[doc. web n. 9086480]

Provvedimento del 31 gennaio 2019

Registro dei provvedimenti
n. 20 del 31 gennaio 2019

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato ai sensi dell’articolo 77 del Regolamento (UE) 2016/679 da XX nei confronti di Prime For You S.r.l. relativo all’esercizio del diritto di accesso dell’interessato ai dati personali che lo riguardano;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Antonello Soro;

PREMESSO

1.1. Con reclamo presentato nei confronti di Prime For You S.r.l. (di seguito, la società) il Sig. XX, rappresentato e difeso dall’avvocato Carlo de Marchis, ha lamentato la violazione della disciplina vigente in materia di protezione dei dati personali con particolare riferimento all’esercizio del diritto di accesso ai dati personali che lo riguardano “contenuti nel fascicolo personale” e in particolare al “trattamento di […] dati […] relativamente a pedinamenti, attività investigative, rilievi fotografici e controlli a distanza […] oltre in ogni caso il nominativo dei soggetti ai quali è dato accesso alle relative informazioni” con indicazione della “loro origine, […] finalità […] e le modalità di conservazione”. Con il reclamo è stato altresì chiesto al Garante di disporre nei confronti della società il “blocco di qualsiasi trattamento, compresa la conservazione e la divulgazione a terzi dei dati, acquisiti e/o trattati per il tramite di soggetti che hanno effettuato il pedinamento e la raccolta di dati riguardanti” il reclamante.

1.2. La società, in risposta ad una richiesta di elementi formulata dall’Ufficio, ha dichiarato:

a. di aver dato l’incarico ad un’agenzia investigativa - a seguito dell’inizio di un periodo di malattia del reclamante in data 22.10.2017 “poi prolungata mediante diverse comunicazioni attestanti ricadute sino al 2.1.2018” - “di svolgere alcuni accertamenti, al solo ed unico fine di rilevare l’esistenza di eventuali comportamenti del dipendente tali da compromettere la sua pronta guarigione, ovvero incompatibili con lo stato di malattia” (cfr. nota 7.9.2018, p. 3);

b. “in data 29.11.2017 veniva incaricata l’agenzia investigativa Axerta S.p.A., titolare di licenza protocollo n. 2990.42911.2012 rilasciata dalla Prefettura di Padova, di svolgere gli anzidetti accertamenti” (cfr. nota cit., p. 3);

c. l’attività investigativa è stata effettuata nelle giornate del “2, 3 e 7 dicembre 2017, durante le quali il dipendente risultava assente dal lavoro per malattia sin dal 22.10.2017” (cfr. nota cit., p. 3);

d. l’accertamento attraverso la menzionata agenzia investigativa “non veniva eseguito presso il luogo di lavoro […] né riguardava lo svolgimento da parte [del reclamante] dell’attività lavorativa in favore della società” (cfr. nota cit., p. 3);

e. l’attività investigativa è consistita “esclusivamente in rilievi di natura fotografica, effettuati al di fuori dell’abitazione del dipendente e di ogni altro luogo privato” e non ha avuto ad oggetto “alcuna registrazione audio e/o audiovisiva […] né qualsivoglia genere di contatto e/o di avvicinamento di quest’ultimo e/o di suoi parenti/affini/amici” (cfr. nota cit., p. 4);

f. all’esito della predetta attività investigativa la società ha effettuato in data 23.12.2017 una contestazione disciplinare al reclamante, cui ha fatto seguito il licenziamento comunicato con lettera del 18.1.2018 (cfr. nota cit., p. 4-5);

g. “con lettera inviata a mezzo PEC in data 8.3.2018 il [reclamante] impugnava il licenziamento” (cfr. nota cit., p. 5);

h. quanto all’ambito di diffusione dei dati trattati, questi “sono venuti a conoscenza soltanto dell’agenzia investigativa […] incaricata dell’accertamento, nonché del legale rappresentante della Prime For You, Sig. Marco Fasciani, che ha istruito personalmente il procedimento disciplinare […] ed il relativo licenziamento per giusta causa, oltre che del sottoscritto procuratore” (cfr. nota cit., p. 6);

i. con riferimento all’istanza di accesso, infine, “tenuto conto delle predette finalità di tutela giudiziale e del particolare regime probatorio proprio del processo del lavoro – che prevede l’onere della prova a carico del datore di lavoro e l’esistenza di una situazione precontenziosa tra le parti – […] il disvelamento al reclamante di tutti i dati in parola, così come l’integrale acquisizione ed il loro blocco «costituirebbe un pregiudizio effettivo e concreto alla difesa delle ragioni datoriali nella successiva (ed eventuale) sede giudiziaria […]», come già deciso [dal Garante] in relazione a fattispecie analoga”; pertanto “attesa l’esistenza di una fase precontenziosa tra le parti e la ragionevole certezza dell’instaurazione di un giudizio da parte del reclamante per l’impugnazione del licenziamento intimato, la [società] manifesta in tale sede la propria volontà di avvalersi del differimento del diritto di accesso esercitato dal reclamante, ai sensi dell’art. 23, comma 1, lett. j) ed annesso considerando n. 73 del Regolamento UE 2016/679, nonché dell’art. 2-undecies, comma 1, lett. e), del D. Lgs. 10.89.2018, n. 101”  (cfr. nota cit., p. 7).

1.3. Con nota del 4 dicembre 2018 il reclamante, nel ribadire le proprie richieste, ha osservato che:

a. la società “ha pienamente raggiunto la finalità del trattamento dei dati acquisiti mediante l’agenzia di investigazione, avendo potuto utilizzare tali dati per procedere alla contestazione disciplinare ed al successivo licenziamento” (cfr. nota 4.12.2018, p. 1);

b. pertanto “non esiste […] alcuna valida ragione che giustifichi il diniego al lavoratore di accedere al proprio fascicolo personale e/o la richiesta di differimento di tale accesso, essendosi esaurito […] il trattamento dei dati acquisiti con l’esperimento del procedimento disciplinare conclusosi con il provvedimento espulsivo” (cfr. nota cit., p. 1);

c. l’attività effettuata dall’agenzia investigativa per conto della società deve ritenersi illecita per contrasto sia con la disciplina lavoristica posta dalla legge 20.5.1970, n. 300 (in particolare gli artt. 3, 4 e 8) sia della disciplina posta in materia di protezione dei dati personali (cfr. nota cit., p. 2);

d. il reclamante “ha già intrapreso l’azione giudiziale per l’impugnativa del licenziamento e, di conseguenza, il diniego di accesso al fascicolo personale […] assume evidenti profili di illegittimità laddove ha pregiudicato, anzi ha neutralizzato, il corretto esercizio del diritto di difesa del reclamante, altrettanto meritevole di tutela” (cfr. nota cit., p. 4);

e. con il reclamo si chiede all’Autorità di voler “dichiarare il diritto del [reclamante] ad accedere al proprio fascicolo personale nonché di acquisire in forma intellegibile i dati oggetto del trattamento derivato” nonché di “dichiarare l’inutilizzabilità dei dati acquisiti e comunque l’illegittimità delle modalità di acquisizione dei dati medesimi” (cfr. nota cit., p. 4).

2.1. All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, emerge che in base ad un mandato conferito dalla società, una società di investigazione privata ha effettuato un’attività di indagine (protrattasi per tre giorni: 2, 3 e 7 dicembre 2017) che si è svolta nel periodo in cui il reclamante era assente dal lavoro per malattia (v. precedente punto 1.2., lett. c), circostanza non contestata dal reclamante). 

Al riguardo, la richiesta di blocco del trattamento avanzata dal reclamante viene considerata quale richiesta di limitazione del medesimo trattamento, ai sensi degli artt. 4, n. 3) e 58, par. 2, lett. f) del Regolamento(UE) 2016/679. 

Ciò posto, fermo restando il rispetto dei principi di cui al Regolamento (UE) 2016/679 e delle regole deontologiche in materia di investigazioni difensive o per far valere o difendere un diritto in sede giudiziaria (pubblicate in G.U. n. 12 del 15 gennaio 2019, ai sensi dell’art. 20, comma 4, del d.lgs. n. 101/2018; cfr. Provvedimento del 19 dicembre 2018, doc. web n. 9069653) con riferimento alle modalità di effettuazione della contestata attività investigativa privata, tale attività non risulta in sé illecita in relazione alla disciplina vigente in materia di controlli sull’attività del dipendente, né pertanto risultano allo stato sussistenti gli estremi per poter dichiarare inutilizzabili i dati personali trattati in occasione della predetta attività.

Infatti, come costantemente affermato dalla giurisprudenza di legittimità, il datore di lavoro può effettuare controlli - anche attraverso un’agenzia investigativa – purché tale attività “non riguardi l'adempimento della prestazione lavorativa, essendo effettuat[a] al di fuori dell'orario di lavoro”. In particolare, relativamente agli accertamenti disposti nel corso del periodo di malattia del dipendente, la Corte di Cassazione ha stabilito che “le disposizioni della L. 20 maggio 1970, n. 300, art. 5, […], non precludono al datore medesimo di procedere, al di fuori delle verifiche di tipo sanitario, ad accertamenti di circostanze di fatto atte a dimostrare l'insussistenza della malattia o la non idoneità di quest'ultima a determinare uno stato d'incapacità lavorativa e, quindi, a giustificare l'assenza” (Cass. civ., sez. lav., 22 maggio 2017, n. 12810; v. anche, in senso conforme, Cass. civ., sez. lav. , 11 ottobre 2016 , n. 20433).

Sotto tale profilo, appurato in base alle risultanze istruttorie che l’investigazione non ha avuto ad oggetto l’attività del dipendente – che può in ipotesi svolgersi anche al di fuori del luogo di lavoro - il reclamo risulta infondato.

2.2. Con riguardo, invece, al diritto di accesso esercitato dal reclamante nei confronti di quanto “contenuto nel fascicolo personale” e, in particolare, conformemente a quanto risulta dall’istanza di accesso, dei dati raccolti nel corso della predetta attività investigativa, si osserva che la società – seppur solo successivamente alla presentazione del reclamo davanti al Garante - ha opposto il differimento dell’esercizio del diritto in base a quanto previsto dalla vigente disciplina in materia di protezione dei dati personali.

La società ha inoltre fornito alcune informazioni relative all’origine, alle finalità ed alle modalità di conservazione dei dati trattati mediante l’attività investigativa (v. precedente punto 1.2., lett. a., b., c. e h.).
In relazione al differimento dell’esercizio del diritto di accesso opposto dalla società si osserva che in base all’art. 23 del Regolamento il diritto degli Stati membri può limitare la portata degli obblighi e dei diritti, tra cui quello di accesso previsto dall’art. 15, “qualora tale limitazione rispetti l'essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare: […] i) la tutela […] dei diritti e delle libertà altrui”.

In attuazione di tale disposizione l’art. 2-undecies del Codice ha stabilito che: “I diritti di cui agli articoli da 15 a 22 del Regolamento non possono essere esercitati con richiesta al titolare del trattamento ovvero con reclamo ai sensi dell'articolo 77 del Regolamento qualora dall'esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto: […] e) allo svolgimento delle investigazioni difensive o all'esercizio di un diritto in sede giudiziaria”. In tali ipotesi l’esercizio dei diritti da parte degli interessati può essere “ritardato, limitato o escluso con comunicazione motivata e resa senza ritardo all’interessato […] per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, tenuto conto dei diritti fondamentali e dei legittimi interessi dell’interessato” (cfr. art. 2-undecies cit., comma 3).

La disciplina vigente su richiamata si pone in linea di continuità con quanto già stabilito dall’art. 8, comma 2, lett. e) del Codice previgente, in applicazione del quale il Garante ha ritenuto - avuto riguardo alle circostanze del caso concreto - di accogliere le istanze di limitazione dell’esercizio del diritto di accesso “limitatamente al periodo durante il quale potrebbe derivarne un pregiudizio effettivo e concreto per l’esercizio del diritto in sede giudiziaria” (cfr. Provv. 21.1.2016, n. 11, in ww.garanteprivacy.it, doc. web n. 4715667 e Provv. 13.12.2012, n. 412, doc. web n. 2273474).

2.3. Ciò premesso, in relazione alla domanda di accesso esercitata dal dipendente in data successiva (25.1.2018) alla conclusione del procedimento disciplinare (con il licenziamento, comunicato con lettera del 18.1.2018), considerato che alla luce della documentazione in atti ed alle dichiarazioni dello stesso reclamante la vicenda oggetto di reclamo è allo stato in fase precontenziosa, stante l’impugnazione stragiudiziale nonché la preannunciata impugnazione del licenziamento dinnanzi al giudice competente (v. precedente punto 1.2., lett. g. e punto 1.3., lett. d.) e visto altresì che, dato il particolare regime probatorio proprio del processo del lavoro - che prevede l’onere della prova a carico del datore di lavoro -, la comunicazione in tale fase dei dati trattati nell’ambito della attività investigativa comporterebbe un “pregiudizio effettivo e concreto […] all'esercizio di un diritto in sede giudiziaria”, nel caso di specie è applicabile la limitazione all’esercizio del diritto prevista dal richiamato art. 2-undecies del Codice in applicazione dell’art. 23 del Regolamento.

Resta fermo che l’ambito temporale di tale limitazione è circoscritto a quanto strettamente necessario ad evitare un pregiudizio all’esercizio del diritto nei termini suesposti (cfr. art. 2-undecies cit., comma 3). Pertanto, fermi restando i poteri del giudice del lavoro in ordine alla produzione ed esibizione di atti e documenti nel corso del procedimento giurisdizionale, una volta venute meno le ragioni del pregiudizio nessun ostacolo potrà essere frapposto all’esercizio del diritto previsto dall’art. 15 del Regolamento.

Resta altresì fermo che la limitazione del diritto di accesso non si applica agli altri dati personali riferiti al reclamante contenuti nel fascicolo personale detenuto dalla società.

3. Restano impregiudicati eventuali profili di illiceità relativi alle modalità di effettuazione dell’attività investigativa in relazione ai principi posti dall’art. 5 del Regolamento ed alle “Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria pubblicate ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101” (doc. web n. 9069653, in G.U. 15 gennaio 2019, n. 12,), che potranno, ricorrendone i requisiti, esser fatti valere nelle sedi competenti.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento:

1. dichiara il reclamo infondato, nei termini di cui in motivazione (v. punto 2.1.), in relazione alla richiesta di disporre la limitazione del trattamento dei dati raccolti in occasione dello svolgimento dell’attività investigativa da parte della società;

2. dispone che, ai sensi dell’art. 23, par. 1, lett. i) del Regolamento (UE) 2016/679 e dell’art. 2-undecies, commi 1, lett. e), e 3, del Codice, il diritto di accesso ai dati relativi all’attività investigativa svolta nei confronti del reclamante non può essere allo stato esercitato, nei termini di cui in motivazione (v. punto 2.3.).

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lg. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 31 gennaio 2019

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia