|
Garante per la protezione dei dati personali Patronati sindacali e trattamento di dati riguardanti i lavoratori PROVVEDIMENTO DEL 2 OTTOBRE 2009 IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti; VISTO il d.lg. 30 giugno 2003, n. 196/2003 (Codice in materia di protezione dei dati personali); VISTE le segnalazioni pervenute in ordine al trattamento di dati personali svolto, in particolare, dal patronato Inas-Cisl relativamente ai dati contenuti negli estratti-conto contributivi riferiti ad alcuni lavoratori; VISTE le risultanze degli accertamenti ispettivi; ESAMINATA la documentazione in atti; VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000; Relatore il dott. Mauro Paissan; PREMESSO 1. Le segnalazioni pervenute. Sono pervenute a questa Autorit alcune segnalazioni (complessivamente quattordici), tutte dello stesso tenore, aventi ad oggetto il trattamento, da parte delle sedi zonali di Pomezia e Nettuno del patronato Inas-Cisl, per lo pi di dati personali anagrafici e di quelli relativi alla situazione contributiva di alcuni lavoratori di Fiorucci S.p.A. (di seguito, la societ) interessati da una procedura di mobilit. Secondo quanto riferito dai segnalanti, il patronato Inas-Cisl avrebbe acquisito presso l'Inps, in attuazione degli accordi sindacali sottoscritti dalla societ in conformit alla pertinente disciplina di settore (in particolare, gli artt. 4, 5 e 24 della legge 23 luglio 1991, n. 223), un "estratto-conto" relativo alla propria anzianit contributiva, utile a consentire alla "commissione tecnica" appositamente istituita presso la societ (composta da rappresentanti sia aziendali che sindacali) la verifica del possesso dei requisiti necessari (in particolare, anagrafici e contributivi) all'individuazione dei dipendenti da collocare eventualmente in mobilit; ci, peraltro, senza che fosse stata rilasciata al predetto patronato alcuna specifica delega allo scopo. In base alle dichiarazioni rese dagli interessati –alcuni dei quali, peraltro, licenziati all'esito della menzionata procedura di mobilit– il patronato Inas-Cisl, sedi zonali di Pomezia e Nettuno, non avrebbe avuto titolo per accedere alle informazioni innanzi richiamate; ci, anche in considerazione dell'asserito rilascio ad altro patronato della delega per l'acquisizione dell'anzidetto "estratto-conto contributivo". I segnalanti, anche alla luce del riscontro fornito loro dall'Inps a seguito di apposita richiesta formulata all'istituto (che ha evidenziato il rilascio di una presunta delega proprio al patronato Inas-Cisl per l'acquisizione dei richiamati estratti-conto contributivi), hanno dunque chiesto un intervento di questa Autorit volto a valutare la liceit del trattamento effettuato dal menzionato patronato, oltre che da altri soggetti (eventualmente) coinvolti a vario titolo nella vicenda. 2. Le posizioni della societ e del patronato. 2.1. A seguito di preliminari richieste di informazioni formulate da questa Autorit, la societ e il patronato hanno fatto pervenire le proprie osservazioni in ordine alla vicenda oggetto di esame. 2.3. Per parte sua, il patronato Inas-Cisl ha riferito di aver ricevuto incarico di acquisire i predetti estratti-conto da parte di uno dei rappresentanti sindacali coinvolti nella gestione della citata procedura e di aver trattato i dati personali ivi contenuti per finalit di tutela degli stessi lavoratori interessati; al riguardo, infatti, stato precisato che l'accesso ai predetti dati era rivolto "nell'esclusivo interesse dei lavoratori, ad una loro maggiore tutela", essendo finalizzato ad individuare, tra tutti i lavoratori coinvolti nelle menzionate procedure, coloro che avrebbero subito il minor disagio dall'adozione dei provvedimenti risolutivi del rapporto di lavoro (cfr. nota del 28 luglio 2008, in atti). La vicenda, secondo quanto riferito dal patronato, rappresenterebbe comunque "un fatto episodico e circoscritto" che chiama in causa l'allora responsabile della sede zonale di competenza. 3. Le risultanze degli accertamenti ispettivi. Al fine di acquisire pi dettagliate informazioni circa la vicenda segnalata, questa Autorit ha effettuato alcuni accertamenti in loco. Tali circostanze sono state confermate da un rappresentante sindacale della Cgil (intervenuto in qualit di partecipante alla "commissione tecnica" istituita presso l'azienda per l'individuazione dei lavoratori "pensionabili"), secondo cui i rappresentanti sindacali coinvolti nei lavori della citata commissione "hanno provveduto ad acquisire, presso i patronati e relativamente ai soggetti che avevano rilasciato apposita delega" i prospetti informativi riportanti "gli anni di contribuzione" e "le finestre di pensionamento", provvedendo poi a comunicarli alla societ limitatamente ai lavoratori rientranti nei criteri di mobilit contrattati. Rispetto a tali lavoratori, quindi, l'azienda si sarebbe limitata a rilevare "esclusivamente gli anni di contribuzione e le eventuali finestre di pensionamento" (cfr. verbale di operazioni compiute del 27 gennaio 2009, cit., pp. 2 e 3). Lo stesso rappresentante ha inoltre affermato che, in linea di principio, "non si pu escludere che alcuni lavoratori si siano rivolti", ai fini del conseguimento dell'estratto-conto contributivo, "a pi patronati" (cfr. verbale di operazioni compiute del 27 gennaio 2009, cit., p. 3); circostanza, questa, confermata dal rappresentante sindacale della Cisl (intervenuto anch'esso nelle vesti sopra richiamate), secondo cui i lavoratori, al fine di "avere un quadro certo della propria situazione contributiva", sono soliti avvalersi di pi rappresentanti sindacali (e, loro tramite, di pi patronati) per l'acquisizione del proprio estratto-conto (cfr. verbale di operazioni compiute del 27 gennaio 2009, cit., p. 3). Entrambi i rappresentanti hanno dichiarato di aver acquisito (per il tramite dei patronati collegati all'organizzazione sindacale di appartenenza) i soli estratti-conto relativi ai dipendenti della societ che hanno rilasciato apposita delega; il rappresentante sindacale della Cisl, inoltre, ha riferito che non sono stati in alcun modo utilizzati i dati personali contenuti negli estratti-conto di quei lavoratori che, avendo reso oralmente la delega, non hanno tuttavia provveduto alla successiva regolarizzazione della stessa (mediante rilascio in forma scritta). Dagli accertamenti effettuati e dalle dichiarazioni rese altres emerso che l'acquisizione dei dati contenuti negli estratti-conto riferiti ai lavoratori avviene, di solito, tramite una semplice interrogazione dei sistemi informativi dell'Inps ad opera dei singoli patronati. Questi ultimi, infatti, "in forza del collegamento telematico con l'Inps, possono acquisire gli estratti-conto di qualunque lavoratore sulla base del solo codice fiscale" (cfr. verbale di operazioni compiute del 27 gennaio 2009, cit., p. 3). La titolarit dei trattamenti svolti dunque da ricondursi, peraltro conformemente alle dichiarazioni rese dallo stesso patronato, in capo al patronato Inas-Cisl (sede centrale di Roma), in quanto unico organo deputato ad assumere decisioni in ordine alle finalit del trattamento e alle relative modalit, nonch ai profili relativi alla sicurezza (art. 28 del Codice). A detta del patronato, inoltre, gli uffici regionali opererebbero in qualit di co-titolari dei relativi trattamenti (cfr. verbale di operazioni compiute del 22 aprile 2009, p. 2); tale qualificazione ha riverberato i propri effetti anche sotto il profilo relativo all'adozione del documento programmatico sulla sicurezza, che risultato redatto (oltre che a livello nazionale) da "ogni singola sede regionale" (e financo territoriale) "per i profili di propria competenza" (cfr. verbale di operazioni compiute del 22 aprile 2009, cit., p. 2). Per l'erogazione dei propri servizi, il patronato si avvale di moduli prestampati per l'acquisizione della delega da parte degli interessati che intendano presentare formalmente una propria richiesta (ad esempio, l'acquisizione della "posizione contributiva" del lavoratore). Attraverso la compilazione di tali modelli –contenenti anche l'informativa relativa al trattamento dei dati personali (dalla quale si evince che "la prestazione del consenso permetter al patronato Inas di accedere alle Banche dei dati degli Enti eroganti le prestazioni limitatamente ai dati personali indispensabili per l'esecuzione del presente mandato")–, l'interessato conferisce mandato al patronato per lo svolgimento degli adempimenti connessi all'esecuzione del solo servizio richiesto. Secondo quanto riferito, "in base alle disposizioni impartite dalla sede centrale, nessuna operazione richiesta dagli utenti pu essere effettuata dagli uffici del patronato [stesso] in assenza di delega scritta (previamente acquisita) da parte di questi ultimi". Le verifiche effettuate hanno evidenziato che il patronato Inas-Cisl (per il tramite dell'allora responsabile della sede zonale di Nettuno), a fronte delle richieste formulate dai rappresentanti impegnati nelle trattative sindacali con la societ, ha in concreto "effettuato gli accessi ai sistemi Inps, anche non in presenza di una delega scritta, ma spesso basando l'attivit sul [solo] rapporto di fiducia instaurato con tali rappresentanti". A fronte di tali accessi stata effettuata una stampa degli estratti contributivi riferiti agli interessati, estratti-conto che, "ancorch senza delega sottoscritta, venivano regolarmente consegnati ai rappresentanti sindacali che ne avessero fatta richiesta" (cfr. verbale di operazioni compiute del 29 gennaio 2009, p. 2). Gli accessi risultano effettuati da incaricati del trattamento ritualmente designati ai sensi dell'art. 30 del Codice (come provato dalla documentazione acquisita, dalla quale si evince che l'incaricato tenuto "a non diffondere o comunicare a terzi i dati di cui venuta e viene a conoscenza al di fuori dei casi consentiti da specifiche disposizioni di legge e, comunque, in conformit alle norme, procedure interne di istruzione e disposizioni emanate in ordine alle modalit di trattamento dei dati personali": cfr. all. nn. 6 e 7 al verbale di operazioni compiute del 29 gennaio 2009, cit. Gli stessi accessi, secondo quanto dichiarato dal patronato, risultano essere avvenuti in difformit "dalle disposizioni impartite" dalla sede centrale, avuto riguardo alla (mancata) acquisizione della delega da parte degli utenti; per tale ragione, alla predetta responsabile stata comminata una sanzione disciplinare (cfr. verbale di operazioni compiute del 22 aprile 2009, p. 3; cfr. altres all. n. 4 al medesimo verbale). 4. Informazioni relative all'estratto-conto contributivo dei lavoratori: liceit del trattamento. 4.1. Merita preliminarmente rilevare che, rispetto ai profili di violazione oggetto di lamentela da parte dei segnalanti, la societ non risulta aver trattato, nell'ambito della procedura di mobilit attivata con le organizzazioni sindacali, dati personali riferiti ai lavoratori (desunti dagli estratti-conto contributivi messi a disposizione di alcuni rappresentanti sindacali dal patronato Inas-Cisl) in violazione delle disposizioni in materia di protezione dei dati personali, tenuto conto delle dichiarazioni rese al riguardo (cfr. punti 2.2 e 3.1) e del non comprovato coinvolgimento della societ nelle procedure di acquisizione dei menzionati estratti-conto contributivi. 4.2. Per quanto concerne il patronato Inas-Cisl, occorre evidenziare, da un punto di vista generale, che nel perseguimento delle proprie finalit (specificamente individuate dalla legge 30 marzo 2001, n. 152 "Nuova disciplina per gli istituti di patronato e di assistenza sociale"), quest'ultimo risulta legittimato ad effettuare trattamenti di dati personali (anche sensibili) riferiti agli utenti. Ci, in considerazione dei servizi di informazione, assistenza e tutela che lo stesso patronato chiamato ad assicurare a cittadini e lavoratori per il conseguimento di prestazioni di qualsiasi genere in materia di sicurezza sociale e di immigrazione ed emigrazione (in conformit all'art. 7 della l. 30 marzo 2001, n. 152, cit.). Nell'espletamento delle proprie funzioni, tuttavia, il patronato comunque tenuto a rispettare, ai fini dell'erogazione dei servizi a vantaggio dell'utenza, la disciplina in materia di protezione dei dati personali, avuto particolare riguardo ai principi di correttezza e liceit del trattamento (art. 11, comma 1, lett. a), del Codice). Per i profili oggetto di segnalazione, alla luce delle dichiarazioni rese e della documentazione acquisita (che hanno evidenziato l'avvenuto trattamento, da parte di alcuni incaricati, di dati personali riferiti ai segnalanti in assenza del relativo mandato: cfr. punto 3.2), risulta che lo stesso avvenuto nei casi oggetto di segnalazione in violazione del principio di liceit e correttezza (art. 11, comma 1, lett. a), del Codice). N, sotto altro profilo, risulta in alcun modo provata l'avvenuta acquisizione del consenso da parte degli interessati (artt. 23 e 26, comma 1, del Codice), ovvero la ricorrenza di altro presupposto di liceit del trattamento (artt. 24 e 26, comma 4, del medesimo Codice). Bench il trattamento in esame risulti avvenuto (anche) in violazione della disciplina di protezione dei dati, tuttavia emerso (cfr. all. n. 4 al verbale di operazioni compiute del 22 aprile 2009) che tale trattamento stato effettuato, da parte di singoli incaricati, disattendendo le disposizioni appositamente impartite al riguardo dal titolare del trattamento. Ci risulta confermato dalle dichiarazioni rese dal patronato Inas-Cisl ai sensi e per gli effetti di cui all'art. 168 del Codice, oltre che dalla documentazione acquisita (nella quale si legge che "diversamente dalle disposizioni fornite dall'Istituto, l'operatrice ha effettuato gli accessi ai sistemi Inps nonostante non avesse regolare mandato da parte del lavoratore in forma scritta": cfr. all. 4 al verbale di operazioni compiute del 22 aprile, cit.). Merita inoltre rilevare che, diversamente dai modelli al tempo consegnati agli incaricati del trattamento coinvolti nella vicenda, i moduli attualmente utilizzati dall'istituto per l'"atto di nomina ad incaricato del trattamento dei dati personali" (contenuti nel Documento programmatico sulla sicurezza relativo all'anno 2009 redatto dal patronato Inas-Cisl - Ufficio provinciale di Roma) recano esplicite istruzioni agli incaricati in ordine alla necessaria acquisizione, al momento della raccolta dei dati riferiti agli utenti, del "modulo contenente il mandato di assistenza e rappresentanza"; peraltro, attualmente, tra i destinatari di detto modulo figurano anche gli operatori del patronato interessati dalla vicenda in questione. Le stesse risultanze documentali hanno evidenziato, sotto altro profilo, la predisposizione di prospetti contenenti informazioni relative anche agli interventi formativi, programmati o effettuati dal patronato nel corso del 2009 nei confronti degli incaricati del trattamento, aventi ad oggetto, tra l'altro, "le misure disponibili volte a prevenire eventi dannosi" e "le responsabilit che derivano dal trattamento dei dati personali" (cfr. all. nn. 15 e 20 al verbale di operazioni compiute del 22 aprile 2009, cit.). Preso atto dell'intervenuta modifica dei modelli per la designazione degli incaricati del trattamento (recanti, allo stato, istruzioni dettagliate e puntuali), nonch l'effettuazione (e la pianificazione) di attivit formative appositamente approntate dal patronato a vantaggio dei medesimi incaricati –e tenuto altres conto delle dichiarazioni rese in sede di accertamento ispettivo (secondo cui stata resa operativa presso il patronato una direzione ispettiva deputata anche alle attivit di verifica dell'osservanza della disciplina di protezione dei dati personali da parte delle relative sedi periferiche del patronato medesimo)–, si ritiene che, allo stato degli atti e limitatamente ai profili oggetto di segnalazione, non sussistano i presupposti per la formulazione di specifiche prescrizioni nei confronti del patronato Inas-Cisl. Resta comunque impregiudicata la facolt per i segnalanti di far valere innanzi all'autorit giudiziaria eventuali profili di danno connessi all'accertata illiceit del trattamento effettuato per il tramite dei singoli operatori del patronato coinvolti nella vicenda. 5. Articolazione regionale del patronato e responsabili del trattamento. In considerazione della richiamata articolazione strutturale dell'istituto –e fatta comunque salva l'autonomia organizzativa dello stesso in conformit alle relative previsioni statutarie–, questa Autorit ritiene tuttavia di dover prescrivere al patronato Inas-Cisl, quale misura opportuna ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di designare quali responsabili del trattamento soggetti operanti presso le proprie strutture regionali, previa identificazione di quelli provvisti di esperienza, capacit e affidabilit: art. 29 del Codice); ci, tenuto conto, da un lato, delle dichiarazioni rese dallo stesso patronato ai sensi del menzionato art. 168 del Codice (richiamate al punto 3.2 del presente provvedimento) e, dall'altro, della documentazione al riguardo acquisita (che non ha evidenziato in capo alle medesime strutture regionali, in relazione alle operazioni di trattamento dei dati personali effettuate, un autonomo potere decisionale in ordine alla determinazione delle finalit e delle modalit del trattamento, risultando quest'ultimo di spettanza esclusiva della sola sede centrale del patronato Inas-Cisl). N, peraltro, al riguardo, risultano essere state addotte dal patronato ragioni peculiari atte a giustificare il riconoscimento, in capo alle medesime strutture regionali, della co-titolarit dei trattamenti svolti. La pi puntuale qualificazione del ruolo svolto dalle predette strutture, al di l della corretta attribuzione delle prerogative in capo alle diverse funzioni esistenti nel patronato e alla conseguente ripartizione delle responsabilit, peraltro, assume un valore particolarmente significativo, potendo per s sola determinare, con specifico riguardo alla figura dei "responsabili del trattamento", notevoli semplificazioni in relazione all'adempimento degli obblighi derivanti dalla disciplina di protezione dei dati personali (e, segnatamente, oltre a quelli connessi all'informativa da rendere agli interessati e all'acquisizione dell'eventuale consenso –non necessario in caso di flussi informativi tra il "titolare del trattamento" e "responsabile del trattamento": art. 4, comma 1, lett. l), del Codice– gli obblighi correlati all'adozione del Documento programmatico sulla sicurezza da parte del titolare: art. 33 del Codice; reg. 19 dell'Allegato "B" al Codice, recante "Disciplinare tecnico sulle misure minime di sicurezza"). 6. Accesso alle banche dati telematiche degli istituti previdenziali. Nel corso dei menzionati accertamenti ispettivi sono stati acquisiti elementi anche in ordine all'accesso telematico garantito al patronato Inas-Cisl alle banche dati di alcuni istituti previdenziali. Per l'accesso a tali banche dati, le risultanze documentali hanno evidenziato il rilascio di credenziali di autenticazione costituite da password non soggette a scadenza e, in un caso, formate da sei caratteri. stato inoltre rilevato che l'accesso ai servizi telematici resi fruibili dall'Inps possibile "da qualsiasi postazione informatica" abilitata e che il semplice inserimento delle informazioni richieste costituisce presupposto sufficiente ai fini (oltre che del rilascio "informatico" della delega) dell'abilitazione all'acquisizione dei dati (talora anche sensibili) riferiti agli interessati (cfr., in particolare, verbale di operazioni compiute del 22 aprile 2009, cit., p. 4). Rispetto agli accessi fruibili tramite il portale dell'Inpdap, le risultanze ispettive hanno invece evidenziato che il rilascio della delega avviene mediante la semplice "spunta" del flag "accetto", successivamente alla quale il sistema consente all'utente di avere accesso alle informazioni relative agli interessati. Nessuna delega, per contro, risulta richiesta per l'accesso al portale dell'Inail, tramite il cui applicativo possibile "l'invio dei moduli per la gestione degli infortuni e la visione delle statistiche relative alle pratiche istruite dal patronato" (cfr., in particolare, verbale di operazioni compiute del 22 aprile 2009, cit., p. 4). Su tali profili, oltre che su quelli che risulteranno emergere a seguito di eventuali ulteriori verifiche, questa Autorit si riserva di effettuare idonei opportuni approfondimenti. PER QUESTI MOTIVI IL GARANTE: accertata l'illiceit del trattamento ai sensi dell'art. 11, comma 1, lett. a), del Codice (punto 4.3), prescrive al patronato Inas-Cisl, esclusivo titolare dei trattamenti effettuati, quale misura opportuna ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di designare quali responsabili del trattamento i soggetti operanti presso le proprie strutture regionali ai sensi dell'art. 29 del Codice (punto 5). Roma, 2 ottobre 2009 Il presidente Il relatore Il segretario generale |