IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. XXX, presidente, della dott.ssa XXX, vicepresidente, della dott.ssa XXX e della prof.ssa XXX, componenti, e del dott. XXX, segretario generale;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");

VISTO il reclamo e le segnalazioni con le quali è stata lamentata la illiceità di trattamenti effettuati da Poste Italiane S.p.A. mediante un sistema utilizzato per la gestione delle attese allo sportello;

VISTA la decisione n. 517 del 7 dicembre 2016 (www.garanteprivacy.it, doc. web n. 5947045) in base alla quale è stato deciso di "avviare un autonomo separato procedimento per una valutazione più generale del trattamento dei dati effettuati da Poste attraverso il sistema "Gestione Attese";

ESAMINATE le risultanze istruttorie e la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. XXX;

PREMESSO

1. I casi sottoposti al Garante.

Sono pervenute numerose segnalazioni e un reclamo da parte di Organizzazioni sindacali e dipendenti di Poste Italiane S.p.A. (di seguito, la società) in merito alla possibile violazione della disciplina in materia di protezione dei dati personali per effetto dell´impiego, in alcuni uffici postali, di un sistema utilizzato per la gestione delle attese allo sportello (denominato dalla società, "Gestore" o "Gestione Attese", di seguito "il sistema"). In particolare, il sistema, utilizzato per la gestione delle code nelle operazioni di sportello, comporterebbe un trattamento illecito e sproporzionato di dati personali (tra i quali il nome del singolo dipendente), anche mediante la visualizzazione su un display luminoso posto al disopra dello sportello. Il trattamento sarebbe stato inoltre intrapreso dalla società senza fornire la dovuta informativa ai dipendenti e senza la stipula di specifico accordo con le parti sindacali.

2. L´istruttoria.

Nel dare riscontro alle richieste di informazioni formulate dall´Ufficio al fine di verificare la fondatezza delle doglianze e l´osservanza dei principi e delle disposizioni in materia di protezione dei dati personali la società, in qualità di titolare del trattamento, ha dichiarato (ai sensi dell´articolo 168 del Codice) che il sistema sarebbe stato implementato nell´ambito del miglioramento del rapporto con gli utenti e comunque in aggiunta all´utilizzo dei c.d. cartellini identificativi appuntati sull´abito o sulla divisa del lavoratore già visibili alla clientela. In particolare, la società ha dichiarato che:

a) in quanto "fornitore del servizio postale universale" svolge una "attività di preminente interesse generale" e, in tale quadro, il "sistema Gestore attese […] costituisce uno strumento aziendale nell´ambito della libertà di organizzazione del lavoro che Poste si è data"; il dipendente è pertanto tenuto a osservare le disposizioni per l´esecuzione della prestazione impartite dal datore di lavoro (artt. 2104 e 2015 c.c. e art. 52 CCNL per il settore postale del 14 aprile 2011; codice etico aziendale richiamato in nota 24.04.2017, p.2);

b) in quanto fornitore del servizio postale universale, trova applicazione "per analogia" l´articolo 55-novies del dl.g. n. 165/2001, che prevede l´obbligo per i dipendenti che svolgono attività a contatto con il pubblico dell´uso "di cartellini identificativi" o dell´apposizione di "targhe […] presso la postazione di lavoro";

c) l´obiettivo perseguito dalla società mediante l´impiego del citato sistema sarebbe quello di "rendere conoscibile e trasparente l´organizzazione e l´attività, agevolando i rapporti con gli utenti nonché quello di responsabilizzare i dipendenti [...] mediante l´indicazione sul display del Gestore Attese del solo nome di battesimo, e non anche del cognome, dell´operatore" (la società ha inoltre precisato che su richiesta del dipendente sarebbe possibile la visualizzazione di un acronimo; cfr. nota cit., p. 3);

d) starebbe "valutando l´opportunità di poter limitare il tempo di esposizione del nome del dipendente sul display per il tempo strettamente necessario tra la comparsa dello sportello sul tabellone principale e l´arrivo del cliente allo specifico sportello di destinazione"(cfr. nota cit., p. 4);

e) di aver, in data 4 marzo 2015, "informato le OO.SS., a livello centrale, del sistema Gestore attese con apposita documentazione descrittiva"; a tale informativa non sarebbero seguite "eccezioni relativamente al trattamento dei dati personali dei dipendenti mediante l´utilizzo del nuovo sistema"(cfr. nota cit., p. 3 e all. n. 1) e comunque "si sta provvedendo a redigere una nuova informativa".

2.2. Con specifico riferimento alle concrete modalità di funzionamento del sistema la società ha, in un primo momento, dichiarato che (cfr. nota cit. p. 5):

a) il sistema "non storicizza i dati relativi al dipendente e alla sua operatività";

b) il sistema consente la visualizzazione del "nome di battesimo dell´operatore nel display di Sportello e di Sala Consulenza […] e nella console di monitoraggio dell´andamento dell´attesa";

c) alla console accede il personale "profilato in base a ruoli definiti ed al cono di visibilità territoriale", in particolare si tratta di "personale addetto al monitoraggio dell´andamento delle attese" e di "personale tecnico-informatico sia territoriale che centrale";

d) "il sistema consentiva di estrapolare una reportistica che includeva l´anagrafica operatore ma è stato recentemente rilasciato un aggiornamento che non ne permette più l´estrazione".

2.3. Nel corso del successivo approfondimento istruttorio, finalizzato ad acquisire elementi ritenuti indispensabili alla completa verifica di tutte le funzionalità del sistema con riguardo in particolare alla c.d. "console di monitoraggio", la società ha fatto pervenire ulteriore riscontro fornendo più precisi elementi dai quali emerge che:

a) sul display presente sul singolo sportello dell´ufficio postale sono visualizzabili: "il numero di sportello, il nome di battesimo dell´operatore e l´eventuale lingua straniera parlata dall´operatore" (cfr. nota 15 settembre 2017, p. 2 in atti).

b) la console di monitoraggio consente al personale incaricato la visualizzazione "in tempo reale" di alcune informazioni quali: il "numero dello sportello" e lo "stato (aperto/chiuso)", " il nome di battesimo dell´operatore" e "informazioni sulla gestione delle code (servizi forniti dal singolo sportello, regole di chiamata e nr. Ticket serviti)","il tempo medio […] per tipologia di operazione" anziché "la durata della singola operazione"(cfr. nota cit., p. 2). Più nel dettaglio, i dati visibili sulla consolle "relativi soltanto al giorno corrente" sarebbero "funzionario, ufficio postale, sportello, ticket corrente, postazione di lavoro, operatore, gruppo di chiamata, customizzazioni, ticket serviti, chiamata corrente" (cfr. nota cit., p. 4).

c) alla consolle possono avere accesso circa 12.135 utenti autorizzati con diversi ruoli, tra figure centrali (n. 147 persone), figure di area territoriale (n. 53), figure di filiale (n. 609) e direttori degli uffici postali (DUP) (n.11.326), nell´ambito di specifiche funzioni aziendali (cfr. tabella p. 2, nota cit.);

d) i diversi profili di accesso hanno rispettivamente la visibilità dei dati relativi a tutti gli uffici d´Italia se operanti a livello centrale e dei dati relativi a tutti gli uffici dell´area della filiale di competenza, se periferici. I direttori invece hanno accesso ai soli dati relativi all´ufficio postale di competenza. Le figure, operanti a livello centrale e periferico, sopra menzionate hanno la possibilità di accedere "in tempo reale" ai menzionati dati "al ricorrere di determinati eventi/anomalie" (peraltro non esplicitate); diversamente, ai direttori dei singoli uffici postali DUP è consentita la visibilità "continuativamente"(cfr. nota cit., p. 3 , ove si legge il "direttore […tra l´altro] assicura una gestione flessibile del personale in funzione dei picchi e dei volumi. A tal fine [consulta] costantemente la console per gestire eventuali situazioni di criticità nell´attesa dei clienti in sala");

e) la console renderebbe disponibili "anche dati statistici con una profondità storica massima di 40 giorni"(senza indicazione del nome di battesimo), non specificando gli accorgimenti che la Società intende mettere in atto per anonimizzare i dati raccolti;

f) nei report generati dal sistema non sarebbe visibile il nome dell´operatore.

2.4. Alla luce della documentazione in atti e delle dichiarazioni rese dal titolare del trattamento nel corso dell´istruttoria, emerge che il sistema utilizzato dalla società "per la gestione delle code nelle operazioni di sportello" (cfr. nota 24.04.2017, p. 1, cit.) consente operazioni di trattamento di dati personali riferiti ai lavoratori addetti allo sportello. Tali operazioni consistono, in sintesi, nella visualizzazione, sul display presente su ogni singola postazione di sportello dell´ufficio postale, di alcuni dati personali tra i quali il nominativo o altro identificativo dell´operatore (es. pseudonimo) (art. 4, comma 1, lett. b) e c) del Codice; nota 15 settembre 2017, p. 2 in atti; cfr. punto 2.3., lett. a)); nella visualizzazione in tempo reale (e in alcuni casi continuativa), attraverso l´accesso alla console di monitoraggio, di una pluralità di informazioni di dettaglio relative, in particolare, allo stato di disponibilità dello sportello, alla gestione delle code e al tempo medio di evasione dei ticket serviti associati in via diretta al nominativo dell´operatore assegnato ad una determinata postazione di sportello (cfr. punto 2.3, lett. b); nella memorizzazione dei dati anche identificativi dell´operatore (nominativo) con possibilità di estrazione di reportistica: tale operazione risulta ancora effettuata allo stato attuale, in quanto, a tal proposito, la società ha precisato che "è in pianificazione un´iniziativa che prevede la cancellazione del nome dell´operatore dagli archivi e impedisca la storicizzazione del dato" (cfr. nota cit., p. 4). Al dipendente non è consentito "disabilitare la visualizzazione del nominativo" potendo questi eventualmente richiedere al direttore la momentanea modifica del nome (es. pseudonimo) atteso che "[…] il sistema di default recupera al momento della login il nome di battesimo"(p. 4). La società ha comunque assicurato che "non sono mai state fatte estrazioni […] utilizzando [come chiave di ricerca] i nomi" da parte degli "utenti della consolle" (cfr. nota cit., p. 4). Infine con specifico riferimento all´osservanza della disciplina lavoristica la società ha dichiarato che "il sistema costituisce uno strumento di lavoro disciplinato dall´art. 4, comma 2, della legge 300/70. Al momento l´azienda non utilizza i dati raccolti da tale sistema per le finalità connesse allo svolgimento del rapporto di lavoro e, conseguentemente, in coerenza con il comma 3 del medesimo articolo di legge, non è stata resa alcuna specifica informativa al personale" (p.4).

CONSIDERATO

3. Esiti dell´attività istruttoria.

In base ad una complessiva valutazione degli elementi sopra richiamati e all´esito dell´esame delle dichiarazioni rese all´Autorità nel corso del procedimento E' della cui veridicità si può essere chiamati a rispondere ai sensi dell´art. 168 del Codice E' nonché della documentazione acquisita, emerge che le descritte operazioni di trattamento, effettuate dalla società in qualità di titolare per il tramite del personale abilitato e incaricato con diversi profili di accesso al sistema, danno luogo ad un trattamento di dati personali dei dipendenti che risultano per alcuni profili non conformi alla disciplina in materia di protezione dei dati personali, con particolare riferimento al principi di liceità e proporzionalità (art. 11, comma 1, lett. a) e d) del Codice), nei termini di seguito descritti.

3.1. L´informativa agli interessati

In via preliminare, non risulta che la società abbia fornito ai dipendenti la dovuta informativa circa modalità e finalità delle operazioni di trattamento rese possibili dal sistema "Gestore attese" (come descritte al punto 2.4.), né all´interno delle informative individualizzate rese a ciascun lavoratore all´atto dell´assunzione (cfr. informativa, nota 24.04.2017, all. 2) né con documenti informativi resi noti alla generalità dei dipendenti). Tanto, con particolare riferimento alla visualizzazione sul display, alla raccolta, alla conservazione e alle altre operazioni di trattamento dei dati anche su base individuale, quali emergono all´esito dell´attività istruttoria condotta (cfr. punto 2, supra).

A tal proposito si osserva che "la documentazione descrittiva" fornita, peraltro, alle sole organizzazioni sindacali in data 4 marzo 2015 (cfr. nota cit., all. n. 1) non può sostituire l´adempimento all´articolo 13 del Codice, sia in quanto non reca gli elementi essenziali richiesti dalla legge per l´informativa da rendere agli interessati, sia in quanto la modalità utilizzata dalla società per informare per il tramite delle organizzazioni sindacali la compagine dei lavoratori in merito all´installazione del sistema non risulta comunque idonea a rendere edotti individualmente tutti gli interessati con riguardo alle operazioni di trattamento effettuate.

Ciò risulta in contrasto con l´obbligo posto in capo al titolare del trattamento di fornire una preventiva informativa all´interessato in ordine alle caratteristiche essenziali dei trattamenti effettuati nonché con il principio di correttezza (in relazione agli articoli 11, comma 1, lett. a) e 13 del Codice).

A tal proposito si precisa che, contrariamente a quanto sostenuto dalla società, l´osservanza di tale disposizione normativa è in ogni caso dovuta ed è indipendente rispetto all´eventuale determinazione assunta dalla società circa la possibilità di utilizzare le informazioni raccolte "a tutti i fini connessi al rapporto di lavoro" (art. 4, comma 3 l. n. 300/1970).

Peraltro, anche tali successive ed eventuali operazioni di trattamento presuppongono il rigoroso rispetto del quadro normativo di riferimento, sia in materia di protezione dei dati, che in materia di controlli a distanza dei lavoratori (artt. 3, 11, comma 1, lett. a), b), d), ed e) e 13 del Codice nonché 4, comma 3, l. n. 300/1970; sul punto, v. Provv. 24 maggio 2017, n. 247, doc. web n. 6495708, spec. punto 5.3).

3.2. La disciplina in materia di controlli a distanza.

Quanto alle specifiche caratteristiche del trattamento dei dati reso possibile dal menzionato sistema, si osserva che esso è dotato di funzionalità che permettono, in particolare, oltre alla visualizzazione del nominativo del dipendente (e alla lingua da questo parlata) sul "display di Sportello e di Sala Consulenza", la visualizzazione in tempo reale, mediante accesso alla "console di monitoraggio" (senza prevedere alcuna limitazione rispetto ad una eventuale visualizzazione continuativa di un determinato Ufficio o di un determinato dipendente) delle informazioni di natura personale sopra indicate, nonché la memorizzazione delle stesse informazioni e l´estrazione di relativi report contenenti dati anche nominativi (cfr. punto 2.4.).

Tali operazioni di trattamento, in particolare, la memorizzazione e la visualizzazione prolungata e, potenzialmente continuativa di una pluralità di informazioni di dettaglio, quali, ad esempio, lo stato (libero, disponibile) dell´operatore o il dato relativo ai tempi medi di evasione del cliente allo sportello, associati in tempo reale ed in via diretta al nominativo del dipendente danno luogo ad un monitoraggio costante dell´attività e della produttività del lavoratore, anche per l´impossibilità di disattivare la funzione di visualizzazione e di memorizzazione.

Il sistema utilizzato per la gestione delle attese allo sportello, non ponendosi come indispensabile per rendere la prestazione lavorativa (art. 4, comma 2, l. n. 300/1970; cfr. anche Provv. 13 luglio 2016, n. 303, par. 4.3, doc web 5408460), rientra in quegli strumenti anche organizzativi, dai quali può indirettamente derivare il controllo a distanza dell´attività dei lavoratori, con conseguente necessità di attivare le procedure ivi previste che non possono essere soddisfatte con l´invio alle organizzazioni sindacali di un mero documento informatico o dall´eventuale acquiescenza dei lavoratori (cfr., Corte di Cassazione, III sez. pen., n. 22148/2017; sul punto, tra i tanti, Provv. n. 230 dell´8 maggio 2014, doc. web n. 3250490).

In conclusione, il sistema per come configurato risulta in contrasto con la disciplina in materia di protezione dei dati personali e con la rilevante disciplina di settore (artt. 11, comma 1, lett. a), 114 del Codice e art. 4, comma 1 legge 20.5.1970, n. 300).

3.3. I principi di necessità, pertinenza, e non eccedenza. La proporzionalità del trattamento.

Il trattamento di dati personali consentito dal sistema appare, inoltre, non conforme ai principi di necessità, pertinenza e non eccedenza rispetto alle finalità perseguite (artt. 3, 11, comma 1, lett. d) del Codice).

Tanto, in particolare, con riguardo alla possibilità in capo a specifiche funzioni aziendali, anche a livello centrale, di accedere in tempo reale e in via continuativa ai dati su base individuale relativi a tutte le postazioni e a tutti gli operatori in servizio in un dato momento presso un determinato ufficio, seppur nell´ambito di un´area territoriale definita (che in alcuni casi può coincidere con l´intero territorio nazionale).

La società non ha peraltro precisato alla ricorrenza di quali specifiche anomalie sia consentito tale ampio monitoraggio individualizzato da parte delle funzioni aziendali, sia centrali che periferiche, né la presenza di altri idonei presupposti che possano legittimare sotto il profilo della proporzionalità il trattamento.

Le caratteristiche del sistema sopra delineate ed il controllo penetrante che ne consegue non appaiono infatti proporzionate alla luce delle stesse finalità "organizzative e produttive" "di sicurezza del lavoro" e "di tutela del patrimonio aziendale" consentite dalla richiamata disciplina di settore (artt. 3, 11, comma 1, d) e 114 del Codice e art. 4, legge 20.5.1970, n. 300; Raccomandazione Consiglio di Europa 1 aprile 2015, CM/Rec(2015)5, spec. princ. 15; Provv.ti 22 dicembre 2016, n. 547, par. 3.5 doc. web n. 5958296 e 13 luglio 2016, n. 303, par. 5, cit.).

3.4. La visualizzazione dei dati sul display dello sportello.

Con riguardo alla specifica funzione del sistema che ha dato origine all´istruttoria in questione e consistente nella visualizzazione anche del nome di battesimo del lavoratore sul display, si osserva che la comunicazione e la diffusione di informazioni personali riferite ai lavoratori risultano lecite se effettuate in presenza di specifiche disposizioni di legge che la impongano al datore di lavoro, ovvero di altro presupposto "equipollente"(artt. 4, comma 1, lett. m) e l) e 24 del Codice).

Sul punto, la società ha invocato, tra l´altro e per quanto applicabile, l´orientamento sostenuto dal Garante con riguardo all´uso dei tesserini identificativi appuntati sull´abito o sulla divisa del lavoratore, in base al quale "l´obbligo di portare in modo visibile un cartellino identificativo può trovare fondamento in alcune prescrizioni contenute in accordi sindacali aziendali, il cui rispetto può essere ricondotto alle prescrizioni del contratto di lavoro" (cfr. punto 5.3. delle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati, Provv. 23 novembre 2006, n. 53, doc. web n. 1364939 e punto 6.4. delle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico n. 23/2007, cit., ma già Provv. 11 dicembre 2000, doc. web n. 30991).

A questo riguardo, si osserva che la visualizzazione sul display posto sopra lo sportello dell´ufficio postale rappresenta, allo stato, una misura diversa ed ulteriore rispetto a quella, peraltro già in uso per il personale della società operante a contatto con il pubblico, consistente nell´apposizione del cartellino identificativo, come da contratto collettivo applicabile (l´art. 52, lett. i), del contratto collettivo nazionale di lavoro per il personale non dirigente di Poste Italiane S.p.A. prevede infatti l´obbligo per i lavoratori operanti a contatto con la clientela di esporre un adeguato contrassegno identificativo nel rispetto della disciplina di protezione dei dati personali).

Deve ritenersi che le informazioni presenti nel cartellino identificativo, nel rispetto del principio di pertinenza e non eccedenza con riguardo alla finalità di miglioramento del rapporto con gli utenti, costituiscano già elementi informativi sufficienti a vantaggio dell´utenza e in concreto idonei a garantire la funzione identificativa degli operatori (ad esempio, al fine della predisposizione di un reclamo per il servizio reso).

La possibilità di raggiungere gli stessi legittimi obiettivi di trasparenza nei rapporti con i clienti con modalità diverse da quelle in uso potrà essere valutata, anche in alternativa al cartellino, previa idonea informativa ai lavoratori interessati, avuto riguardo a specifiche necessità derivanti, ad esempio, dalle dimensioni della struttura, dal numero degli operatori che vi prestano servizio, dalle mansioni svolte da ciascuno, dal bacino di utenza del singolo ufficio postale.

A tal proposito si prende atto delle valutazioni effettuate dalla società, sia in termini di alternatività del sistema ("l´esposizione del nome […] anziché sul cartellino posto sull´abito, sul display del "Gestore Attese" […]", cfr. p. 4, nota cit. ), sia in termini di minimizzazione del trattamento, nell´ambito della valutazione di proporzionalità rispetto alla finalità perseguita, con riguardo all´arco temporale di esposizione del nominativo dell´operatore (la società starebbe infatti "valutando l´opportunità di poter limitare il tempo di esposizione del nome del dipendente sul display per il tempo strettamente necessario tra la comparsa dello sportello sul tabellone principale e l´arrivo del cliente allo specifico sportello di destinazione"(punto 2.1., lett. d), supra).

RITENUTO

4. Ciò considerato, ritenuto illecito il trattamento effettuato da parte di Poste italiane S.p.A. nei termini sopra indicati (cfr. par. 3.1, 3.2, 3.3) per violazione degli articoli 3, 11, comma 1, lett. a) e d), 13 e 114 del Codice, il Garante, ai sensi degli articoli 143, comma 1, lett. c), e 154, comma 1, lett. d), del Codice, ritiene di dover vietare con effetto immediato dalla data di ricezione del presente provvedimento, il trattamento descritto in motivazione, con la conseguente inutilizzabilità dei dati trattati in violazione di legge, ai sensi dell´art. 11, comma 2 del Codice, salva la conservazione dei dati finora trattati ai fini di un´eventuale acquisizione degli stessi da parte dell´autorità giudiziaria, nonché per esigenze di tutela dei diritti in sede giudiziaria.

Si ricorda che, ai sensi dell´articolo 170 del Codice, chiunque, essendovi tenuto, non osserva il presente provvedimento di divieto è punito con la reclusione da tre mesi a due anni e che, ai sensi dell´articolo 162, comma 2-ter del Codice, in caso di inosservanza del medesimo provvedimento, è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro.

L´Autorità si riserva di valutare, con autonomo procedimento, la sussistenza di violazioni amministrative in capo al titolare del trattamento.

TUTTO CIÒ PREMESSO IL GARANTE

nei confronti di Poste Italiane S.p.A.:

1. dichiara illecito il trattamento descritto in motivazione, con la conseguente inutilizzabilità dei dati trattati in violazione di legge, ai sensi dell´art. 11, comma 2 del Codice (punto 4);

2. ai sensi degli artt. 143, comma 1, lett. c), e 154, comma 1, lett. d), del Codice, dispone, con effetto immediato dalla data di ricezione del presente provvedimento, il divieto dell´ulteriore trattamento dei dati personali sopra indicati con conservazione di quelli finora trattati ai fini di un´eventuale acquisizione degli stessi da parte dell´autorità giudiziaria, nonché per esigenze di tutela dei diritti in sede giudiziaria;

3. ai sensi dell´art. 157 del Codice, invita, altresì, entro trenta giorni dalla data di ricezione presente provvedimento, a comunicare quali iniziative siano state intraprese al fine di dare attuazione a quanto vietato e prescritto nel presente provvedimento e di fornire comunque riscontro adeguatamente documentato. Si ricorda che il mancato riscontro alla richiesta ai sensi dell´art. 157 è punito con la sanzione amministrativa di cui all´art. 164 del Codice.

Avverso il presente provvedimento, ai sensi dell´articolo 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del provvedimento stesso.

Fonte: Garante