Verifica preliminare. Trattamento dei dati personali dei dipendenti cui e' stato assegnato un telefono aziendale - 11 gennaio 2018

Premesso

La societa' xxx - in proprio e per conto delle altre societa' del Gruppo xxx - ha presentato una richiesta di verifica preliminare ai sensi dell'articolo 17 del Codice con riguardo al trattamento di dati personali dei propri dipendenti "cui sia stato assegnato un telefono aziendale". Il trattamento avrebbe la finalita' di "controllo delle fatture del provider del servizio telefonico" nonche' di "analisi dell'andamento complessivo dei consumi in modo da valutare nel tempo l'adeguatezza del contratto con il provider […] con l'obiettivo di ridurre i costi aziendali e ottimizzare la qualita' del servizio" nonche' "rilevare eventuali sistuazioni anomale di consumi". Il trattamento sarebbe effettuato mediante l'adozione di un sistema che consentirebbe di raccogliere ed elaborare i dati personali dei dipendenti ad opera della societa' inglese xxx, specializzata nel settore, che la societa' istante si impegna a designare responsabile del trattamento ai sensi dell'articolo 29 del Codice (cfr. p. 2 nota 20.12.2016 e p. 2 nota 19.06.2017).

Stando a quanto dichiarato i dati oggetto di trattamento sarebbero "forniti dal provider per ogni bolletta inviata" e consisterebbero nel: "numero chiamato o chiamante, giorno, ora dell'inizio della telefonata, durata della stessa" (cfr. nota del 20.12.2016). Piu' nel dettaglio, tra le informazioni raccolte figurerebbero le numerazioni delle utenze chiamate, la durata delle comunicazioni, il tipo di servizio utilizzato, i paesi di provenienza o di destinazione della chiamata, l'orario di inizio della chiamata (cfr. all. 1, nota 19.06.2017).

Il livello di aggregazione delle soglie di consumo considerate sarebbe su base bimestrale (cfr. pag. 1, nota del 19.06.2017). La societa' ha dichiarato che intende attuare specifiche misure a tutela degli interessati, in particolare l'anonimizzazione dei numeri del chiamante e del chiamato, mediante mascheramento delle ultime quattro cifre.

1.2. A seguito di una richiesta di chiarimenti formulata dall'Autorita' la societa' ha precisato con nota di riscontro del 19 giugno 2017 che:

1. "i dati ricevuti dal fornitore del servizio di comunicazione elettronica […] riportano i numeri chiamati gia' oscurati (le ultime 3 cifre sostituite da asterischi) […] i numeri chiamanti […] vengono riportati solo nel caso di telefonate in roaming ed anche in questo caso con i numeri gia' oscurati (le ultime 3 cifre sostituite da asterischi)";

2. le predette societa' intestatarie delle utenze aziendali avrebbero "comunicato [al fornitore del servizio di comunicazione elettronica] il nominativo e l'indirizzo e-mail aziendale dei rispettivi dipendenti reali utilizzatori dei telefoni e dei dispositivi mobili nei quali sono inserite le schede sim agli stessi assegnate; al riguardo si precisa che uno stesso dipendente puo' utilizzare piu' sim […] e che il contratto con [il fornitore del servizio di comunicazione elettronica] prevede che il fornitore rilevi i consumi per ciascun dipendente";

3. "il sistema […] prevede lo scarico dei dati di dettaglio resi disponibili dal fornitore […] sul proprio portale in occasione della emissione della fattura bimestrale e l'invio di tali dati alla societa' inglese Tangoe Europe Limited, con sede a Londra" (cfr. allegato 1 alla nota cit.);

4. le operazioni di trattamento che la societa' si riserva di effettuare sono "lo scarico delle informazioni e registrazione di dettaglio rese disponibili dal provider di servizi sul proprio portale e registrazione su foglio Excel memorizzato su una cartella riservata del sistema informativo"; "Criptazione del file ed invio a Tangoe (la chiave di criptazione verra' inviata con un messaggio separato"); "analisi degli addebiti in fattura e verifica della conformita' degli stessi all'effettivo utilizzo dei servizi di comunicazione voce e dati di cui al dettaglio fornito dal provider (attivita' svolta da Tangoe)" "rilevazione di eventuali situazioni anomale di consumi (attivita' svolta da Tangoe); "analisi dell'andamento complessivo dei consumi in modo da valutare sistematicamente l'adeguatezza nel tempo del contratto con il provider […] con l'obiettivo di ridurre i costi aziendali e ottimizzare la qualita' del servizio; rilevazione di eventuali situazioni anomale di consumi […] invio a ciascuna delle societa' dei risultati delle elaborazioni effettuate da Tangoe in relazione alle utenze assegnate ai rispettivi dipendenti; distruzione dei dati di dettaglio in possesso di Tangoe dopo 12 mesi dalla ricezione";

5. l'arco temporale di conservazione fissato in 12 mesi e' stato stabilito "in ragione dell'esigenza di realizzare un'analisi di dettaglio dei consumi e dei conseguenti costi aziendali del servizio di comunicazione elettronica";

6. la societa' provvedera' a rendere la dovuta informativa a i dipendenti interessati "in occasione della prima attivazione del servizio";

7. "l'accesso al portale del fornitore del servizio di comunicazione elettronica e' consentito con credenziali di accesso individuali […] i dati saranno registrati in un foglio Excel a cura dell'incaricato che effettua l'accesso e conservati nei sistemi aziendali […] la comunicazione alla società Tangoe avverra' previa criptazione del file";

8. la societa' ha stipulato accordo sindacale […] analoghi accordi saranno richiesti con le Rsu delle altre due societa' […]";

9. in presenza di "consumi anomali" - che sono stati individuati nelle ipotesi in cui "i costi complessivi in bolletta relativi al dipendente superano del 50% la media dei costi rilevati per tutti i dipendenti nella medesima bolletta"- verra' segnalato al manager del dipendente;

10. "non sono previsti utilizzi per finalita' ulteriori […ne'] per finalita' disciplinari. In caso di consumi anomali […] la finalita' sara' quella di rilevarne le cause e, se necessario, di segnalare al dipendente l'esigenza di contenere i costi aziendali";

11. "oltre a Tangoe […] e alla linea manageriale del dipendente, effettueranno il descritto trattamento gli addetti all'unita' organizzativa "Servizi aziendali" ed il personale IT addetto al servizio informatico aziendale". L'accesso ai dati sara' consentito ai soli incaricati che saranno dotati di credenziali di accesso personalizzate e i dati saranno trattati nel rispetto della disciplina in materia di misure minime di sicurezza.

A seguito dell'istruttoria, il Garante ha concluso nel senso in precedenza indicato.