Per richiamare l’attenzione su alcuni aspetti che potrebbero essere in contrasto con la disciplina di protezione dei dati e le norme a tutela del lavoratore, l’Autorità ha recentemente pubblicato il documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” , con cui - in particolare - veniva indicato in 7 giorni, estensibili di 48 ore per comprovate esigenze, il periodo di conservazione dei metadati degli account dei servizi di posta elettronica. Per rispondere alle numerose richieste di chiarimenti ricevute, il Garante ha deciso di differire l’efficacia del documento di indirizzo e promuovere una consultazione pubblica di 30 giorni sulle forme e modalità di utilizzo che renderebbero necessaria una conservazione dei metadati superiore a quella ipotizzata nel documento di indirizzo. Datori di lavoro pubblici e privati, esperti della disciplina di protezione dei dati e tutti i soggetti interessati avranno a disposizione 30 giorni, a partire dalla pubblicazione in Gazzetta ufficiale, per inviare al Garante le proprie osservazioni, i commenti, le informazioni, le proposte e tutti gli elementi ritenuti utili, tramite posta ordinaria o alle caselle protocollo@gpdp.it oppure protocollo@pec.gpdp.it.
Sì all’accesso alla relazione investigativa Il Garante per la protezione dei dati personali, con provvedimento 6.7.2023 stabilisce che il lavoratore ha diritto ad avere accesso ai propri dati personali, compresi quelli contenuti nella relazione dell’agenzia investigativa incaricata dall’azienda di raccogliere informazioni sul suo conto, anche con riferimento a tutte le informazioni non trasferite in una contestazione disciplinare (fotografie, una rilevazione Gps, descrizioni di luoghi, persone e situazioni), nel rispetto dell’esercizio del diritto di difesa. Stante il comportamento, il Garante ha accertato l’illiceità del trattamento dati e sanzionato un’azienda. (Newsletter Garante dell’11 settembre 2023),
Prima dell’estate il Garante Privacy ha pubblicato sul sito una guida che si pone come strumento da consultare per segnale i principali aspetti che imprese e soggetti pubblici devono tenere presenti per dare piena attuazione al Regolamento. Il Garante coglie l’occasione per ricordare che la privacy non deve essere intesa solo come obbligo formale e come adempimento da scadenziare per essere in regola ma deve diventare parte integrante delle attività di un’organizzazione attraverso l’adozione di comportamenti e attività finalizzate al rispetto della normativa. E’ quindi importante analizzare quanto ad oggi effettuato in azienda e alla periodicità degli aggiornamenti. Ricordiamo che il Titolare deve: fornire l’informativa all’interessato; valutare le circostanze in cui il titolare deve notificare al Garante privacy, ed eventualmente agli interessati, la violazione di dati personali; provvedere alla nomina dele figure introdotte dalla normativa per occuparsi della protezione dei dati e delle relative misure di sicurezza. Dal lato, invece, delle persone fisiche, il Garante ricorda che il Regolamento Ue ha introdotto anche nuovi diritti riconosciuti alle persone, come quello di poter trasferire i propri dati da un titolare del trattamento a un altro, compresi i social network ("diritto alla portabilità"), o come il diritto all’oblio, cioè il diritto di non veder riproposte informazioni personali quando non sono più necessarie rispetto alle finalità per le quali sono state raccolte. Un ulteriore approfondimento è dedicato agli strumenti legali che regolano il trasferimento dei dati personali in Paesi extra Ue. La pubblicazione è disponibile sul sito del Garante ( www.gpdp.it ).
Videosorveglianza - Obblighi in capo al datore di lavoro
Osservanza art. 4 Statuto dei Lavoratori
L’art. 4 della Legge 300/70 prevede che gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori, possano essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede la Direzione territoriale del Lavoro competente, dettando, ove occorra, le modalità per l'uso di tali impianti.
Secondo tale norma, nella fattispecie devono ricorrere esigenze organizzative e produttive ovvero di sicurezza del lavoro (da estendere anche al concetto di tutela del patrimonio).
La richiesta preventiva va fatta, a cura del titolare dell'impianto, utilizzando l'apposito modulo messo a disposizione dall' I.N.L.
A conclusione delle relative valutazioni tecniche, effettuate sulla base della documentazione allegata all'istanza, l'Ufficio rilascia alla ditta il provvedimento di autorizzazione, individuando, nello stesso, opportune condizioni di utilizzo del sistema che hanno potere vincolante per l'azienda.
L'obbligo di cui sopra vige anche per le aziende che, occupando più di 15 dipendenti, siano sprovviste di rappresentanti sindacali aziendali (RSA o RSU) o che, pur avendoli, non hanno
raggiunto un accordo sindacale con gli stessi per l'utilizzo dell'impianto di videosorveglianza.
L'obbligo non vige per le aziende che non occupano dipendenti.
Osservanza Codice Privacy
L’adozione di un sistema di videosorveglianza impone l’osservanza della disciplina prevista dal Garante della Privacy che prevede
adozione e comunicazione di un’informativa agli interessati sull’adozione degli impianti e sull’utilizzo delle immagini; Adozione segnaletica sulla base di un modello individuato dal Garante che dovrà essere adattato alla struttura dell’impianto
Le linee generali fornite dall’Autorità sono le seguenti
sarà necessario installare appositi cartelli (ben visibili) per segnalare la presenza di telecamere, che devono avere particolari requisiti se le telecamere saranno collegate con le sale operative delle forze di polizia; le immagini registrate potranno essere conservate per un periodo di tempo massimo di 24 ore, salvo ci siano esigenze di ulteriore conservazione dovute a indagini; dovranno essere predisposte rigorose misure di sicurezza a protezione delle immagini e contro gli accessi non autorizzati; è vietato il controllo a distanza dei lavoratori.
Sanzioni in caso di presenza di impianti senza la preventiva autorizzazione
La violazione delle disposizioni di cui all’art. 4, co. 1 e 2, della L. 20.5.1970, n. 300, sono punite con le sanzioni di cui all’art. 38 della medesima legge 20.5.1970, n. 300. E quindi:
1. salvo che il fatto non costituisca più grave reato, ammenda da 154,94 a 1.549 euro, o arresto da 15 giorni a 1 anno;
2. nei casi più gravi le pene dell'arresto e dell'ammenda sono applicate congiuntamente;
3. quando per le condizioni economiche del reo, l'ammenda può presumersi inefficace anche se applicata nel massimo, il giudice ha facoltà di aumentarla fino al quintuplo;
4. nei casi più gravi, l'autorità giudiziaria ordina la pubblicazione della sentenza penale di condanna nei modi stabiliti dall'art. 36 del codice penale (art. 38, L. 20.5.1970, n. 300).
Il Garante per la protezione dei dati personali ha fornito con nota del 24.1.2023, al Ministero del Lavoro e all’Ispettorato Nazionale del Lavoro, le prime indicazioni sul Decreto trasparenza. In particolare, il Garante punta l’attenzione sull’obbligo introdotto dal Decreto per il datore di lavoro di informare adeguatamente i lavoratori nel caso utilizzi sistemi decisionali o di monitoraggio automatizzati ai fini della assunzione o del conferimento dell’incarico, o per altre attività collegate al rapporto di lavoro e alla sua gestione. Tali obblighi informativi non sostituiscono né modificano quelli già previsti dalla normativa in materia di Privacy e dallo Statuto dei lavoratori. L’adozione di sistemi di monitoraggio nel contesto lavorativo deve sempre essere oggetto di una preliminare verifica, da parte del datore di lavoro, delle condizioni di liceità stabilite dalla disciplina in materia di controlli a distanza e protezione dati, nonché di una valutazione dei rischi per verificarne l’impatto sui diritti e sulle libertà degli interessati. Il Titolare/datore di lavoro dovrà quindi valutare se i trattamenti che si intende realizzare possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche - in ragione delle tecnologie impiegate e considerati la natura, l'oggetto, il contesto e le finalità perseguite - che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali (art. 35 del Regolamento) al fine di verificare: la particolare “vulnerabilità” degli interessati nel contesto lavorativo; se l’impiego nell’ambito lavorativo di sistemi che comportano il “monitoraggio sistematico”, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti” può presentare rischi, in termini di possibile monitoraggio dell’attività dei dipendenti. Il Titolare del trattamento, anche quando utilizza sistemi tecnologici realizzati da terzi, deve eseguire un’analisi dei rischi per accertare l’esistenza di trattamenti non compatibili con le finalità del trattamento o che si pongono in contrasto con specifiche norme di settore previste dall’ordinamento sull’impiego degli strumenti tecnologici sul posto di lavoro. L’attività di verifica dovrà essere riportata in un registro idoneo a fornire un quadro aggiornato dei trattamenti in essere all’interno della propria organizzazione e documentarne la conformità alla disciplina in materia di protezione dei dati personali. Anche al fine di superare le incertezze createsi sul piano interpretativo, il Garante si è reso disponibile ad avviare un tavolo di confronto con il Ministero del lavoro.
Con il provvedimento del 13.12.2021 l’Autorità Garante per la Protezione dei Dati personali ha espresso, in via di urgenza, parere favorevole sullo schema di DPCM che aggiorna le disposizioni relative ai Green Pass e agli obblighi vaccinali per alcune categorie di lavoratori. Nel provvedimento, il Garante ha evidenziato che, nei casi in cui il lavoratore si avvalga della facoltà di consegnare il Green Pass al Datore di Lavoro, quest’ultimo è comunque tenuto ad effettuare il regolare controllo quotidiano della validità della Certificazione, mediante lettura del QR Code della copia in suo possesso, attraverso le procedure di controllo attivate in azienda (app VerificaC19 o altre). E’ stato infatti osservato che, senza la verifica quotidiana del Green Pass, il Datore non avrebbe la possibilità di rilevare l’eventuale revoca della validità della Certificazione (es. in caso di positività sopravvenuta) e ciò sarebbe in contrasto con il principio di esattezza cui deve informarsi il trattamento dei dati personali. Pertanto, i Datori di Lavoro che avessero optato per la raccolta delle Certificazioni Verdi quale modalità di controllo, dovranno comunque attivarsi per effettuare la quotidiana verifica della validità del Green Pass. Alleghiamo il provvedimento.
Con il provvedimento n.231 del 10 giugno 2021 pubblicato in Gazzetta Ufficiale n. 163 del 9 luglio 2021, il Garante per la protezione dei dati personali ha adottato delle Linee guida in relazione al diritto applicabile alle operazioni di lettura e di scrittura all’interno del terminale di un utente, con specifico riferimento all’utilizzo di cookie e di altri strumenti di tracciamento, nonché con l’obiettivo di specificare, al riguardo, le corrette modalità per la fornitura dell’informativa e per l’acquisizione del consenso on-line degli interessati.
Il provvedimento si è reso necessario per armonizzare la normativa tenuto conto dei diversi provvedimenti che si sono succeduti dopo l’entrata in vigore del Regolamento UE e al fine di richiamare l’attenzione per l’adozione dei comportamenti corretti tenuto conto delle nuove tecnologie che hanno un’incidenza maggiore sulla sfera dei dati personali.
L’intervento del Garante disciplina:
i cookie che sono di regola stringhe di testo che i siti web (cd. Publisher, o “prime parti”) visitati dall’utente ovvero siti o web server diversi (cd. “terze parti”) posizionano ed archiviano – direttamente, nel caso dei publisher e indirettamente, cioè per il tramite di questi ultimi, nel caso delle “terze parti” - all’interno di un dispositivo terminale (computer, tablet, smartphone o altro dispositivo in grado di archiviare informazioni) nella disponibilità dell’utente medesimo;
altri strumenti di tracciamento che consentono di effettuare trattamenti analoghi a quelli sopra indicati; tra gli strumenti è ricompreso il fingerprinting, ossia quella tecnica che permette di identificare il dispositivo utilizzato dall’utente tramite la raccolta di tutte o alcune delle informazioni relative alla specifica configurazione del dispositivo stesso adottata dall’interessato.
Tutti i fornitori dei servizi della società dell’informazione nonché tutti i soggetti che comunque offrono ai propri utenti servizi online accessibili al pubblico attraverso reti di comunicazione elettronica o cui si riferiscano siti web che facciano impiego di cookie e/o altri strumenti di tracciamento, con specifico riguardo ai trattamenti di dati personali relativi all’utilizzo delle funzionalità offerte, dovranno osservare il provvedimento qui allegato che disciplina:
- il consenso preventivo degli utenti in relazione al trattamento, per finalità di tracciamento on line, delle informazioni che li riguardano, anche derivanti dall’uso di cookie ed altri strumenti di tracciamento;
- il rispetto del diritto di revoca del consenso;
- il rispetto degli obblighi di privacy by design e by default anche per mezzo dell’adozione di misure di minimizzazione dei dati preliminarmente alla comunicazione ed al loro impiego ad opera delle cd. terze parti;
- l’informativa da rendere agli interessati ai sensi degli artt. 12 e 13 del Regolamento, con particolare riguardo all’indicazione dei criteri di codifica utilizzati da ciascun titolare per la classificazione dei cookie e degli altri strumenti di tracciamento che consenta di distinguere quelli tecnici dagli analytics o da quelli di profilazione;
I predetti soggetti dovranno adeguarsi alla nuova normativa entro 6 mesi dalla pubblicazione in Gazzetta Ufficiale,
I consensi già raccolti, purché conformi alle caratteristiche richieste dal Regolamento, potranno essere ritenuti validi a condizione che, al momento della loro acquisizione, siano stati registrati e siano dunque debitamente documentabili, anche mediante evidenze informatiche.
Si allegano le Linee Guida e una scheda di sintesi predisposta dal Garante che ne costituisce parte integrante e sostanziale.
Il Garante per la protezione dei dati personali e
l'Ispettorato Nazionale del Lavoro, hanno sottoscritto un protocollo d'intesa per
l'avvio di una reciproca collaborazione istituzionale. Entrambe le Istituzioni, infatti, sono chiamate ad
affrontare le sfide connesse all'accelerazione dei processi di digitalizzazione dei
sistemi di gestione dell'organizzazione del lavoro, della produzione
e dell'erogazione dei servizi. Ciò in particolare con riferimento al sempre più frequente
ricorso a modelli di prestazione
"a distanza" dell'attività lavorativa (ad es. dad, smartworking) e
all'adozione di strumenti tecnologici per contenere il rischio di contagio, in
ambito lavorativo pubblico e privato (ad es. app da installare su dispositivi
mobili indossabili o su smartphone). Il Garante e l'Ispettorato si impegnano quindi a realizzare
processi di stabile connessione tra le due istituzioni per assumere
orientamenti condivisi su questioni specifiche, fornire reciproca
collaborazione e attività consultiva, con particolare riferimento all'utilizzo
di strumenti tecnologici connessi allo svolgimento del rapporto di
lavoro. Con tale Protocollo, che ha la durata di due anni, i due
organismi si impegnano anche a organizzare incontri periodici su materie di
interesse comune e a promuovere campagne di informazione e attività
formative.
Il Garante della Privacy ha
aggiornato, sul proprio sito internet, le FAQ relative al trattamento dei dati
personali durante l’emergenza epidemiologica da Covid-19 nel contesto
lavorativo pubblico e privato. In particolare, il Garante ha
precisato che iI datore di lavoro può richiedere
l’effettuazione di test sierologici ai propri dipendenti solo se disposta dal medico
competente . Le informazioni relative alla
diagnosi o all’anamnesi familiare del lavoratore non possono essere trattate
dal datore di lavoro, salvi i casi espressamente previsti dalla legge. Il datore di lavoro può, invece,
trattare i dati relativi al giudizio di idoneità alla mansione specifica e alle
eventuali prescrizioni o limitazioni che il medico competente può stabilire
come condizioni di lavoro. Le visite e gli accertamenti,
anche ai fini della valutazione della riammissione al lavoro del dipendente,
devono essere posti in essere dal medico competente o da altro personale
sanitario, e, comunque, nel rispetto delle disposizioni generali che vietano al
datore di lavoro di effettuare direttamente esami diagnostici sui dipendenti. Resta fermo che i lavoratori
possono liberamente aderire alle campagne di screening avviate dalle autorità
sanitarie competenti a livello regionale relative ai test sierologici Covid-19,
di cui siano venuti a conoscenza anche per il tramite del datore di lavoro,
coinvolto dal dipartimento di prevenzione locale per veicolare l’invito di
adesione alla campagna tra i propri dipendenti. I datori di lavoro possono
offrire ai propri dipendenti, anche sostenendone in tutto o in parte i costi,
l’effettuazione di test sierologici presso strutture sanitarie pubbliche e
private (es. tramite la stipula o l’integrazione di polizze sanitarie ovvero
mediante apposite convenzioni con le stesse), senza poter conoscere l’esito
dell’esame.
Il Garante della Privacy, con comunicazione del 2 marzo
c.a. pubblicata sul proprio sito Internet, in merito alla possibilità da
parte dei datori di lavoro di raccogliere informazioni sui propri dipendenti
circa la presenza di sintomi da Coronavirus e notizie sugli ultimi spostamenti,
come misura di prevenzione dal contagio, precisa che i datori di lavoro devono astenersi dal raccogliere ,
a priori e in modo sistematico e generalizzato, informazioni su eventuali sintomi influenzali
dei propri dipendenti e dei suoi contatti personali extralavorativi. L’accertamento
e la raccolta di informazioni relative ai sintomi tipici del Coronavirus e alle
informazioni sui recenti spostamenti di ogni individuo spettano, infatti, agli
operatori sanitari e al sistema attivato dalla protezione civile, che sono gli
organi deputati a garantire il rispetto delle regole di sanità pubblica
recentemente adottate. Resta fermo
l’obbligo del lavoratore di segnalare al datore di lavoro qualsiasi situazione
di pericolo per la salute e la sicurezza sui luoghi di lavoro. In allegato
nota integrale.
commette un illecito la società che mantiene attivo l’account di posta aziendale di un dipendente dopo l’interruzione del rapporto di lavoro e accede alle mail contenute nella sua casella di posta elettronica.
.
Questi i principi ribaditi dal Garante per la privacy nel definire il reclamo di un dipendente che lamentava la violazione della disciplina sulla protezione dei dati da parte della società presso la quale aveva lavorato.
L’ex dipendente contestava, in particolare, alla società la mancata disattivazione della email aziendale e l’accesso ai messaggi ricevuti sul suo account. L’interessato era venuto a conoscenza di questi fatti per caso, nel corso di un giudizio davanti al giudice del lavoro promosso nei suoi confronti dalla sua ex azienda, avendo quest’ultima depositato agli atti una email giunta sulla sua casella di posta un anno dopo la cessazione dal servizio.
Dagli accertamenti svolti dall’Autorità è emerso che l’account di posta era rimasto attivo per oltre un anno e mezzo dopo la conclusone del rapporto di lavoro prima della sua eliminazione, avvenuta solo dopo la diffida presentata dal lavoratore. In questo periodo la società aveva avuto accesso alle comunicazioni che vi erano pervenute, alcune anche estranee all’attività lavorativa del dipendente.
Il Garante ha ritenuto illecite le modalità adottate dalla società perché non conformi ai principi sulla protezione dei dati, che impongono al datore di lavoro la tutela della riservatezza anche dell’ex lavoratore. Subito dopo la cessazione del rapporto di lavoro, un’azienda deve infatti rimuovere gli account di posta elettronica riconducibili a un dipendente, adottare sistemi automatici con indirizzi alternativi a chi contatta la casella di posta e introdurre accorgimenti tecnici per impedire la visualizzazione dei messaggi in arrivo.
L’adozione di tali misure tecnologiche – ha spiegato il Garante – consente di contemperare l’interesse del datore di lavoro di accedere alle informazioni necessarie alla gestione della propria attività con la legittima aspettativa di riservatezza sulla corrispondenza da parte di dipendenti/collaboratori oltre che di terzi. Lo scambio di email con altri dipendenti o con persone esterne all’azienda consente infatti di conoscere informazioni personali relative al lavoratore, anche solamente dalla visualizzazione dei dati esterni delle comunicazioni (data, ora oggetto, nominativi di mittenti e destinatari).
Oltre a dichiarare l’illecito trattamento, il Garante ha quindi ammonito la società a conformare i trattamenti effettuati sugli account di posta elettronica aziendale dopo la cessazione del rapporto di lavoro alle disposizioni e ai principi sulla protezione dei dati ed ha disposto l’iscrizione del provvedimento nel registro interno delle violazioni istituito presso l’Autorità. Tale iscrizione costituisce un precedente per la valutazione di eventuali future violazioni.
Il Ministero del Lavoro e delle Politiche
Sociali ha pubblicato l’ interpello n. 3 dell’8 maggio 2019 , con il quale risponde ad
un quesito del Consiglio nazionale dell’ordine dei consulenti del lavoro, in
merito alla configurabilità della fattispecie del silenzio assenso con
riferimento alla richiesta di autorizzazione all’installazione ed utilizzo
degli impianti audiovisivi e degli altri strumenti di cui all’attuale articolo
4, comma 1, della legge 20 maggio 1970, n. 300 . E ciò in considerazione delle
disposizioni della legge n. 241/1990 che dispongono che il silenzio
dell’amministrazione competente equivalga ad accoglimento della domanda. Più in particolare, si chiede se il
silenzio dell’organo amministrativo adito, in relazione all’istanza di
autorizzazione, possa essere considerato un assenso tacito all’istanza
medesima, in virtù del quale l’impresa possa procedere all’installazione degli
impianti richiesti. Secondo il Ministero non è configurabile alle istanze ex art. 4 S.L. l’istituto
del silenzio-assenso, occorrendo l’emanazione di un provvedimento
espresso di accoglimento ovvero di rigetto della relativa istanza. Si allega il testo dell’interpello.
Il Garante per la protezione dei dati personali, con Newsletter n. 447 del 7 dicembre 2018, ribadisce che le informazioni sull’adesione sindacale rientrano nella categoria dei dati sensibili e come tali il datore di lavoro può lecitamente trattarli in base alla legge per adempiere agli obblighi derivanti dal rapporto di lavoro, ad esempio per effettuare il versamento delle quote di iscrizione ad associazioni o organizzazioni sindacali su delega e per conto del dipendente. Pertanto, in caso di revoca da parte del dipendente dell’affiliazione ad una sigla sindacale, per consentire al sindacato di espletare le procedure che seguono tale revoca, il datore di lavoro deve limitarsi a comunicare la sola scelta del lavoratore di non aderire più all’originaria sigla di appartenenza ma non può comunicare all’organizzazione sindacale la nuova sigla alla quale ha aderito un suo ex iscritto. Di seguito le disposizioni fornite dal garante: Il datore di lavoro non può comunicare ad una organizzazione sindacale la nuova sigla alla quale ha aderito un suo ex iscritto. Per consentire al sindacato di espletare le procedure che seguono la revoca della affiliazione sindacale e della relativa delega, il datore di lavoro avrebbe dovuto limitarsi a comunicare la sola scelta del lavoratore di non aderire più all’originaria sigla di appartenenza. È quanto affermato dal Garante privacy a conclusione di un’istruttoria originata dai reclami di alcuni dipendenti di una Azienda socio-sanitaria territoriale che si erano rivolti all’Autorità affinché valutasse la correttezza del datore di lavoro nel trattamento dei loro dati sensibili, quale è l’appartenenza sindacale. A giustificazione del proprio comportamento l’Azienda ha affermato, tra l’altro, di aver ritenuto necessario informare la Rappresentanza sindacale della variazione per evitare il rischio che senza questa comunicazione l’organismo avrebbe continuato ad operare in una composizione non più aderente alla realtà, con inevitabili ricadute sulla validità della contrattazione aziendale. Le informazioni sull’adesione sindacale rientrano nella categoria dei dati sensibili – ha osservato l’Autorità – ai quali la disciplina di protezione dei dati riconosce particolari forme di tutela. Il datore di lavoro può lecitamente trattarli in base alla legge per adempiere agli obblighi derivanti dal rapporto di lavoro, ad esempio per effettuare il versamento delle quote di iscrizione ad associazioni o organizzazioni sindacali su delega e per conto del dipendente. In questo caso invece l’amministrazione non si è limitata a comunicare alla Rappresentanza sindacale la revoca dell’affiliazione di alcuni lavoratori, ma ha inviato a tutti i componenti della sigla sindacale una e-mail cui erano allegati dei documenti nei quali era espressamente indicata l’iscrizione dei lavoratori che avevano aderito ad un altro sindacato. Ciò ha determinato una illecita comunicazione di dati personali sensibili dei reclamanti . A conclusione dell’istruttoria il Garante ha ritenuto che dalla valutazione degli elementi acquisiti la condotta dell’Azienda, pur difforme dalla disciplina applicabile, abbia esaurito i suoi effetti e non sussistono quindi i presupposti per l’adozione di un provvedimento prescrittivo o inibitorio. L’Autorità si è riservata però di avviare un autonomo procedimento per valutare la contestazione di una eventuale violazione amministrativa per l’illecita comunicazione dei dati sindacali.
Vi informiamo che il Garante per la protezione dei dati personali ha pubblicato, in data 24 aprile 2015, un Vademecum con le regole per il corretto trattamento dei dati personali dei lavoratori da parte di soggetti pubblici e privati che Vi alleghiamo per Vostro opportuna conoscenza. Il Vademecum tratta, in forma semplificata, della gestione dei dati sensibili dei lavoratori. In particolare: del cartellino identificativo della bacheca aziendale della pubblicazione del curriculum della pubblicazione dei dati del lavoratore sui siti web e sulle reti interne della gestione dei dati sanitari dei dati biometrici della posta aziendale (internet/intranet) dei controlli effettuati per motivi organizzativi o di sicurezza dei controlli a distanza (videosorveglianza e geolocalizzazione).
