| Garante per la protezione dei dati personali PROVVEDIMENTO DEL 17APRILE 2012 Registro dei provvedimenti n. 149 del 17aprile 2012 IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI NELLA riunione odierna, in presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele DePaoli, segretario generale; VISTO il ricorso presentato al Garante l'8 febbraio 2012 nei confrontidi XY S.p.A. (rappresentata e difesa dagli avvocati Moreno Sarti eMaurizio Briganti) con il quale KW (rappresentato e difeso dagli avvocatiGiulio Ciofini e Marco Ferrero), ex collaboratore della predetta società (dicui era stato anche membro del Consiglio di amministrazione e Vice Presidente),ha contestato il trattamento (ritenuto illecito), da parte di XY, dei datipersonali che lo riguardano contenuti nell'hard disk del notebook e nellamemoria del telefono cellulare datigli in uso dalla citata società e restituitialla stessa dopo la risoluzione del rapporto; in particolare, il ricorrente hasostenuto che detto notebook conteneva una rilevante quantità di dati attinentialla propria sfera personale, "come foto, dichiarazione dei redditi,passwords, IBAN, (Š), numeri di telefono (Š) raggruppati in 10.000 cartelle,ciascuna delle quali presentava una sommaria indicazione del suocontenuto", nonchée; documenti relativi ad altri enti, quali il CentroStudi ZX (associazione onlus di cui il ricorrente era parimenti diventato VicePresidente nel 2009) e la società cooperativa HJ (costituita nel 2010 di cui ilricorrente era consigliere di amministrazione); rilevato che il ricorrenteha sostenuto di aver riconsegnato a XY tali strumenti in occasione dellacessazione del rapporto solo dopo aver provveduto "a fare una copiadell'hard disk ed a cancellarne il contenuto tramite il comando"elimina" ma di aver, in seguito, appreso che la XY avrebbeappositamente ricercato e recuperato i dati cancellati; ciò risulterebbecomprovato dalla documentazione prodotta da XY nel giudizio instaurato dinanzial Tribunale di Prato, anche nei confronti del ricorrente, per presunta attivitàdi concorrenza sleale, tra cui "verbali di consiglio direttivo ZX",che a detta di XY, sarebbero stati "trovati nel server di postaelettronica XY, nella corrispondenza di lavoro dei collaboratori XY, durante lanormale attività di monitoraggio corrispondenza clienti che allo scopo diproseguire nella collaborazione con i medesimi utilizzando tutte leinformazioni già acquisite (Š) si effettua quando cessa il rapporto dicollaborazione o (Š) il pc va in tilt", nonchée; nei "verbaliriunioni HJ", "trovati nella memoria del pc di proprietàXY, dato in uso al Dott. KW, (Š) durante un'attività di resettaggio del pcconsegnato dal dott. KW subito dopo le sue dimissioni"; rilevato,pertanto, che il ricorrente, sostenendo che XY avrebbe effettuato, inviolazione dell'art. 11 del Codice, un trattamento eccedente e non pertinentedei dati che lo riguardano, che riguarderebbero anche aspetti della propriavita personale, si è opposto al loro ulteriore trattamento ed ha chiesto laliquidazione in proprio favore delle spese del procedimento; VISTI gli ulteriori atti d'ufficio e, in particolare, la nota del 15febbraio 2012, con la quale questa Autorità, ai sensi dell'art. 149, comma 1del Codice ha invitato il predetto titolare del trattamento a fornire riscontroalle richieste dell'interessato, nonchée; la nota del 6 aprile 2012 con la quale èstata disposta, ai sensi dell'art. 149, comma 7, la proroga dei termini delprocedimento; VISTA la nota inviata in data 5 marzo 2012 con la quale la resistenteha sostenuto che, in data 5 gennaio 2012, "alla presenza di numerositestimoni", il ricorrente fu invitato a copiare, su hard disk esternomessogli a disposizione da XY, tutti i dati personali non inerenti al rapportodi collaborazione con XY registrati sulla memoria del notebook e del telefonocellulare di proprietà di XY (che dovevano essere restituiti) da restituire epoi a cancellarli dalla memoria dei suddetti strumenti; la resistente ha quindiaggiunto che successivamente detti strumenti "sono stati (Š) consegnatial tecnico informatico di XY (Š) per i normali ripristini necessari alriutilizzo degli apparecchi da parte di nuovi collaboratori" e chetutti i dati personali riferibili al ricorrente, presenti sia sul notebook chesul telefono cellulare "sono risultati totalmente cancellati"e XY non ne ha effettuato e non ne effettua alcun trattamento; infine, laresistente ha rappresentato che i dati contenuti nei documenti depositati inatti nei giudizi pendenti non attengono in alcun modo alla "sferaprivata" del ricorrente e sono trattati esclusivamente per far valerei propri diritti di difesa in giudizio; VISTA la memoria inviata in data 8 marzo 2012 con la quale ilricorrente, non ritenendo soddisfacente il riscontro avversario, ha inveceipotizzato che XY, attraverso il tecnico informatico incaricato, abbia "verosimilmente"effettuato delle apposite operazioni di "recovery" dei datiprecedentemente "eliminati" dal ricorrente e che, dopo ilrecupero, abbia analizzato ogni singolo file ancora presente nell'hard disk delcomputer, "per cercare quanto ritenesse utile" e produrlo ingiudizio; rilevato che il ricorrente ha sostenuto che, attraverso taleoperazione di recupero dei file, XY avrebbe violato i principi di pertinenza enon eccedenza nel trattamento dei dati, poichée; avrebbe esaminato le suecartelle personali ed e.mail private, in totale assenza di una policy internasull'utilizzo degli strumenti informatici aziendali; VISTE le memorie inviate in data 8 marzo 2012 e in data 16 marzo 2012con le quali la resistente ha precisato che l'attività di "recovery"in questione è stata effettuata non da XY ma dal tecnico esterno specializzato "cheha consegnato a XY soltanto i files attinenti gli aspetti professionali e nonquelli privati e personali di KW, che sono stati cancellati (Š) prima dellarestituzione del disco fisso a XY stessa"; inoltre, ha aggiunto XY, idocumenti prodotti nel giudizio pendente dinanzi al Tribunale di Prato, che ilricorrente "dichiara come "personali" costituiscono in realtàuna delle prove documentali dell'illecito dallo stesso perpetrato a danno di XYstessa che, del resto è più volte nominata, ovviamente insieme a ZX e a HJ,negli atti di cui si tratta" posto che, come dedotto in tale giudizio,il ricorrente, sfruttando i ruoli rivestiti in ZX e HJ, avrebbe, a partire dal2010, man mano sviato la clientela di XY indirizzandola verso le due entità, difatto sottraendo alla resistente un intero ramo aziendale; XY ha poi dichiaratodi essere sorpresa che il ricorrente, il quale non era un semplice dipendente,ma ha rivestito la carica di Vice Presidente di XY "fino a pochi mesidalla cessazione del rapporto (quindi amministratore a tutti gli effetti ed unodei responsabili della policy aziendale in tema di tutela della privacy)lamenti ora una presunta mancanza di policy aziendale" ma ha comunquesostenuto che il ricorrente, cosiccome tutti i collaboratori di XY, eraassolutamente a conoscenza che "le dotazioni aziendali erano riservateper usi professionali e non personali" e che "al momento dellacessazione dei rapporti, il p.c. aziendale ed il cellulare avrebbero dovutoessere restituiti a XY completi di tutti i dati relativi all'attivitàprofessionale svolta, al fine di consentire al soggetto subentrante, lacontinuità dei rapporti con clienti, fornitori ecc."; RILEVATO che, dalle dichiarazioni rese da XY nel corso delprocedimento (della cui veridicità l'autore risponde ai sensi dell'art. 168 delCodice: "Falsità nelle dichiarazioni e notificazioni al Garante"),risulta che la società resistente non effettua alcun trattamento dei datipersonali attinenti alla vita privata ed estranei alla attività professionaledel ricorrente, dati che precedentemente erano contenuti nella memoria delnotebook e del telefono cellulare aziendali ma che allo stato risultano tutticancellati (per avervi il ricorrente personalmente provveduto); in ordine a taleprofilo, deve essere quindi dichiarato non luogo a provvedere sul ricorso aisensi dell'art. 149, comma 2, del Codice; RILEVATO, inoltre, che, alla luce della documentazione acquisita inatti, i dati personali del ricorrente attinenti all'attività professionalerisultati ancora presenti sugli strumenti aziendali dopo la restituzione a XYsono stati trattati dalla società resistente al solo fine di esercitare ilproprio diritto di difesa in giudizio e che pertanto il loro trattamento deveritenersi lecitamente effettuato in quanto finalizzato ad "attivitàdifensive ovvero per far valere o difendere un diritto in sedegiudiziaria" (come previsto dall'art. 24, comma 1, lett. e) delCodice); deve essere pertanto dichiarata infondata l'opposizione al trattamentodi tali dati dal momento che il loro trattamento non risulta effettuatoin violazione di legge; CONSIDERATO peraltro che, ai sensi dell'art. 160, comma 6, del Codice,ogni valutazione sull'utilizzabilità degli atti contenenti i dati personaliriferiti al ricorrente contenuti nel materiale già depositato nei giudizi incorso fra le parti è comunque rimessa, nel caso di specie, esclusivamente alleautonome determinazioni dell'autorità giudiziaria adita; RITENUTO che sussistono giusti motivi per compensare le spese tra leparti alla luce della peculiarità della vicenda esaminata; VISTA la documentazione in atti; VISTI gli artt. 145 e s. del Codice in materia di protezione dei datipersonali (d.lg. 30 giugno 2003, n. 196); VISTE le osservazioni dell'Ufficio formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000; TUTTO CIÒ PREMESSO ILGARANTE: a) dichiara il ricorso infondato in ordine all'opposizione altrattamento dei dati personali riferiti al ricorrente e relativi all'attivitàsvolta presso la società resistente contenuti nei documenti già prodotti ingiudizio; b) dichiara non luogo a provvedere sul ricorso in ordineall'opposizione al trattamento relativa ai dati personali attinenti alla vitaprivata del ricorrente; c) dichiara compensate le spese tra le parti. Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011,avverso il presente provvedimento può essere proposta opposizione all'autoritàgiudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogoove ha la residenza il titolare del trattamento dei dati, entro il termine ditrenta giorni dalla data di comunicazione del provvedimento stesso, ovvero disessanta giorni se il ricorrente risiede all'estero.
|