Garante per la protezione
    dei dati personali


Sistemi di localizzazione e videosorveglianza. Utilizzo dei dati per fini disciplinari e tutela dei lavoratori

PROVVEDIMENTO DEL 2 OTTOBRE 2014

Registrodei provvedimenti
 n. 434 del 2 ottobre 2014

 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

ESAMINATAla documentazione in atti;

VISTO ild.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTO ilprovvedimento generale adottato dal Garante l'8 aprile 2010, in materia ditrattamento di dati personali effettuato tramite sistemi di videosorveglianza(pubblicato sulla Gazzetta Ufficiale  n. 99 del 24 giugno 2010;

VISTI iverbali degli accertamenti ispettivi effettuati, a seguito di una segnalazioneal Garante, il 24 e 25 settembre 2013 dal Nucleo Speciale Privacy della Guardiadi Finanza presso la sede di A.M.A.CO. s.p.a. di Cosenza (di seguito, la società),dai quali, in relazione all'installazione di un impianto di videosorveglianza, èemerso che:

-    il sistema è composto da undicitelecamere poste all'esterno degli edifici della società e in corrispondenzadegli accessi, e da una telecamera collocata all'interno dell'edificioprincipale che visualizza "l'ingresso e parte dell'atrio, senza inquadraredirettamente il rilevatore per la lettura dei badge ivi presente", nonchédi un server dove le registrazioni delle immagini (posto che, secondo quantodichiarato, non sarebbe prevista alcuna registrazione audio) sono conservateper 72 ore (cfr. verbale 24.9.2013, p. 3 e 4);

-    l'adozione (e la successivaimplementazione) del menzionato sistema, secondo quanto rappresentato daltitolare del trattamento, si è resa necessaria allo scopo di "tutelare ilpatrimonio aziendale ed i beni di terzi (ad es. autobus del Comune con i qualisi svolge il servizio di scuolabus e veicoli rimossi che si trovanoparcheggiati all'interno della struttura), nonché per finalità di sicurezza,dato che è presente in struttura un impianto di rifornimento del metano ed unimpianto di rifornimento di gasolio", anche a seguito del verificarsi, inpassato, di furti ed accessi non autorizzati (cfr. verbale cit., p. 3 e 4);

-    la presenza delle telecamere, comeaccertato in sede di sopralluogo, "è adeguatamente segnalata da cartellidi vario tipo" (cfr. verbale cit., p. 3);

-    la Direzione Territoriale delLavoro di Cosenza, a seguito dell'ispezione effettuata il 2.5.2013 presso ilocali della società e della successiva verifica dell'adempimento delleprescrizioni nell'occasione impartite, in data 4.9.2013 ha autorizzato, aisensi dell'art. 4, comma 2, legge n. 300/1970,  l'installazione delsistema di videosorveglianza (cfr. All. 2 verbale cit.);

-    secondo quanto dichiarato dalrappresentate della società "il sistema è stato utilizzato una sola voltaper fare contestazioni disciplinari ad un dipendente, dirigente sindacale. Inquella circostanza, fu rilevato lo spostamento di due telecamere e, ipotizzandodanneggiamenti, l'azienda si rivolse ai Carabinieri, con i quali furono vistele registrazioni e fu riscontrato che il dipendente aveva manomesso (spostateverso l'alto) le telecamere, pur senza danneggiarle, ed era entrato con lapropria autovettura in un'area vietata" (cfr. verbale cit., p. 3 e 4);

VISTOche a seguito dei menzionati accertamenti ispettivi, in relazioneall'installazione di un sistema di localizzazione dei veicoli, è emerso che:

-    il sistema prevede lalocalizzazione di 44 (su 57) veicoli adibiti al trasporto di persone dotati,allo scopo, di  rilevatore GPS/GPRS (cfr. verbale 25.9.2013, p. 2);

-    posto che il predetto sistema"è concretamente utilizzato per una ridottissima parte delle suepotenzialità", le informazioni allo stato rilevate sono: posizionegeografica del veicolo, apertura porte, azionamento pedana disabili,superamento della velocità massima consentita (cfr. verbale cit., p. 3);

-    tali informazioni sono"associate a ciascun veicolo [Š], individuato con l'identificativoassegnato dal sistema stesso. Solo attraverso l'eventuale confronto con ilfoglio di servizio [Š] e con la verifica dell'assegnazione giornaliera delveicolo, è possibile associare al singolo dipendente le informazioni riferitead una determinata vettura" (cfr. verbale cit., p. 3);

-    in sede di sopralluogo è statoaccertato che "il segnale che determina la localizzazione dei veicoli vienerilevato solo al verificarsi degli eventi configurati", ossia:"accensione", "spegnimento" [funzioni di base],"pedana fuori", "porta aperta" e "velocità superiore a50Km/h" [funzioni avanzate] (cfr. verbale cit., p. 2);

-    nel corso del sopralluogo è statoaltresì accertato che "i dati rilevati [Š] non vengono cancellati erestano memorizzati nel sistema, dal quale è [anche] emerso che il «Diario dibordo» meno recente in relazione al veicolo [Š] risale al 03.01.2011"(cfr. verbale cit., p. 2);

-    su 44 veicoli geolocalizzati"solo per n. 36 è possibile ricostruire il «Diario di bordo», ovvero glispostamenti rilevati (attraverso i predetti parametri), in quanto i restanti n.8, non dotati di impianto elettrico monocavo, sono in grado di far rilevaresolo i segnali emessi per «accensione» e «spegnimento» del veicolo" (cfr.verbale cit., p. 2);

-    gli autisti dei veicoli hannoanche l'obbligo "di compilare, per ciascun turno effettuato, un foglio dimarcia, contenente, per ciascuna corsa, località ed orari di partenza e diarrivo ed eventuali anomalie riscontrate (corsa in ritardo; corsa limitata;ecc.). Tale foglio di marcia, così come il foglio di servizio, viene conservatoper cinque anni in ottemperanza alla disciplina vigente" (cfr. verbalecit., p. 3);

-    secondo quanto dichiarato dalla societàin relazione ai tempi di conservazione dei dati, "il sistema non èpredisposto per cancellare i dati raccolti, posto che l'azienda, in particolareper quanto riguarda i dati storici, li utilizza solo per finalitàtecnico-statistiche [Š] dunque senza associarli ai nominativi dei singolidipendenti" (cfr. verbale cit., p. 3);

-    con riferimento alle finalitàperseguite attraverso il trattamento dei dati relativi alla localizzazione deiveicoli la società ha rappresentato che queste consistono nella: gestione deireclami; definizione dei tempi di percorrenza dei veicoli al fine di realizzareil programma di esercizio; miglioramento della qualità del servizio attraversol'elaborazione di informazioni tecnico-statistiche; verifica dello stato diefficienza dei veicoli; nonché l'effettuazione di "verifiche relative adeventuali denunce di sinistri occorsi ai veicoli, dai quali dovesse scaturirela necessità di consultare i dati registrati sul Diario di bordo [sebbenef]inora questa eventualità non si [sia] mai verificata" (cfr. verbalecit., p. 3);

-    per quanto riguarda, inparticolare, l'attività di gestione dei reclami, la società ha specificato cheal momento della ricezione di una lamentela sul servizio, per prima cosa vieneeffettuata una verifica sul foglio di marcia all'interno del quale l'autista hal'obbligo di annotare eventuali irregolarità di servizio occorse. "Solonel caso in cui sul foglio di marcia [...] non risultasse alcuna irregolaritàriconducibile all'oggetto del reclamo, l'azienda può ritenere opportunoconsultare i dati del sistema ed, eventualmente, avviare un procedimentodisciplinare"; la società ha comunque tenuto a precisare che "laconsultazione dei dati relativi alla geolocalizzazione, nella gran parte deicasi, non [ha] comportato l'adozione di provvedimenti disciplinari" (cfr.verbale cit., p. 4);

-    in definitiva "posto che lafinalità principale è quella di fornire adeguata risposta ai reclamidell'utenza – anche alla luce del regolamento per la gestione dellesegnalazioni degli utenti, che ci impone di rispondere agli stessi entro trentagiorni, nonché dei criteri in base ai quali poter conseguire la certificazionedi qualità del servizio ISO 9000/2008 – il controllo è effettuato solo aposteriori. Non c'è controllo in tempo reale né monitoraggio continuo [né],pertanto, [Š] controllo a distanza dei lavoratori" (cfr. verbale cit., p.3 e 4);

-    per quanto riguarda l'obbligo diinformare i dipendenti ai sensi dell'art. 13 del Codice, la società hadichiarato di non aver disposto l'affissione di vetrofanie sui singoli automezzidato che "tutti gli autisti sono stati compiutamente informati, inoccasione dei corsi di formazione tenutisi in occasione dell'arrivo dei veicolia metano [Š], che sono quelli dotati di rilevatore per la geolocalizzazione, ein occasione dei corsi tenutisi per l'assunzione di nuovi autisti. Peraltro,questi veicoli sono riconoscibili dagli autisti in quanto presentano alcunecaratteristiche peculiari, quali, ad esempio: presenza del computer di bordo,colore rosso anziché arancione e alimentazione a metano anziché a gasolio"(cfr. verbale cit., p. 4);

-    i dati raccolti tramite ilmenzionato sistema "sono accessibili solo mediante una procedura diautenticazione e sono custoditi nel pc/server e sui supporti che si trovanonella disponibilità dello specialista tecnico dell'azienda" (cfr. verbalecit., p. 4);

-    la società non ha provveduto adeffettuare la notificazione "in quanto non era al corrente dell'esistenzadi tale obbligo" (cfr. verbale cit., p. 4);

-    per quanto riguarda, infine, laconformità alla disciplina di settore in materia di controllo a distanza deilavoratori in relazione all'adozione del sistema di localizzazione "finoad ora non sono state avviate le procedure previste dall'art. 4, c. 2, dellalegge 300/1970 perché non si riteneva di essere tenuti ad ottemperarle"(cfr. verbale cit., p. 5);

VISTA lanota dell'8.10.2013 con la quale la società ha comunicato di aver effettuatonella medesima data la notificazione al Garante ai sensi dell'art. 37, co. 1,lett. a) del Codice;

VISTOl'art. 10, comma 2, dello schema di contratto per l'affidamento dei servizi ditrasporto pubblico locale su gomma, approvato con deliberazione della giuntadella regione Calabria n. 173 del 20.5.2013, in base al quale la societàaffidataria dei servizi "si dota di un sistema di certificazione dellapercorrenza, che sarà necessariamente ed inderogabilmente posto in funzione dal1° luglio 2013, in grado anche di conoscere la posizione di ciascun mezzo intempo reale";

VISTOche, a seguito degli accertamenti, la società è risultata essere titolare deitrattamenti di dati personali effettuati ai sensi dell'art. 28 del Codice;

RILEVATOche in termini generali il trattamento di dati personali dei dipendentieffettuato dalla società attraverso il sistema di videosorveglianza, allostato, anche in considerazione dell'adempimento delle prescrizioni impartitedalla competente Direzione Territoriale del Lavoro, non si pone in contrastocon la disciplina di protezione dei dati personali né con il richiamatoprovvedimento generale dell'8.4.2010;

RITENUTO,tuttavia, che nel caso di specie i dati personali dei dipendenti sono trattatiattraverso il sistema di videosorveglianza per finalità di tutela dei beniaziendali e di terzi nonché per finalità di sicurezza e che pertanto eventualioperazioni di trattamento effettuate allo scopo ulteriore di contestareilleciti disciplinari ai dipendenti non siano conformi al principio di finalitàdel trattamento (cfr. art. 11, comma 1, lett. b) del Codice); ritenuto che taliulteriori trattamenti non siano altresì conformi alla disciplina posta inmateria di controllo a  distanza dei dipendenti, posto che, secondo quantochiarito dal Garante, "non devono essere effettuate riprese al fine diverificare [Š] la correttezza nell'esecuzione della prestazionelavorativa" (cfr. provvedimento 8.4.2010 cit., punto 4.1);

VISTOche attraverso il descritto sistema di localizzazione la società effettua untrattamento di dati personali attraverso l'eventuale confronto con il foglio diservizio e la verifica dell'assegnazione del veicolo aziendale al dipendente;

VISTO ilprovvedimento n. 370 adottato dal Garante il 4 ottobre 2011, in materia disistemi di localizzazione di veicoli nell'ambito del rapporto di lavoro (pubblicatoin www.garanteprivacy.it e inparticolare il punto 2, dove si chiarisce che i titolari del trattamentopossono effettuare lecitamente il trattamento al fine di soddisfare esigenzeorganizzative e produttive ovvero per la sicurezza sul lavoro, anche in assenzadel consenso degli interessati, purché venga osservata la disciplina di settorein materia di controlli a distanza dei dipendenti (artt. 114 del Codice e 4, l.20.5.1970, n. 300);

RITENUTOpertanto che, con riferimento al principio di liceità (v. art. 11, comma 1,lett. a) e 114 del Codice), i trattamenti effettuati dalla società attraversoil sistema di localizzazione al dichiarato fine di migliorare la qualità delservizio, di gestire i reclami degli utenti (anche verificandone l'attendibilità)nonché di ottemperare a quanto richiesto dalla regione Calabria in sede diaffidamento del servizio, consentono altresì di effettuare il controllo adistanza dell'attività dei dipendenti che prestano servizio a bordo dei veicoliaziendali; in base a quanto previsto dalla specifica disciplina di settore(art. 4, comma 2, l. 20.5.1970, n. 300), devono dunque essere attivate leprocedure di garanzia ivi previste (accordo con le rappresentanze sindacaliaziendali oppure, in difetto di accordo, autorizzazione rilasciata dallacompetente Direzione Territoriale del Lavoro);

RITENUTOaltresì che nel caso di specie i dati personali dei dipendenti sono trattatiattraverso il sistema di localizzazione per esigenze organizzative e produttivee che pertanto eventuali operazioni di trattamento effettuate allo scopoulteriore di contestare illeciti disciplinari ai dipendenti non siano conformial principio di finalità del trattamento (cfr. art. 11, comma 1, lett. b) delCodice); ritenuto che tali ulteriori trattamenti non siano altresì conformialla disciplina posta in materia di controllo a  distanza dei dipendenti,laddove vieta di installare dispositivi allo scopo di effettuare un controllosull'attività lavorativa (cfr. art. 4, l. 20.5.1970, n. 300);

CONSIDERATOche in base al principio di proporzionalità, pertinenza e non eccedenza deltrattamento rispetto alle finalità perseguite (art. 11, comma 1, lett. d) ed e)del Codice) il titolare è tenuto ad individuare i tempi di conservazione dellediverse tipologie di dati personali trattati;

RITENUTOdi dover prescrivere alla società di predisporre un'informativa da rendere nonsolo ai dipendenti bensì anche agli utenti del servizio e ai cittadini chepotrebbero essere interessati dai trattamenti in esame in considerazione delprospettato utilizzo dei dati raccolti con il sistema di localizzazione (anche)in vista della precostituzione di elementi di prova in caso di sinistri, dunqueper finalità di tutela dei diritti (cfr. artt. 11, comma 1, lett. a) e 24,comma 1, lett. f) del Codice); a tale scopo si ritiene che possa essereutilizzato un modello semplificato di informativa collocato sui veicoli fornitidi dispositivo di localizzazione (v. provv.ti n. 370 del 4 ottobre 2011 [punto4] e n. 368 del 29.11.2012, doc. web n. 2257616);

RITENUTOche nel rispetto del principio di necessità (art. 3 del Codice) la società dovrà,in caso di comunicazione a terzi (segnatamente: centrale operativa regionale econsorzi delle aziende di trasporto in base alla convenzione in atti stipulatatra la regione Calabria e l'università della Calabria nell'ambito del pianosull'infomobilità) dei dati di localizzazione – per finalità di controllosullo svolgimento del servizio di trasporto pubblico locale nonché di fornituradi servizi di infomobilità ai cittadini ed utenti –, provvedere a far sìche gli autisti dei veicoli geolocalizzati non siano identificabili;

RITENUTOpertanto che il descritto trattamento risulta effettuato dalla società, neitermini di cui in motivazione, in violazione della disciplina di protezione deidati personali nonché della rilevante disciplina di settore (artt. 11, comma 1,lett. a), b), e) e 114 del Codice in relazione all'art. 4, comma 2, l. n. 300/1970);

CONSIDERATOche, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), delCodice il Garante può prescrivere anche d'ufficio le misure necessarie oopportune al fine di rendere il trattamento conforme alle disposizioni vigenti;

RITENUTOpertanto di dover prescrivere alla società, quali misure necessarie al fine direndere i trattamenti effettuati conformi alla disciplina in materia diprotezione dei dati personali, di:

-    attivare le procedure previste dalrichiamato art. 4, comma 2, l. n. 300/1970, fatti salvi nel frattempo i dirittidei lavoratori, in relazione al trattamento dei dati di localizzazione;

-    non utilizzare i dati trattatiattraverso i sistemi di videosorveglianza e di geolocalizzazione per finalità dicontestazione disciplinare in violazione della vigente disciplina in materia dicontrolli a distanza dei lavoratori;

-    individuare congrui tempi diconservazione dei dati di localizzazione, in applicazione del principio diproporzionalità, in relazione alle finalità perseguite;

-    predisporre un'informativasemplificata da apporre in modo visibile sui veicoli geolocalizzati;

-    con particolare riferimentoall'attività di localizzazione, in caso di comunicazione a terzi, procederepreliminarmente all'anonimizzazione dei dati personali trattati;

RILEVATOche, in caso di inosservanza del presente provvedimento, si renderà applicabilela sanzione di cui all'art. 162, comma 2-ter del Codice;

RISERVATAla possibilità di verificare, con autonomo procedimento, la sussistenza diilleciti amministrativi con particolare riferimento all'omessa informativa enotificazione al Garante (ai sensi dell'art. 37, comma 1, lett. a) del Codice)del trattamento dei dati di localizzazione anteriormente all'8.10.2013;

VISTE leosservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREil dott. Antonello Soro;

TUTTO CIO' PREMESSO, IL GARANTE

nei confronti di A.M.A.CO. s.p.a. di Cosenza:

1.   ritenuto illecito, nei termini di cuiin motivazione, il trattamento effettuato a mezzo del sistema di localizzazionedei veicoli aziendali prescrive, ai sensi dell'art. 154, comma 1, lett. c) e143, comma 1, lett. b) e 144 del Codice, di:

a.  attivare senza ritardo le procedure previstedal richiamato art. 4, comma 2, l. n. 300/1970, fatti salvi nel frattempo idiritti dei lavoratori;

b.  individuare congrui tempi di conservazionedei dati in relazione alle finalità perseguite;

c.  predisporre un'informativa semplificata daapporre in modo visibile sui veicoli geolocalizzati;

d.  procedere preliminarmente all'anonimizzazionedei dati personali trattati in caso di comunicazione a terzi;

e.  non utilizzare i dati trattati per finalitàdi contestazione disciplinare in violazione del principio di finalità e dellavigente disciplina in materia di controlli a distanza dei lavoratori;

2.  con riferimento ai dati personali trattatiattraverso il sistema di videosorveglianza prescrive quale misura necessaria,ai sensi dell'art. 154, comma 1, lett. c) e 143, comma 1, lett. b) e 144 delCodice, di non utilizzare i dati trattati per finalità di contestazionedisciplinare in violazione del principio di finalità e in violazione dellavigente disciplina in materia di controlli a distanza dei lavoratori;

3.  ai sensi dell'art. 157 del Codice, invita lasocietà a dare comunicazione al Garante delle misure adottate entro 40 giornidalla data di ricezione del presente provvedimento.

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 2 ottobre 2014

Il presidente
Soro

Il relatore
Soro

Il segretario generale
Busia