g-docweb-display Portlet

Comunicazione dei dati di un dipendente a terzi senza consenso dell'interessato - 11 aprile 2013 [2492743]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 2492743]

Comunicazione dei dati di un dipendente a terzi senza consenso dell´interessato - 11 aprile 2013

Registro dei provvedimenti
n. 179 dell´11 aprile 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");

VISTA la segnalazione del 6 ottobre 2012 presentata da XY concernente il trattamento di dati personali riferiti all´interessata effettuato dallo "Studio odontoiatrico associato Dottori Gimmelli Beniamino e Giuseppe" di Foggia;

ESAMINATA la documentazione acquisita in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

PREMESSO

1. Con segnalazione del 6 ottobre 2012, XY ha lamentato la violazione della disciplina in materia di protezione dei dati personali in riferimento alla ritenuta indebita comunicazione di informazioni a sé riferite ad Ina Assitalia s.p.a. in occasione della stipula di una polizza assicurativa collettiva da parte dello Studio odontoiatrico associato Dottori Gimmelli Beniamino e Giuseppe di Foggia (di seguito, "Studio"), presso il quale la stessa ha prestato servizio in qualità di dipendente a tempo indeterminato fino al 21 gennaio 2010.

Con specifico riferimento alla finalità di tale comunicazione, verificatasi per il tramite della locale Agenzia generale, e al contesto in cui i dati sarebbero stati trattati, la segnalante ‒ rappresentando di aver altresì interessato, per i profili di competenza, l´Isvap ‒ ha altresì precisato non solo di essere "all´oscuro del trasferimento del suo TFR in una polizza collettiva assicurativa" (nota del 23 ottobre 2012), ma di aver espressamente optato affinché il proprio trattamento di fine rapporto non fosse destinato ad alcuna forma pensionistica complementare (v. segnalazione cit., All. 8).

2.1. Al fine di accertare la liceità delle operazioni di trattamento di dati personali effettuate, l´Ufficio (per i soli profili di competenza) ha formulato richieste di informazioni allo Studio nonché all´Agenzia Ina di Foggia e alla Direzione generale dell´Ina, tenendo conto delle dichiarazioni da questi rese nonché delle ulteriori osservazioni formulate dalla segnalante, elementi tutti della cui veridicità i dichiaranti possono essere chiamati a rispondere ai sensi dell´art. 168 del Codice.

2.2. Con nota del 12 novembre 2012, lo Studio ha dichiarato che:

a. "ha stipulato una polizza destinata a garantire l´effettiva corresponsione del trattamento di fine rapporto [ai dipendenti] nell´eventualità della sua conclusione" presso l´Agenzia Generale Ina Assitalia di Foggia;

b.  a tale scopo è stato stipulato un contratto – che non ha "natura di previdenza complementare" – "intercorrente esclusivamente tra [lo Studio] e l´impresa di assicurazione";

c. lo Studio medesimo "nulla sa in merito alle modalità con le quali sarebbe avvenuta la comunicazione dei dati personali della propria ex dipendente all´Ina Assitalia ai fini della stipula di una polizza. Della raccolta e del trattamento dei dati si è infatti occupata la medesima agenzia e difatti i moduli contenenti l´informativa […] sono stati sottoposti, per la firma, ai dipendenti […] ad opera degli agenti dell´Ina, a tale scopo […] presentatisi presso il gabinetto dentistico".

Anche in una successiva comunicazione, lo Studio – precisando di avere assunto la qualifica sia di assicurato che di beneficiario – ha altresì ribadito di non aver "fornito i dati [riferiti alla segnalante] né l´autorizzazione, onere quest´ultimo della impresa di assicurazione" (nota 1° marzo 2013).

2.3. Con riferimento agli elementi acquisiti dall´Agenzia Generale Ina Assitalia di Foggia nonché dalla Direzione Generale Ina Assitalia, è emerso che:

I. quanto alla Agenzia Generale di Foggia, la stessa ha dichiarato:

a. di avere trattato alcuni dati riferiti alla segnalante (nome, cognome, data e luogo di nascita, codice fiscale) posto che la stessa "ha ricoperto la posizione di assicurata […] nella polizza […] dove il contrente è stato lo Studio medico Odontoiatrico Ass. Gimmelli B. & G." (cfr. nota del 7 gennaio 2013);

b. che "i dati personali della [segnalante] sono stati acquisiti dal Contraente Studio […]; per quanto riguarda le modalità di raccolta dei dati si è proceduto mediante la trascrizione degli stessi sulla proposta di Emissione Posizioni Assicurative" (nota 7 marzo 2013);

II. quanto alla Direzione Generale Ina Assitalia (cfr. nota dell´8 gennaio 2013, priva di riscontro in merito all´origine e alle concrete modalità di raccolta dei dati riferiti alla segnalante), la stessa ha affermato di avere trattato dati personali riferiti alla lavoratrice in occasione della "stipula del contratto collettivo" – nel quale lo Studio odontoiatrico figura come contraente e beneficiario – e in particolare:

a. alcuni dati anagrafici nonché informazioni "relative ai versamenti di premi relativi alle polizze" intestate alla segnalante;

b. ulteriori dati personali "in sede di liquidazione della posizione assicurativa" (tra i quali: indirizzo di residenza, livello di istruzione, data d´inizio del rapporto di lavoro, qualifica professionale, mansione e livello di inquadramento).

La Direzione generale ha altresì allegato:

c.  copia del menzionato contratto (stipulato in data 25 marzo 2004 dallo Studio e da Ina s.p.a.) nel quale, all´art. 6 ("Dati necessari per l´emissione delle polizze"), è previsto che "ai fini dell´emissione delle polizze l´Azienda dovrà trasmettere alla Società, compilata in ogni sua parte (data effetto e, per ogni dipendente, generalità, luogo e data di nascita, sesso, eventuale diversa età a scadenza, importo del premio unico e/o del premio annuo), l´apposita richiesta di assicurazione" (cfr. nota 8.1.2013, All. 1);

d. un modello di informativa concernente la polizza, predisposto da Ina Assitalia s.p.a. e dall´Agenzia Generale di Foggia ai sensi dell´art. 13 del Codice, datato 2 febbraio 2010, recante una sottoscrizione con nome e cognome della segnalante (cfr. nota 8.1.2013, All. 5);

e. la richiesta di liquidazione presentata dallo Studio su modellistica predisposta da Ina Assitalia e ad essa diretta per il tramite dell´Agenzia di Foggia a seguito dell´intervenuta cessazione del rapporto di lavoro, con effetti decorrenti dal 21 gennaio 2010 (cfr. All. 4 alla nota 8.1.2013).

2.4. La segnalante, da ultimo con comunicazione del 1° marzo 2013, nel ribadire la ritenuta illegittimità della comunicazione dei propri dati personali all´assicurazione, ha inoltre:

a. allegato una lettera (a sé indirizzata) del 15 novembre 2012, proveniente da Ina Assitalia s.p.a., nella quale le viene comunicato che "per gli assicurati inseriti nella collettiva in argomento è previsto il consenso ai sensi dell´art. 1919 del Codice Civile. Nel Suo caso, il predetto consenso non è stato tuttavia rintracciato", evidenziando altresì che "in data 02.02.2010 Lei ha acconsentito al trattamento dei dati per fini contrattuali; risultano pertanto effettuati gli adempimenti in materia di privacy";

b. contestato di aver "acconsentito ad alcun trattamento dei dati per fini contrattuali" in data 2 febbraio 2012;

c. ritenuto che "la polizza di cui trattasi non poteva essere stipulata, [avendo] scelto come destinazione del […] T.F.R. […] che lo stesso rimanesse in azienda e non venisse destinato a nessuna altra forma previdenziale complementare".

3.1. Alla luce degli elementi complessivamente acquisiti – e riservata ogni ulteriore valutazione in relazione al contenuto discordante delle dichiarazioni rese all´Autorità circa l´origine e le modalità di acquisizione dei dati personali riferiti alla segnalante in occasione dell´attivazione della polizza in esame – deve ritenersi che i dati personali riferiti alla segnalante necessari all´attivazione della polizza collettiva siano stati comunicati dal datore di lavoro all´assicurazione in violazione della disciplina di protezione dei dati personali, in particolare non risultando comprovato il consenso informato della stessa alla predetta comunicazione (artt. 13 e 23 del Codice).

Invero, al di là di quanto dichiarato dall´Agenzia Ina di Foggia circa l´avvenuta comunicazione dei dati da parte dello Studio (cfr. par. 2.3.I.b), l´art. 6 del contratto di assicurazione pone in capo al datore di lavoro (contraente e beneficiario della polizza in virtù dell´art. 3 del contratto medesimo) l´obbligo di trasmettere all´assicuratore i dati personali (allo stesso noti) necessari alla predisposizione e alla successiva gestione della polizza collettiva riferiti ai propri dipendenti (e nel caso di specie alla segnalante in qualità di assicurata, come si evince dall´art. 2 del contratto). Del resto, analoga comunicazione si è altresì verificata in occasione della cessazione del rapporto di lavoro con la menzionata presentazione da parte dello Studio della "richiesta di liquidazione" (cfr. all. 4, nota Ina Assitalia dell´8 gennaio 2013).

Né il datore di lavoro ha fornito nel corso del procedimento elementi idonei a suffragare la diversa ricostruzione in base alla quale sarebbe stata la compagnia assicurativa (in deroga a quanto stabilito in sede di regolamento contrattuale) a raccogliere direttamente presso i singoli dipendenti dell´azienda le informazioni necessarie alla predisposizione della polizza collettiva.

Tale ricostruzione, comunque negata dalla segnalante, non può peraltro risultare comprovata dalla produzione in atti di copia dell´informativa (allegata da Ina Assitalia alla nota dell´8 gennaio 2013) recante la sottoscrizione dalla segnalante – che potrà, se del caso, disconoscerne la paternità nelle sedi opportune –, considerato che tale documento risulterebbe comunque inidoneo a realizzare le finalità previste dall´art. 13 del Codice, posto che la data della sottoscrizione (2 febbraio 2010) è posteriore sia alla stipulazione della polizza collettiva (25 marzo 2004) che alla cessazione del rapporto di lavoro instaurato con lo Studio odontoiatrico (21 gennaio 2010).

3.2. Alla luce di tali elementi, non risultando comprovato che il datore di lavoro abbia informato la segnalante circa la comunicazione di dati personali alla stessa riferiti per la stipula di una polizza assicurativa (oltre che per la sua gestione e liquidazione) e in assenza di alcun presupposto alternativo al consenso (esso stesso non risultato acquisito) per tale comunicazione, deve ritenersi che la trasmissione dei dati ad Ina Assitalia s.p.a. per il tramite della locale Agenzia generale sia stata effettuata dallo Studio in violazione di legge (artt. 11, comma 1, lett. a), 13 e 23 del Codice; in merito cfr. altresì Provv. 23 novembre 2006, in www.garanteprivacy.it, doc. web n. 1364099, Linee-guida per il trattamento di dati dei dipendenti privati, punti 5.1 e 7).

4. Impregiudicata ogni valutazione circa la validità del contratto di assicurazione con riguardo alla posizione concernente la segnalante ‒ profilo evidenziato dalla stessa compagnia assicuratrice che ha rilevato l´assenza del consenso dell´assicurata richiesto dall´art. 1919 c.c. (cfr. lettera 15.11.2012, in atti) –, deve altresì rilevarsi l´illiceità del trattamento effettuato da Ina Assitalia s.p.a. in relazione ai dati riferiti alla segnalante in difetto della prescritta informativa da parte della compagnia assicurativa. Infatti, indipendentemente dalla contestata autenticità della sottoscrizione che risulta apposta al modello di informativa predisposto da Ina (cfr. par. 2.4), detta informativa risulterebbe comunque tardiva rispetto al trattamento effettuato (essendo in ipotesi fornita quando il contratto di lavoro dell´assicurata era ormai cessato), in violazione della previsione contenuta nell´art. 13, comma 4 del Codice.

5. Salve le ulteriori valutazioni dell´Autorità in ordine all´eventuale contestazione delle violazioni amministrative rilevabili nel caso di specie nonché con riguardo alla veridicità delle dichiarazioni rese all´Autorità, il Garante dispone la trasmissione di copia del presente provvedimento all´Istituto per la Vigilanza sulle Assicurazioni per le valutazioni di competenza.

Resta impregiudicato il diritto della segnalante di far valere eventuali pretese risarcitorie in ragione delle operazioni di trattamento effettuate avanti alla competente autorità giudiziaria.

TUTTO CIÒ PREMESSO, IL GARANTE

1. ai sensi dell´art. 154, comma 1, lett. a) e b) del Codice, salva la conservazione dei dati personali trattati per esigenze di tutela dei diritti:

a. dichiara illecita, nei termini di cui in motivazione, la comunicazione di dati personali riferiti alla segnalante effettuata dallo Studio odontoiatrico associato Dottori Gimmelli Beniamino e Giuseppe di Foggia a Ina Assitalia s.p.a. (par. 3.2);

b. dichiara illecito il successivo trattamento di dati personali riferiti alla segnalante effettuato da Ina Assitalia s.p.a. (par. 4);

2.  dispone, ai sensi dell´art. 154, comma 3, del Codice, la trasmissione di copia del presente provvedimento all´Istituto per la Vigilanza sulle Assicurazioni per le valutazioni di competenza (par. 5).

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 11 aprile 2013

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia