti per l´invio di newsletter personalizzate. Lo ha affermato il Garante privacy in unprovvedimento [doc. web n. 4487559] con cui  ha vietato ad una società di e-commerce l´illecito trattamento dei dati di oltre 300 mila persone. La società - una delle più importanti nella fornitura on line di biglietti  per spettacoli teatrali,  manifestazioni sportive, concerti e nell´e-commerce di prodotti anche di marchi celebri -  non potrà più utilizzare i dati trattati in modo illecito. Dagli accertamenti ispettivi svolti dall´Autorità è emerso che la società raccoglieva dati personali attraverso tre siti, di cui uno operativo in più lingue straniere destinato ad utenti di paesi Ue ed Extra Ue. Il consenso richiesto, però, era  preselezionato e unico per varie finalità, comprese quelle di marketing e comunicazione dei dati ad altre società, sempre per scopi commerciali. Una procedura  contraria alla normativa, anche se l´utente poteva deselezionare il consenso e procedere alla registrazione al sito.

 

La società, inoltre, svolgeva, sempre senza consenso, un´attività di profilazione utilizzando un software per  l´invio di newsletter personalizzate, "create" elaborando i dati relativi agli ordini dei clienti o anche ai prodotti inseriti nel carrello il cui ordine non era stato finalizzato. La società peraltro non aveva provveduto ad adempiere all´obbligo di notificazione al Garante previsto dal Codice per l´attività di profilazione, né aveva stabilito alcun tempo di conservazione dei dati personali raccolti tramite i siti.

 

Il Garante  ha dunque disposto il divieto di uso dei dati dei clienti acquisiti illecitamente e ha  prescritto alla società  di adottare, entro sessanta giorni, le misure necessarie per mettersi in regola con le disposizioni del Codice privacy. La società dovrà, in particolare, integrare l´informativa indicando le aziende o le categorie economiche o merceologiche alle quali intende comunicare i dati per le loro finalità promozionali. Dovrà, poi, informare i soggetti, ai quali i dati sono stati già comunicati o ceduti, che non possono utilizzarli senza aver prima acquisito il consenso degli interessati.

 

La società dovrà, infine, prevedere tempi di conservazione dei dati e, alla scadenza, provvedere all´immediata cancellazione o alla  anonimizzazione permanente.

Skype: il datore di lavoro non può spiare le conversazioni dei dipendenti

Il datore di lavoro non può  spiare le conversazioni Skype dei dipendenti. Il contenuto di comunicazioni di tipo elettronico o telematico scambiate dai dipendenti nell´ambito del rapporto di lavoro godono di garanzie di segretezza tutelate anche a livello costituzionale.

Il principio è stato riaffermato dal Garante privacy nell´accogliere il ricorsoproposto da una dipendente che lamentava l´illecita acquisizione di conversazioni, avute con alcuni clienti/fornitori, poste poi alla base del suo licenziamento.

A seguito del provvedimento del Garante il datore di lavoro non potrà effettuare alcun trattamento dei dati personali contenuti nelle conversazioni ottenute in modo illecito, limitandosi alla conservazione di quelli finora raccolti ai fini di una eventuale acquisizione da parte dell´autorità giudiziaria.

Nel caso esaminato, rileva il Garante, il datore di lavoro è incorso in una grave interferenza nelle comunicazioni, attuata, per sua stessa ammissione, attraverso l´installazione di un software sul computer assegnato alla dipendente in grado di visualizzare sia le conversazioni effettuate dalla ricorrente dalla propria postazione di lavoro prima di uscire dall´azienda, sia quelle avvenute successivamente da un computer collocato presso la propria abitazione. Una procedura, secondo il Garante, in evidente contrasto con le "Linee guida del Garante per posta elettronica e Internet" e con le disposizioni poste dall´ordinamento a tutela della segretezza delle comunicazioni, nonché con la stessa policy aziendale approvata anche dalla competente Direzione territoriale del lavoro. Pur spettando, infatti, al datore di lavoro definire le modalità di utilizzo degli strumenti aziendali, occorre comunque che queste rispettino la libertà e la dignità dei lavoratori, nonché i principi di correttezza (secondo cui le caratteristiche essenziali dei trattamenti di dati devono essere rese note ai lavoratori), di pertinenza e non eccedenza stabiliti dal Codice privacy. Principi questi da tenere ben presenti, in considerazione del fatto che l´esercizio  del controllo da parte del datore di lavoro può determinare la raccolta di informazioni personali, anche non pertinenti, di natura sensibile oppure riferite a  terzi.       

Dati sulla salute, attenzione a quelli contenuti nelle mail

E´ illecito inoltrare una mail con informazioni sulla salute e il numero di cellulare della persona che l´ha inviata senza averla prima informata e avere avuto il suo consenso.

 

Lo ha stabilito il Garante privacy in un provvedimento [doc. web n. 3966213] con il quale ha vietato a due società  l´ulteriore trattamento dei dati contenuti in una mail ed ha prescritto loro l´adozione di  misure per garantire una scrupolosa vigilanza sull´operato del personale che tratta i dati per loro conto o interesse. Il caso nasce dal reclamo di una signora che si è rivolta al Garante lamentando l´illecito trattamento dei dati personali contenuti in una mail inviata ad un conoscente  di una agenzia immobiliare, per promuovere la propria attività di consulenza. Nella mail la reclamante, oltre alle informazioni di natura promozionale,  aveva indicato anche il proprio numero di cellulare e informazioni relative ad una operazione che avrebbe dovuto affrontare.  La mail, giunta a due collaboratori delle società dopo essere stata  parzialmente modificata, era stata  inoltrata ad oltre 200 affiliati commerciali, senza cancellare le informazioni personali che la signora aveva inserito.

 

A nulla sono servite le tesi difensive delle società basate sulla erronea supposizione che la mail non contenesse dati personali e che, pertanto, potesse essere liberamente  inoltrata in allegato per avvertire i colleghi di avvalersi solo di consulenze esterne preventivamente valutate. Così pure il tentativo di declinare ogni addebito, ascrivendo l´accaduto ad iniziative personali di singoli, non ha trovato accoglimento presso Il Garante, il quale ha stabilito che la responsabilità fosse addebitabile alle due società, in capo alle quali rimane il compito ed il potere di vigilare sui propri collaboratori.

 

Nel disporre il divieto, l´Autorità ha dunque prescritto alle società di adottare idonee misure atte a garantire una scrupolosa vigilanza sull´operato del personale, sensibilizzandolo al rispetto delle istruzioni ricevute sulla protezione dei dati personali.

Lavoro: uso dei dati di localizzazione solo con precise garanzie

Due società telefoniche potranno utilizzare i dati di localizzazione geografica, rilevati da una app attiva sugli smartphone in dotazione ai lavoratori, purché adottino adeguate cautele a protezione della loro vita privata. Lo ha stabilito il Garante privacy nell´accogliere le istanze di verifica preliminare [doc. web n. 3505371 e 3474069] presentate dalle due società che intendono utilizzare questa tipologia di dati  per ottimizzare l´impiego delle risorse presenti sul territorio e migliorare la gestione, il coordinamento e la tempestività degli interventi tecnici.

 

A tutela della riservatezza dei dipendenti l´Autorità ha prescritto l´adozione di una serie di accorgimenti e stringenti misure di sicurezza. Lo smartphone per le proprie caratteristiche  è destinato a "seguire" la persona che lo possiede,  senza distinzione tra tempo di lavoro e tempo di non lavoro. Il trattamento dei dati di localizzazione può presentare, quindi, rischi specifici per la libertà (es. di circolazione e di comunicazione), i diritti e la dignità del dipendente. Per questo motivo, le società, che si sono anche impegnate a raggiungere un accordo con le organizzazioni sindacali, dovranno adottare specifiche misure volte a  garantire che le informazioni visibili o utilizzabili dalla app siano solo quelle di geolocalizzazione, impedendo l´accesso ad altri dati, quali ad esempio, sms, posta elettronica, traffico telefonico. E dovranno configurare il sistema in modo tale che sullo schermo dello smartphone compaia sempre, ben visibile, un´icona che indichi ai dipendenti che la funzione di localizzazione è attiva.

 

I dipendenti dovranno essere ben informati sulle caratteristiche dell´applicazione (ad es., sui tempi e le modalità di attivazione) e sui trattamenti di dati effettuati dalle società. Nel dare l´ok il Garante ha ritenuto che il sistema sottoposto alla sua attenzione rispetti nel complesso i principi stabiliti dal Codice privacy. Il sistema infatti è conforme al principio di liceità perché consente di ottimizzare la gestione degli interventi tecnici, incrementando la velocità di risposta alle richieste dei clienti, soprattutto in caso di emergenze o calamità naturali.

 

La localizzazione geografica, inoltre, rafforza le condizioni di sicurezza dei  dipendenti permettendo l´invio mirato di soccorsi in caso di difficoltà. Il sistema risulta poi conforme anche ai principi di necessità, pertinenza e non eccedenza. La rilevazione dei dati di geolocalizzazione prospettata dalle società, infatti, non sarebbe continuativa, ma avverrebbe a intervalli stabiliti. E´ previsto che l´ultima rilevazione cancelli quella precedente.  Come stabilito dal Codice privacy, prima di attivare il sistema le società dovranno notificare all´Autorità il trattamento di dati sulla localizzazione.

Niente spam per gli iscritti alla newsletter

Illecito il comportamento di una società che inviava email promozionali senza consenso 

Un cittadino che compila un form on line per ricevere una newsletter deve poter decidere, liberamente e consapevolmente, se dire sì o no alle comunicazioni promozionali, alla profilazione, all´invio dei suoi dati ad altre società e, in generale, a tutti i tipi di trattamenti che vanno al di là del servizio richiesto. La registrazione alla newsletter, inoltre, non può essere condizionata al rilascio del consenso anche per altre finalità.

 

Il principio è stato ribadito dal Garante privacy che ha vietato l´uso dei dati a fini commerciali ad una società che inviava e-mail promozionali senza consenso agli utenti registrati a un servizio di newsletter. Ora la società, destinataria del  provvedimento inibitorio dell´Autorità, potrà utilizzare i dati fin qui raccolti solo per inviare la newsletter. Se vorrà inviare email promozionali dovrà mettersi in regola con  il Codice della privacy, modificando il form di registrazione in modo da consentire agli utenti la possibilità di esprimere, un preventivo consenso "ad hoc" per la ricezione di email promozionali. Dagli accertamenti svolti dall´Ufficio del Garante su segnalazione di un cittadino che  lamentava la ricezione di pubblicità indesiderata, è emerso infatti che per iscriversi la newsletter l´utente, al momento di inserire nel form on line l´indirizzo email, poteva esprimere solo un generico, omnicomprensivo consenso al "trattamento dei dati personali". L´accesso al servizio era, peraltro, condizionato alla manifestazione di tale generico consenso. Il comportamento della società è stato dichiarato illecito dal Garante perché i trattamenti di dati per fini commerciali esulano da quelli necessari per adempiere al contratto di fornitura di un servizio. L´Autorità sta valutando, con separato provvedimento, l´applicazione della sanzione amministrava per l´illecito commesso.

Quote condominiali: no al sollecito di pagamento presso il datore di lavoro

L´Autorità ha dichiarato illecito [doc. web n. 3275910] il trattamento di dati personali effettuato da un amministratore che aveva inviato un sollecito di pagamento al datore di lavoro di un inquilino in ritardo con il saldo di alcune rate anziché a lui personalmente.

Il sollecito, inviato su richiesta del proprietario dell´appartamento affittato all´inquilino moroso, era stato spedito ad un indirizzo email accessibile da chiunque sul posto di lavoro e riportava anche l´ammontare del debito.

L´Autorità, intervenuta su reclamo dell´interessato, ha accertato che l´amministratore è incorso in  un trattamento di dati non conforme alla legge, perché lesivo della dignità della persona ed effettuato senza consenso dell´affittuario, che non aveva autorizzato quel tipo di comunicazione. Il Garante, inoltre, ha prescritto all´amministratore di adottare le misure necessarie in grado di assicurare effettivamente il rispetto delle regole poste dal Codice privacy a tutela della comunicazione di dati personali a terzi e di impartire adeguate istruzioni in merito al personale in servizio presso il proprio studio.

La circostanza che l´amministratore non fosse presente nello studio, di cui è titolare, quando è stata inviata la mail non lo esonera dalla condotta tenuta dai propri dipendenti né fa venir meno la sua qualità di "titolare del trattamento" e quindi la sua responsabilità per l´illecita comunicazione. Con un autonomo procedimento il Garante si riserva di applicare un´eventuale sanzione amministrativa per l´illecito commesso.

Recupero crediti: attenzione ai solleciti preregistrati

Telefonate senza operatore consentite solo con appositi accorgimenti a garanzia degli interessati

La banca non può effettuare il recupero crediti mediante telefonate preregistrate. A meno che non sia in grado di garantire che le sue comunicazioni giungano solo al destinatario o a persone da questi autorizzate. L´Autorità per la privacy ha dato ragione [doc. web n. 2751860] ad un cittadino, titolare di un contratto di finanziamento con una banca, che aveva segnalato di aver ricevuto dall´istituto di credito telefonate preregistrate con solleciti di pagamento. Secondo l´interessato il sistema era lesivo della riservatezza e della dignità perché, anche involontariamente, le comunicazioni potevano essere ascoltate da persone che non avessero alcun diritto a conoscere informazioni sul finanziamento. Interpellata dall´Autorità la banca si è difesa sostenendo che le comunicazioni segnalate erano solo messaggi di presentazione per fornire al destinatario e, solo previa identificazione, la possibilità di scegliere tra diverse opzioni selezionabili  digitando sulla tastiera del telefono. Dall´istruttoria del Garante è emerso invece che il sistema utilizzato dalla banca per il recupero crediti non garantiva affatto l´accertamento  dell´identità di colui che rispondeva alla chiamata, esponendo così l´interessato a una possibile violazione della riservatezza nel caso le informazioni venissero conosciute da altri. L´Autorità ha dunque ritenuto illecito il trattamento dei dati personali nelle modalità effettuate e lo ha di conseguenza vietato. Il Garante ha ricordato, in base a quanto stabilito dal provvedimento generale in materia, che chiunque effettui un trattamento di dati personali nell´ambito di un´attività di recupero crediti deve "astenersi dal comunicare ingiustificatamente a soggetti terzi (familiari, coabitanti, colleghi di lavoro o vicini di casa) rispetto al debitore informazioni relative alla condizione di inadempimento nella quale versa l´interessato". Il Garante ha inoltre prescritto alla banca, ove la stessa intenda continuare ad avvalersi di forme di comunicazione automatica, di adottare idonei accorgimenti tecnici, basati su forme di autenticazione, come ad esempio l´uso di un codice (ad es. il codice del contratto) rilasciato dalla banca, da digitare sull´apparecchio telefonico per poter ascoltare le comunicazioni preregistrate.
Pa: più tutele per i dati del personale
I dati personali, specie se sensibili, devono essere comunicati, anche nell´ambito del rapporto di lavoro, esclusivamente  alle persone o agli uffici che ne possono legittimamente avere conoscenza. Lo ha ribadito il Garante in una serie di provvedimenti che hanno riguardato nello specifico trattamenti di dati effettuati dalla pubblica  amministrazione. Alcuni dipendenti avevano infatti segnalato la violazione della propria privacy avendo le amministrazioni di appartenenza comunicato a terze persone dati sulla propria salute o altre informazioni riservate, come quelle relativa a procedimenti disciplinari che li vedevano coinvolti. In un caso [doc. web n. 2774063], un ente regionale aveva inviato una unica e-mail non solo ai dipendenti da sottoporre a ulteriori accertamenti per verificare se continuava a sussistere l´idoneità al lavoro, ma anche a vari uffici dell´amministrazione, alcuni dei quali peraltro non competenti sulla questione. Dal tipo di esami prescritti, ogni destinatario poteva evincere informazioni sulle condizioni di salute del personale interessato. Secondo il Garante, tale comunicazione, giustificata dall´ente con la necessità di organizzare i turni di lavoro del personale in servizio, costituisce invece un illecito trattamento di dati sensibili. Un altro caso di violazione della privacy dei lavoratori ha coinvolto una Azienda sanitaria provinciale [doc. web n. 2753605] che, per supposte ragioni di "speditezza ed economicità", aveva inviato una nota di sollecito al Comitato di verifica per le cause di servizio di dieci dipendenti. Anche in questa occasione non era stata effettuata una comunicazione individuale poiché tutti i dipendenti della Asl erano infatti stati messi in copia ed erano venuti a conoscenza di informazioni idonee a rivelare le condizioni di salute degli altri lavoratori. Il Garante ha accolto anche il reclamo [doc. web n. 2747867] della dipendente di una autorità portuale che protestava perché l´ente, in occasione della liquidazione del premio di risultato al personale, aveva reso noto ai suoi colleghi le note valutative e due sanzioni disciplinari da lei ricevute. La comunicazione di tali informazioni ad altre persone non era prevista da alcuna specifica norma di legge o regolamento, e sarebbe dovuta rimanere riservata. Non sempre, però, le segnalazioni e i reclami del personale corrispondono a effettivi illeciti. In due casi [doc. web n. 2501216 e 2174582], ad esempio, alcuni lavoratori si erano lamentati di aver ricevuto dalle rispettive amministrazioni regionali comunicazione di una sanzione disciplinare in busta aperta, consentendo così a terzi di poterla leggere. Il Garante, sulla base degli accertamenti effettuati, pur avendo rilevato delle carenze organizzative in merito al trattamento dei dati personali, non ha riscontrato violazioni in merito a quanto segnalato: le contestazioni, infatti, erano state inoltrate attraverso incaricati del trattamento che, per l´attività svolta, erano pienamente legittimati a conoscerne il contenuto delle comunicazioni. Nei vari  provvedimenti adottati, l´Autorità ha ricordato che il trattamento dei dati deve sempre garantire un adeguato rispetto del diritto alla dignità e alla riservatezza del lavoratore, privilegiando forme di comunicazione individualizzate, come da tempo indicato nelle apposite linee guida emanate dal Garante in materia di rapporto di lavoro. Per quanto riguarda le informazioni di carattere sensibile relative ai dipendenti, l´Autorità  ha sottolineato che la trasmissione a terzi può avvenire solo in presenza di una idonea base giuridica e solo laddove esse siano realmente indispensabili per perseguire le specifiche finalità di rilevante interesse pubblico. Il Garante ha prescritto a tutte le amministrazioni che hanno trattato illecitamente i dati dei lavoratori di adottare opportune e idonee misure per adeguare le procedure interne alla normativa sulla privacy e ha avviato nei loro confronti specifici procedimenti sanzionatori.

Il nuovo Regolamento europeo sulla protezione dei dati prende forma

Primo via libera all´avvio dei negoziati tra Parlamento europeo e Consiglio dell´Unione Europea per arrivare ad un accordo su un testo condiviso del nuovo Regolamento sulla protezione dei dati. La Commissione competente del Parlamento europeo (Libe - Libertà civili, giustizia e affari interni) ha votato il 21 ottobre gli emendamenti al testo della proposta di Regolamento (emendamenti artt. 1-29; emendamenti artt. 30-91) presentata dalla Commissione europea il 25 gennaio del 2012, dopo oltre 20 mesi di intenso dibattito nei quali sono stati presentati più di 3000 emendamenti. Si attende adesso, per l´avvio dei negoziati tra i due "co-legislatori", Parlamento e Consiglio Ue, il testo con gli emendamenti del Consiglio, che non ha ancora terminato l´esame della proposta.

Il testo emendato del Regolamento mantiene molte delle impostazioni della proposta originale della Commissione, a partire  dall´applicabilità del Regolamento ai trattamenti svolti da aziende extra-Ue se queste utilizzano dati personali di utenti Ue per offrire loro prodotti o servizi. Altre conferme riguardano, ad esempio, il consenso della persona interessata (che deve essere "esplicito" anziché solo "inequivocabile" come nell´attuale direttiva 95/46) o il diritto alla portabilità dei dati. Sono state inoltre mantenute alcune proposte innovative quali la nomina (obbligatoria) di un "Data Protection Officer" da parte dei titolari di trattamento (secondo criteri però diversi rispetto a quelli indicati dalla Commissione); l´introduzione di un obbligo generale per tutti i titolari di trattamenti dati di notificare eventuali violazioni (data breaches) alle Autorità privacy e in determinati casi anche agli interessati. E´ stato invece eliminato l´obbligo, oggi vigente, di notificare i trattamenti all´Autorità di protezione dati.

Gli emendamenti introducono anche versioni "semplificate" di alcune disposizioni del futuro Regolamento: il diritto all´oblio, ad esempio, è stato trasformato in un diritto alla rettifica o alla limitazione del trattamento in forma rafforzata. Sono stati poi resi più stringenti i requisiti per trasferire dati personali verso Paesi terzi, con l´introduzione di un articolo che prevede l´obbligo di autorizzazione dei Garanti nazionali prima di inviare dati su richiesta di autorità giudiziarie o amministrative di Paesi terzi. E´ stato modificato anche il sistema delle sanzioni amministrative, che tutte le Autorità nazionali di controllo devono poter comminare, ma che sono libere di definire entro una soglia pecuniaria massima e nel rispetto di una griglia di criteri fissati nel testo. Vanno segnalate anche le modifiche apportate alla proposta di Regolamento per quanto riguarda il meccanismo di "sportello unico" (one-stop-shop)  e la collaborazione fra autorità di controllo attraverso il cosiddetto "meccanismo di coerenza". Secondo il Parlamento, lo sportello unico deve permettere alle imprese multinazionali di dialogare con un unico interlocutore nell´Ue (l´Autorità privacy del Paese dove hanno il loro "stabilimento principale"), ma il ruolo di questa Autorità (definita, appunto, "Autorità capofila") deve consistere nel coordinamento di un processo di co-decisione in cui tutte le Authority degli Stati membri interessati da un trattamento devono partecipare ed avere voce.

Alcuni aspetti contenuti nel Regolamento continuano a destare perplessità: in particolare, l´introduzione della definizione di "dato pseudonimo", in termini che non chiariscono pienamente come il dato pseudonimo resti un dato in grado di identificare una persona; le norme sulla profilazione e la definizione stessa di profilazione; l´introduzione chiesta dal Parlamento di un "certificato europeo" della protezione dati, una sorta di "bollino-qualità" che consentirebbe ai titolari di trattamenti di beneficiare di varie deroghe ed esenzioni, e la cui vigilanza sarebbe affidata a soggetti terzi, ossia diversi dalle Autorità di controllo.

La Commissione del Parlamento europeo ha licenziato anche gliemendamenti alla proposta di Direttiva che si applicherà ai trattamenti di dati per fini di giustizia e polizia, con l´obiettivo di mantenere un approccio uniforme e coerente alla protezione dei dati di tutti i cittadini.

Dai Garanti privacy del mondo un piano per l´educazione digitale

I Garanti del mondo varano un piano per l´educazione digitale. Si è conclusa ieri, con l´adozione di ben otto Risoluzioni, la 35ma Conferenza internazionale sulla privacy che ha visto riunite a Varsavia le Autorità garanti per la protezione dei dati di tutto il mondo.

Particolare interesse riveste la Risoluzione, sostenuta con forza dal Garante italiano, con la quale la Conferenza ha adottato un programma comune che impegna i governi a promuovere  l´educazione digitale di tutti i cittadini, senza distinzione di età, esperienza o ruolo rivestito. Il programma fissa cinque principi: assicurare una protezione particolare ai minori nel mondo digitale; garantire una formazione permanente sulla tecnologia digitale; raggiungere un giusto equilibrio tra opportunità e rischi presenti nella tecnologia digitale; promuovere il rispetto degli utenti; diffondere un pensiero critico sull´uso delle nuove tecnologie. A sostegno di questi principi i Garanti dei diversi continenti hanno individuato anche quattro obiettivi operativi : promuovere, nell´ambito dei programmi di alfabetizzazione digitale, una educazione sulla privacy; giocare un ruolo nella "formazione dei formatori" in materia di protezione dei dati personali; sviluppare settori particolarmente innovativi, specialmente nel campo della "privacy by design"; formulare raccomandazioni e buone pratiche sull´uso delle nuove tecnologie a favore di genitori, insegnanti, minori, aziende.

Le altre Risoluzioni hanno riguardato una serie di importanti questioni: la necessità che imprese e governi assicurino la massima trasparenza nel trattamento dei dati dei cittadini; l´esigenza che l´attività di profilazione si basi su una preliminare valutazione di impatto-privacy, garantisca trasparenza agli interessati e ponga particolare attenzione alla tutela dei minori; l´attenzione da porre ai rischi legati più in generale al ricorso crescente al tracciamento della navigazione sul web (web tracking), che deve essere reso più trasparente ed ispirarsi ai principi detti di "privacy by design"; l´obiettivo di pervenire ad un maggiore coordinamento tre le Autorità per aumentare l´efficacia delle attività di enforcement; la necessità di adottare un piano strategico di azione per il biennio 2014-2015 finalizzato innanzitutto alla creazione di una rete globale di regolatori; la necessità di un accordo internazionale vincolante che salvaguardi i diritti umani attraverso un corretto equilibrio tra sicurezza, interessi economici e libertà di espressione.

La Conferenza ha anche adottato una dichiarazione sui rischi e le sfide posti dal crescente uso delle app tanto da permettere di parlare di una vera e propria "appificazione" della società.

Stop alle telecamere occulte sul posto di lavoro

Stop alle telecamere occulte sul posto di lavoro. Il Garante per la privacy ha vietato alla società editrice di un quotidiano del sud il trattamento dei dati personali effettuato attraverso apparati di ripresa installati in modo occulto presso la propria sede.

Dagli accertamenti effettuati dalla Guardia di Finanza su mandato del Garante, è emerso che quindici delle diciannove telecamere di cui è composto l´impianto di videosorveglianza erano state nascoste in rilevatori di fumo o in lampade di allarme, all´insaputa dei lavoratori, ai quali non era stata fornita alcuna informativa sulla presenza dell´impianto, né individualizzata, né semplificata (ad es. cartelli visibili, collocati prima del raggio di azione delle telecamere). Le uniche informazioni, peraltro insufficienti, erano scritte su un cartello di piccole dimensioni (15x15 cm), affisso a tre metri di altezza nell´ingresso del luogo di lavoro.

Nel disporre il divieto [doc. web n. 2439178], il Garante ha ritenuto che  la società  abbia operato un illecito trattamento di dati personali, avendo agito in violazione del diritto alla riservatezza e della dignità dei lavoratori, nonché delle norme che ne vietano il controllo a distanza. L´impianto, infatti, oltre a violare le norme del Codice privacy, era stato attivato senza rispettare quanto previsto dallo Statuto dei lavoratori (accordo con i sindacati o autorizzazione al Ministero del lavoro). 

A seguito dell´intervento del Garante, la società non potrà più utilizzare i dati raccolti e dovrà limitarsi alla loro conservazione per consentire un´eventuale attività di accertamento da parte delle autorità competenti.

Il Garante, inoltre, avendo rilevato anche irregolarità nella raccolta dei dati personali degli abbonati alla testata giornalistica, ha prescritto alla società di riformulare la modulistica cartacea e quella online, inserendo tutte le informazioni sull´uso dei dati necessarie per renderla conforme alla normativa.

Sì alla televigilanza, ma senza violare i diritti dei lavoratori

Bloccato impianto video di un´ importante catena commerciale

Il servizio di televigilanza, con scopo di anti-taccheggio e anti-rapina, non deve consentire forme di controllo a distanza dei lavoratori. Gli esercenti devono segnalare adeguatamente la presenza di telecamere e affidare la gestione del servizio a guardie giurate.

Queste le indicazioni del Garante [doc. web n. 2291893] che, in seguito all´attività ispettiva condotta dalla Questura di Genova, ha bloccato il trattamento dei dati effettuato tramite il sistema di videosorveglianza installato in un esercizio di un´importante catena commerciale.

Dalle verifiche effettuate è emerso che la società aveva violato in più punti l´accordo che era stato sottoscritto con i sindacati per l´installazione delle telecamere sul luogo di lavoro. Una videocamera, ad esempio, invece che essere utilizzata per finalità di sicurezza, inquadrava il sistema di rilevazione degli accessi dei dipendenti, consentendo quindi – in contrasto con quanto sottoscritto dall´azienda e con lo stesso Statuto dei lavoratori - il controllo a distanza dei lavoratori. Le immagini registrate risultavano poi accessibili con modalità diverse da quelle concordate. Non erano in regola neppure i cartelli con l´informativa semplificata utilizzati per segnalare la presenza dell´impianto di videosorveglianza: non solo non contenevano tutte le informazioni necessarie, ma erano in numero esiguo e, a volte, collocati in posizione non chiaramente visibile (ad es. alle spalle di un espositore). Dai riscontri della Questura è emerso, inoltre, che l´impianto di videosorveglianza era stato affidato in gestione a un consorzio di ditte esterne che utilizzava per il servizio personale non qualificato. Chi effettuava il controllo delle immagini era, infatti, privo della licenza prefettizia di "guardia particolare giurata", necessaria per poter svolgere funzioni anti-rapina e anti-taccheggio, e non era stato designato incaricato del trattamento dei dati personali.

Il Garante della privacy ha imposto all´esercente di provvedere a sanare tutte le violazioni riscontrate e ha bloccato il trattamento dei dati effettuato attraverso il sistema di videosorveglianza. Ha anche trasmesso copia degli atti e del provvedimento all´autorità giudiziaria al fine di valutare gli eventuali illeciti penali commessi.

Controlli sui pc aziendali sì, ma nel rispetto di precise regole

Una società non può controllare il contenuto del pc di un dipendente senza averlo prima informato di questa possibilità e senza il pieno rispetto della libertà e della dignità del lavoratore. Questa la decisione del Garante sulricorso [doc. web n. 2149222] presentato da un dipendente che era stato licenziato senza preavviso dalla propria azienda. L´uomo si era rivolto sia alla magistratura ordinaria, per contestare la stessa fondatezza dell´accusa e il relativo licenziamento, sia al Garante per opporsi alle modalità con cui la società avrebbe acquisito e trattato i suoi dati.

Dai riscontri dell´Autorità è emerso che una serie di documenti, sulla base dei quali il datore di lavoro aveva fondato la sua decisione, erano contenuti in una cartella personale del pc portatile assegnato al lavoratore. La società vi aveva avuto accesso quando il dipendente aveva riportato il computer in sede per la periodica operazione di salvataggio dei dati (back up) aziendali.Contrariamente a quando affermato dall´impresa, non risulta però che l´uomo fosse stato informato sui limiti di utilizzo del bene aziendale, né sulla possibilità che potessero essere avviate così penetranti operazioni di analisi e verifica sulle informazioni contenute nel pc stesso.

Il Garante ha ribadito che il datore di lavoro può effettuare controlli mirati al fine di verificare l´effettivo e corretto adempimento della prestazione lavorativa e, se necessario, il corretto utilizzo degli strumenti di lavoro.

Tale attività, però, può essere svolta solo nel rispetto della libertà e della dignità dei lavoratori e della normativa sulla protezione dei dati personali che prevede, tra l´altro che alla persona interessata debba essere sempre fornita un´idonea informativa sul possibile trattamento dei suoi dati connesso all´attività di verifica e controllo. Il Garante ha quindi vietato alla società ogni ulteriore utilizzo dei dati personali così acquisiti. Sarà invece l´autorità giudiziaria a valutare l´utilizzabilità nel procedimento civile già in corso della documentazione acquisita agli atti.

Sanzione salata per l´azienda che non risponde al Garante

I ritardi di due rate, poi sanati, vanno cancellati dopo un anno

La filiale italiana di un grande gruppo internazionale che fornisce servizi It e di telefonia alle imprese e alle P.a., dovrà pagare una sanzione di 75.000 euro per non aver fornito all´Autorità le informazioni richieste.

A seguito di numerose segnalazioni di destinatari di fax promozionali indesiderati, l´Autorità aveva chiesto alla società di fornire informazioni sulla titolarità di alcune numerazioni che comparivano tra quelle indicate dagli utenti.

Non avendo ricevuto riscontro alla richiesta di chiarimenti, il Garante, sulla base di quanto previsto dall´articolo 157 del Codice privacy, aveva contestato all´azienda, una sanzione amministrativa di 20mila euro. La società, pur essendo stata informata della facoltà di effettuare il pagamento in misura ridotta (così come previsto dalla legge n. 689/1981), aveva scelto di non pagare e di inviare all´Autorità uno scritto difensivo. Le argomentazioni addotte però non sono risultate in grado di sollevare la società dalla responsabilità per la mancata risposta al Garante.

Di conseguenza, considerate, tra l´altro, la gravità della violazione, analoghi precedenti e le condizioni economiche dell´azienda inadempiente, l´Autorità ha applicato una sanzione di 75mila euro. Contro la decisione del Garante la società potrà comunque presentare ricorso all´autorità giudiziaria.

Vietato "spiare" i lavoratori

"Spente" dal Garante presso un call center 4 telecamere, 3 con apparecchi di ripresa audio

Il Garante per la privacy ha vietato l´uso di un sistema di videosorveglianza in grado di captare anche le conversazioni dei dipendenti. Le telecamere installate presso un call center  all´ingresso della sede e nei locali dove sono collocate le  postazioni di lavoro sono state "spente" dall´Autorità che ha dichiarato illecito il  trattamento dei dati personali dei dipendenti. L´impianto composto da quattro telecamere orientabili e dotate di zoom, di cui tre in grado di captare anche l´audio all´interno del call center, era segnalato da cartelli,  privi  però di alcune informazioni obbligatorie, affissi in prossimità dei luoghi ripresi.

A seguito del divieto del Garante la società non potrà utilizzare i dati personali  trattati in violazione di legge. L´eventuale riattivazione delle telecamere  dovrà avvenire nel rispetto dello Statuto dei lavoratori, che ammette l´installazione di sistemi audiovisivi, dai  quali  derivi  anche la possibilità di controllo a distanza  dell´attività  dei  lavoratori, solo in presenza di particolari esigenze aziendali organizzative, produttive o di sicurezza del lavoro,  previo accordo  con le rappresentanze sindacali. In assenza di un tale accordo  è necessaria  l´autorizzazione del competente ufficio periferico del Ministero del lavoro.

Dagli accertamenti ispettivi è emerso invece che la società non è stata in grado di dimostrare l´esistenza delle menzionate esigenze aziendali che giustificassero l´installazione dell´impianto, né aveva rispettato la procedura prevista dalla legge. Il trattamento dei dati svolto presso il call center è risultato quindi illecito. Il sistema effettuava, di fatto, un controllo a distanza dei lavoratori vietato dalla legge, aggravato, peraltro,  dalla presenza di un impianto in grado di captare l´audio di quanto accadeva negli ambienti di lavoro.  Gli atti riguardanti la società, già sanzionata per non aver informato correttamente i dipendenti della presenza delle telecamere, saranno trasmessi alla magistratura per la valutazione di eventuali profili penali connessi all´installazione del sistema audiovisivo.

Marketing evoluto e garanzie per i clienti

Sì del Garante privacy a nuovi strumenti di profilazione, ma nel rispetto di precisi limiti

Una compagnia telefonica potrà avviare una innovativa forma di profilazione della propria clientela, senza doverne prima acquisire il consenso. Tale attività dovrà però essere sottoposta a precise regole e controlli a tutela dei dati personali degli interessati. Questa la decisione del Garante che ha accolto un´istanza di verifica preliminare in cui la società chiedeva di poter realizzare un "arricchimento" del proprio database, integrando informazioni sui clienti e sulle rispettive abitudini di consumo con statistiche di tipo socio-demografico sull´area di residenza e lavoro.

Nella richiesta, la compagnia sottolineava che tale arricchimento dei dati era particolarmente importante sia per definire nuove offerte commerciali, sia per la progettazione e lo sviluppo della propria rete. Chiedeva quindi, in base al principio di bilanciamento degli interessi, e garantendo l´adozione di adeguate cautele, di poter essere esonerata dall´obbligo di acquisire il consenso delle persone interessate. L´Autorità, nell´accogliere l´istanza, ha tuttavia rilevato che la nuova attività di profilazione, anche se effettuata sulla base di dati aggregati, senza puntuali indicazioni anagrafiche, grazie all´incrocio di informazioni personali e statistiche (riferite anche a microzone di circa 50 famiglie), potrebbe in teoria consentire di risalire all´identità dell´utente. Ha quindi prescritto alla società di adottare precise misure di sicurezza e ogni accorgimento affinché l´anonimato del cliente venga comunque rigorosamente tutelato.

La società dovrà, in particolare, fare in modo che i codici utente utilizzati per l´attività di profilazione siano diversi da quelli già adottati per la gestione del servizio telefonico. I dati clienti utilizzati per la profilazione potranno essere impiegati esclusivamente per la definizione delle nuove offerte commerciali e dovranno essere cancellati o resi definitivamente anonimi appena elaborate le nuove promozioni. Anche i cosiddetti "dati arricchiti" dovranno essere cancellati o resi anonimi in maniera irreversibile entro 12 mesi dalla loro creazione. La società dovrà poi aggiornare l´informativa fornita agli utenti integrandola con precise indicazioni sul nuovo tipo di trattamento realizzato con i loro dati. Il Garante ha infine prescritto alla società di telecomunicazioni di far pervenire, prima di avviare l´attività di arricchimento del database clienti, la documentazione tecnica e legale che dimostri l´adozione delle misure indicate. Trascorso un anno dall´inizio delle operazioni, la compagnia telefonica dovrà produrre anche un dossier relativo a tutte le campagne marketing effettuate con il nuovo sistema in tale arco temporale, al fine di verificare che non siano stati posti in essere trattamenti non autorizzati o comunque illeciti.

Sì a telecamere "intelligenti", ma no all´uso di microfoni

Il Garante della privacy ha accolto la richiesta del gestore di una centrale termoelettrica di rafforzare le protezioni delle infrastrutture tramite un sofisticato sistema di videosorveglianza, ma ha negato la possibilità di abbinare dei microfoni alle telecamere. Nel progetto, sottoposto alla verifica preliminare della Autorità, si sottolineava che la centrale è collocata in un´area isolata, di notevole estensione e al di fuori delle zone controllate di routine dalla polizia e si chiedeva quindi l´adozione di tecnologie in grado di garantire una veloce identificazione di possibili intrusioni dall´esterno. Il Garante ha riconosciuto la necessità di garantire standard di sicurezza superiori alla media per proteggere il sito e ha autorizzato l´installazione di telecamere "intelligenti" in grado di segnalare, tra l´altro, eventuali tentativi di sabotaggio o soggetti in movimento, prescrivendo comunque che le riprese vengano utilizzate solo per finalità di tutela del patrimonio aziendale e della sicurezza del personale. L´Autorità ha invece ritenuto eccessiva,  e non conforme ai principi di pertinenza e proporzionalità stabiliti dal Codice privacy, la richiesta di poter captare suoni fino a 5-6 metri di distanza dalle telecamere: l´uso di un tale sistema avrebbe infatti comportato il rischio di ledere la riservatezza di chiunque si fosse trovato nei pressi delle aree controllate, inclusa la zona del parcheggio e dell´ingresso principale, o in luoghi di semplice ristoro o di riposo dal turno di lavoro dei dipendenti. Ha quindi respinto la domanda di collegare microfoni alle telecamere.

 

Il sistema di videosorveglianza autorizzato, potendo inquadrare anche aree di lavoro o di sosta del personale potrà essere attivato, come prevede lo Statuto dei lavoratori, solo dopo aver raggiunto uno specifico accordo con le rappresentanze sindacali o dopo aver ottenuto l´autorizzazione della competente Direzione provinciale del lavoro.