Garante per la protezione
    dei dati personali


PROVVEDIMENTO DEL 10 LUGLIO 2014

Registro dei provvedimenti
 n. 365 del 10 luglio 2014

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e delladott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia,segretario generale;

VISTOil ricorso al Garante, presentato il 7 aprile 2014, nei confronti di FiegeLogistics S.p.A., Consorzio Ge.S.A. – Gestione Servizi Aziendali soc.coop-, L e L Service soc. coop. in liquidazione e Antea Service soc. coop. inliquidazione, con il quale XY, KW, HZ e JK, rappresentate e difese dagli avv.tiNyranne Moshi, Ivan Assael e Daniela Palmieri, ribadendo le istanze giàavanzate ai sensi degli artt. 7 e 8 d.lgs. 30 giugno 2003, n. 196, Codice inmateria di protezione dei dati personali (di seguito "Codice"),impiegate presso un impianto di proprietà di Fiege Logistics S.p.A. la cui"attività di movimentazione merci (Š), appaltata al Consorzio Ge.S.A. soc.coop.", è stata affidata in subappalto alla cooperativa L e L Service cui èsucceduta, a far data dal 2 maggio 2013, Antea Service soc. coop., hannochiesto di ottenere la comunicazione in forma intellegibile dei dati che leriguardano acquisiti dalle società resistenti nel corso di svolgimento delrapporto lavorativo, con particolare riguardo ai dati biometrici utilizzati permonitorare gli accessi del personale al luogo di lavoro; le ricorrenti hannoaltresì manifestato la propria opposizione all'ulteriore trattamento dei propridati biometrici lamentando l'indebito utilizzo, in violazione, tra l'altro, deiprincipi generali di necessità e proporzionalità previsti dal Codice, di un"sistema di rilevamento delle presenze tramite (Š) impronta palmare deilavoratori con memorizzazione dei dati" finalizzato a "garantire ilcostante monitoraggio degli accessi e delle presenze", nonché "lafatturazione dei corrispettivi degli appaltatori e (Š) il controllo dei livellidi servizio", tenuto conto che "le operazioni di accesso al depositonon risultano connotate da alcun grado di rischiosità per i beni e le personetale da giustificare (Š) un accertamento tanto rigoroso";

VISTIgli ulteriori atti d'ufficio e, in particolare, la nota del 10 aprile 2014 conla quale questa Autorità, ai sensi dell'art. 149 comma 1 del Codice, hainvitato i titolari del trattamento a fornire riscontro alle richieste delleinteressate, il verbale dell'audizione svoltasi presso la sede dell'Autorità indata 28 aprile 2014, nonché la nota del 5 giugno 2014 con cui è stata disposta,ai sensi dell'art. 149 comma 7 del Codice, la proroga del termine per ladecisione sul ricorso;

VISTAla nota del 22 aprile 2014 con cui Consorzio Ge.S.A., rappresentato e difesodall'avv. Luis Eduardo Vaghi, pur confermando di essere legato da vincolocontrattuale con le due Cooperative di lavoro coinvolte nel presenteprocedimento in favore delle quali svolge un'attività di assistenza amministrativae commerciale, ha comunque chiesto l'estromissione dal presente procedimentodichiarando di non aver "mai intrattenuto rapporti diretti con i singolisoci lavoratori delle proprie consorziate e tanto meno con le odierne partiRicorrenti, le quali non hanno mai lavorato direttamente per il Consorzio masono legate e vincolate da rapporto autonomo con il sodalizio diappartenenza"; la resistente ha peraltro precisato che "non si è maioccupato delle problematiche relative (Š) all'uso inadeguato dei rilevatoribiometrici", eccependo altresì che "lo strumento di rilevamento dellageometria della mano (Š) non è mai stato di proprietà del Consorzio GESA netanto meno quest'ultimo ha provveduto, in qualsiasi modo e forma, alla suapredisposizione, installazione e manutenzione sul cantiere FIEGE"limitandosi a ricevere "mensilmente il "monte ore" lavorato daisoci delle singole consorziate su ogni singolo appalto, per poi riportarlonelle fatture di competenza", finalità per la quale "non avevaaccesso ai dati personali e biometrici o quelli della "geometria dellamano" dei singoli Soci Lavoratori delle Cooperative che gestivanodirettamente quei dati"; il Consorzio Ge.S.A. ha comunque aggiunto che,sulla base di una verifica condotta dal medesimo, si è potuto rilevare che"sul cantiere FIEGE ( unità operativa di Caleppio ) è stata utilizzatal'apparecchiatura elettronica ID3D installata dalla Cooperativa L&L Servicedall'Impresa CIMA S.r.l. di Milano (Š) per sostituire il badge elettronico, avolte utilizzato in modo irregolare" che "rileva solo la geometriadella mano (Š) rinviando il rilevamento sul data base installato in un PCremoto";

VISTAla nota del 24 aprile 2014 con cui Fiege Logistics S.p.A, nell'eccepire lapropria estraneità ai fatti contestati con il presente ricorso, harappresentato che, nell'ambito dello svolgimento della propria attività,"al fine di migliorare la gestione dei propri depositi, è solita stipularedei contratti di appalto/fornitura di servizi con i quali affida a cooperativespecializzate la gestione e la pulizia dei propri magazzini", come si èverificato con il Consorzio Ge.S.A. con il quale è stata stipulata appositaconvenzione per la gestione del "magazzino di Caleppio" in data1/1/2010; la resistente ha inoltre precisato che quest'ultimo "sceglieliberamente le proprie consorziate cui affidare i lavori senza alcunainterferenza o intromissione da parte di Fiege" che "non ha alcunacompetenza in merito alle decisioni circa le finalità, le modalità deltrattamento dei dati personali e degli strumenti utilizzati" e che,proprio per tale ragione, "non ha mai utilizzato il sistema di rilevamentopresenze, né ha consultato, né poteva farlo, i dati in esso contenuti";

VISTAla nota del 28 aprile 2014 con cui le ricorrenti, nel replicare al riscontrofornito da Consorzio Ge.S.A, hanno insistito nella richiesta di opposizione altrattamento dei dati biometrici che le riguarda rappresentando che "lecooperative L e L Service soc.coop. e Antea Service soc.coop.non hanno propriastruttura amministrativa ma fanno riferimento, per quanto riguardal'amministrazione della propria attività, i rapporti individuali coi soci dicooperativa e la gestione del rapporto d'appalto intrattenuto con lacommittente Fiege S.p.A., al Consorzio Ge.S.A.", come dimostrato dal fattoche "gli stessi uffici amministrativi per la gestione del personale dellecooperative (Š) cui i soci lavoratori facevano riferimento per ogniproblematica relativa al rapporto di lavoro, sono gli stessi utilizzati comesede amministrativa del Consorzio"; le interessate hanno pertanto eccepitoche, in virtù dell'utilizzo della stessa struttura amministrativa, non appare"verosimile l'assunto su cui il Consorzio fonda la propria preliminareeccezione di estraneità rispetto alla gestione dei rapporti lavorativi dei socicon le cooperative", rilevando altresì che la "semplice produzionedelle fatture relative alle ore lavorative dei soci delle cooperative nonesclude il trattamento dei dati delle ricorrenti da parte del Consorzio dalmomento che tali dati vengono conservati presso i medesimi uffici e all'internodegli stessi database in uso al Consorzio";

RILEVATOche Fiege Logistics S.p.A. e Consorzio Ge.S.A. hanno omesso di rispondereall'interpello preventivo proposto dalle ricorrenti le quali hanno pertantolegittimamente proposto ricorso al Garante ai sensi dell'art. 145 del Codice;ritenuto che, avendo le società resistenti dichiarato, solo nel corso delprocedimento, con dichiarazione della cui veridicità l'autore risponde ai sensidell'art. 168 del Codice "Falsità nelle dichiarazioni e notificazioni alGarante", di non essere titolari del trattamento dei dati riferiti allemedesime, deve essere dichiarato, nei confronti delle medesime, non luogo aprovvedere sul ricorso ai sensi dell'art. 149 comma 2 del Codice;

RILEVATOche L e L Service soc. coop. in liquidazione e Antea Service soc. coop. inliquidazione non hanno fornito alcun riscontro alle ricorrenti né prima né dopol'inizio del procedimento; rilevato che la copia del ricorso e dell'invito adaderire alle richieste nello stesso proposte sono stati inviati alle resistentiper mezzo di raccomandata a/r, ma sono tornati al mittente con la dicitura"trasferito"; rilevato che la comunicazione della proroga del termineper la decisione sul ricorso, unitamente a copia degli atti di cui era giàstato tentato il recapito, sono state inviate, anche ai sensi dell'art. 157, atali società all'indirizzo di posta certificata risultante dal registro dellaCamera di commercio, artigianato e agricoltura di Milano e risultano consegnatenella casella di destinazione in data 5 giugno 2014; rilevato che le predettesocietà non hanno fornito alcuna risposta entro il termine indicato e che conseparato procedimento l'Ufficio provvederà a contestare a L e L Service soc.coop. in liquidazione e Antea Service soc. coop. in liquidazione la sanzioneamministrativa di cui all'art. 164 del Codice;

RILEVATOche, nel caso di specie, risulta applicabile la disciplina in materia diprotezione dei dati personali, avendo le ricorrenti chiesto, tramitel'interpello preventivo, la comunicazione di dati personali che le riguardanotrattati nel corso di svolgimento del rapporto di lavoro da L e L Service soc.coop., nonché, a partire dal 2 maggio 2013, da Antea Service soc. coop., entrambe attualmente in liquidazione;

RILEVATOaltresì, con particolare riguardo alla richiesta di opposizione all'ulterioretrattamento di dati biometrici avanzata dalle ricorrenti, che, pur in assenzadi riscontro da parte dei rispettivi titolari, dalle informazioni comunqueacquisite nel corso del procedimento emergono dubbi in ordine alla conformitàdel trattamento posto in essere dalle cooperative resistenti ai principigenerali dettati dal Codice, nonché alle specifiche prescrizioni dettate dall'Autorità in materia di utilizzo dei dati biometrici sul luogo di lavoro(cfr. punto n. 4 delle "Linee guida in materia di trattamento di datipersonali di lavoratori per finalità di gestione del rapporto di lavoro alledipendenze di datori di lavoro privati" adottate dal Garante condeliberazione n. 53 del 23 novembre 2006, pubblicate sulla G.U. 7 dicembre 2006n. 285), non essendo peraltro precisato quali tipologie di dati sianoesattamente oggetto di trattamento mediante il predetto sistema di rilevamento;

RITENUTO,pertanto, di dover accogliere il ricorso nei confronti di L e L Service soc.coop. in liquidazione e di Antea Service soc. coop. in liquidazione e di doverordinare a carico delle medesime di comunicare alle ricorrenti, secondo lemodalità indicate dall'art. 10 del Codice, i dati personali che le riguardanoacquisiti nel corso di svolgimento del rapporto di lavoro così comespecificamente indicati nell'atto di ricorso, entro il termine di trenta giornidalla ricezione del presente provvedimento; ritenuto di dover, allo stato,altresì accogliere la richiesta di opposizione all'ulteriore trattamento deidati delle ricorrenti raccolti attraverso il sistema di rilevamento delleimpronte palmari, ordinandone la sospensione in via cautelativa (ad eccezionedelle operazioni necessarie a garantire l'esercizio del diritto di accesso alleinteressate) a partire dalla data di ricezione del presente provvedimento;

RILEVATOinfine che, alla luce di quanto emerso nel corso del procedimento in ordine altrattamento di dati dei lavoratori qualificati come biometrici, l'Autorità siriserva di avviare un autonomo procedimento al fine di verificarne la liceità edi prescrivere, se del caso, le eventuali misure necessarie a garantire laconformità del trattamento alle disposizioni normative vigenti in materia;

VISTIgli artt. 145 e ss. del Codice;

VISTEle osservazioni dell'Ufficio foàmulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

TUTTO CIO' PREMESSO IL GARANTE:

a)accoglie il ricorso nei confronti di L e L Service soc. coop. in liquidazione edi Antea Service soc. coop. in liquidazione e, per l'effetto, ordina dicomunicare alle ricorrenti, secondo le modalità di cui all'art. 10 del Codiceed entro il termine di trenta giorni dalla ricezione del presenteprovvedimento, i dati personali che le riguardano detenuti dalle medesime,nonché di sospendere, a partire dalla ricezione del presente provvedimento, leoperazioni di trattamento dei dati biometrici delle ricorrenti;

b)dichiara non luogo a provvedere sul ricorso nei confronti di Fiege LogisticsS.p.A., Consorzio Ge.S.A. – Gestione Servizi Aziendali soc. coop.

IlGarante, nel prescrivere a L e L Service soc. coop. in liquidazione e ad AnteaService soc. coop. in liquidazione, ai sensi dell'art. 157 del Codice, dicomunicare quali iniziative siano state intraprese al fine di dare attuazioneal presente provvedimento entro quarantacinque giorni dalla ricezione dellostesso, ricorda che l'inosservanza di provvedimenti del Garante adottati insede di decisione dei ricorsi è punita ai sensi dell'art. 170 del Codice . Siricorda che il mancato riscontro alla richiesta ex art. 157 è punito con lasanzione amministrativa di cui all'art. 164 del Codice.

Aisensi degli artt. 152 del Codice e 10 d.lgs. n. 150 del 2011, avverso ilpresente provvedimento può essere proposta opposizione all'autoritàgiudiziaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 10 luglio 2014

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia