STUDIO
LEGALE
Avv.
STEFANO COMELLINI
Via Bocca di Lupo, 19
- 40123 BOLOGNA
“Provvedimento del
Garante per la Privacy sulla posta elettronica aziendale e privacy del
dipendente”
GARANTE PER LA PROTEZIONE DEI DATI
PERSONALI
NELLA
riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del
dott. Giuseppe Chiaravalloti, vicepresidente, del
dott. Mauro Paissan e del dott. Giuseppe Fortunato,
componenti, e del dott. Daniele De Paoli, segretario generale reggente;
VISTO
il ricorso presentato al Garante il 13 ottobre 2009 nei confronti di KW S.p.A.
(rappresentata e difesa dagli avv.ti Stefania Pattarini
e Vanni Ribechi) con il quale XY (rappresentata e
difesa dagli avv.ti Davide Bonsignorio e Monica
Rota), dopo essere stata licenziata con l'accusa di aver posto in essere "delle
avances e delle provocazioni di carattere esplicitamente sessuale" nei
confronti del direttore generale della predetta società, come comprovato, a
dire della società, da alcune e-mail dalla stessa inviate a quest'ultimo
e da alcune fotografie che la ritrarrebbero in "pose erotiche"
lasciate sulla sua scrivania, ha ribadito la richiesta, già avanzata ai sensi
dell'art. 7 del Codice in materia di protezione dei dati personali (d. lgs. 30 giugno 2003, n. 196), volta ad accedere a tali
informazioni – citate nella lettera di contestazione disciplinare precedente il
licenziamento – e a quelle contenute nelle "altre (…) mail di cui
queste costituivano la risposta e comunque lo sviluppo"; rilevato, in
particolare, che la ricorrente, nel rappresentare di non aver mai posto in
essere i predetti comportamenti e denunciando invece di aver "subito
proprio da parte del citato collega attenzioni sgradite", ha inoltre
ribadito di voler accedere anche a tutti i messaggi di posta elettronica "dalla
stessa mandati e alla stessa indirizzati" e, in particolare, a "quelli
dalla stessa ritenuti utili alla propria difesa in relazione a tutti i fatti
citati nella lettera di contestazione" e nelle successive
comunicazioni; rilevato che la ricorrente ha chiesto la liquidazione in proprio
favore delle spese del procedimento;
VISTI
gli ulteriori atti d'ufficio e, in particolare, la nota del 19 ottobre 2009,
con la quale questa Autorità, ai sensi dell'art. 149, comma 1 del Codice ha
invitato il predetto titolare del trattamento a fornire riscontro alle
richieste dell'interessata, nonché la nota del 2 dicembre 2009 con la quale è
stata disposta, ai sensi dell'art. 149, comma 7, la proroga dei termini del
procedimento;
VISTA
la memoria, datata 13 novembre 2009, con la quale la società resistente ha
dichiarato di non detenere "alcuna fotografia della signora XY",
né "le tre mail indicate nella lettera di contestazione disciplinare,
che sono state soltanto mostrate al Presidente" della società, la
quale, "allo stato, non è a conoscenza del fatto se le stesse siano
state trasmesse, o meno, per il tramite di un account di posta elettronica
aziendale"; rilevato che la resistente ha contestato poi
l'ammissibilità della richiesta di accedere a tutti i messaggi di posta
elettronica inviati e ricevuti dalla ricorrente e presenti sul computer
che la stessa aveva in uso dal momento che quest'ultima avrebbe omesso di
comprovare "che si tratti di corrispondenza che integri un trattamento
di dati personali", ritenendo che non possa formare oggetto di accesso
"la corrispondenza aziendale interna, ai fini della gestione ed
organizzazione aziendale";
VISTA
la nota inviata via fax il 19 novembre 2009, con la quale la ricorrente, nel
prendere atto del fatto che la resistente non detiene le fotografie citate
nella lettera di contestazione disciplinare, ha ribadito la richiesta di
accedere ai dati personali che la riguardano relativi alle mail inviate
e ricevute mediante l'account "QK", "il solo che lei
utilizzasse per comunicare con i colleghi" e al quale non avrebbe più
avuto modo di accedere dopo la contestazione disciplinare e la contestuale
sospensione cautelare con effetto immediato;
VISTA
la memoria del 23 novembre 2009 con la quale la resistente ha contestato la
richiesta avversaria, sostenendo che non può essere avanzata al Garante la
richiesta "di ordinare l'esibizione di e-mail aziendali, su server
aziendali" e ha chiesto di porre a carico della ricorrente le spese
sostenute per il procedimento;
RILEVATO
che, contrariamente a quanto sostenuto dalla resistente, lo scambio di
corrispondenza elettronica (estranea o meno all'attività lavorativa) tra la
ricorrente e soggetti esterni o interni alla struttura lavorativa configura
un'operazione idonea a rendere conoscibili talune informazioni personali
relative all'interessata (si pensi – anche a prescindere dal contenuto della
corrispondenza che certamente può, insieme ad altro, recare dati personali che
la riguardano – al solo trattamento dei nominativi dei mittenti e/o dei
destinatari delle e-mail, già di per sé stessi in grado di fornire, come
i dati di traffico telefonico, indicazioni rilevanti in ordine ai contatti e
alle relazioni della stessa ricorrente e, quindi, essere considerati dati
personali ad essa relativi; cfr., al riguardo, anche provv.
del Garante 2 aprile 2008, disponibile sul sito www.garanteprivacy.it,
doc. web n. 1519703);
RILEVATO
che, nel caso di specie, ciò è ancor più evidente tenuto conto del fatto che
l'indirizzo di posta elettronica aziendale cui la ricorrente fa riferimento è
un indirizzo individualizzato e recante nome e cognome della stessa e non un
indirizzo condiviso tra più lavoratori (ad esempio, info@ente.it,
ufficiovendite@ente.it, urp@ente.it, etc.);
RILEVATO
che, alla luce di ciò, non può essere negato il diritto della ricorrente di
accedere ai dati personali che la riguardano contenuti nei messaggi di posta
elettronica inviati e ricevuti nel corso della sua attività professionale
attraverso l'indirizzo di posta elettronica alla stessa attribuito – ed
espressamente indicato, in conformità dell'art. 149, comma 4, del Codice, nel
corso del procedimento – laddove attualmente presenti presso il computer
originariamente concesso in uso alla stessa o presso il server della
società resistente;
RILEVATO
tuttavia che l'individualità dell'indirizzo di posta elettronica attribuito
alla ricorrente e la sua veste esteriore possono aver determinato una legittima
aspettativa della lavoratrice, o di terzi, di confidenzialità rispetto ad
alcune forme di comunicazione e che tale aspettativa deve essere tenuta in
considerazione con riferimento alle modalità attraverso le quali consentire
l'accesso medesimo; ciò, tenuto conto che, ad esempio, l'estrapolazione dei
dati personali in questione dagli archivi che li contengono implicherebbe il
rischio di violazione dei principi di pertinenza e non eccedenza nel
trattamento dei dati da parte del datore di lavoro che, a cagione della stessa
istanza di accesso, potrebbe venire a conoscenza anche di dati (della ricorrente
e di terzi) non pertinenti all'attività lavorativa (cfr., anche, le Linee
guida del Garante per posta elettronica e internet, provv.
del 1° marzo 2007, doc. web n. 1387522, punto 5.2);
RITENUTO,
alla luce di ciò, di dover accogliere il ricorso per questa parte e di dover
ordinare alla resistente, quale misura necessaria a tutela dei diritti
dell'interessata ai sensi dell'art. 150, comma 2, del Codice, di consentire
alla ricorrente, entro il termine di quarantacinque giorni dalla data di
ricevimento del presente provvedimento, di accedere presso la sede lavorativa
alla casella di posta elettronica "QK" e di trasporre eventualmente
su supporto cartaceo o informatico i dati personali che la riguardano contenuti
nella corrispondenza in essa conservata e ciò, a garanzia della corretta
esecuzione dell'accesso medesimo, in presenza dell'amministratore di sistema o
di personale appositamente incaricato dalla resistente; ritenuto di dover
ordinare alla resistente di confermare a questa Autorità, entro il medesimo
termine, l'avvenuto adempimento del provvedimento;
RITENUTO
di dover invece dichiarare non luogo a provvedere sul ricorso in ordine alle
ulteriori richieste della ricorrente tenuto conto che la resistente, nel corso
del procedimento, ha precisato, con attestazioni della cui veridicità l'autore
risponde ai sensi dell'art. 168 del Codice, di non detenere i restanti dati
richiesti e tra essi, in particolare, le fotografie citate nella lettera di
contestazione disciplinare inviatale dalla resistente;
RITENUTO
che sussistono giusti motivi per compensare le spese tra le parti alla luce
della peculiarità e della novità della vicenda esaminata;
VISTA
la documentazione in atti;
VISTI
gli artt. 145 e s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);
VISTE
le osservazioni dell'Ufficio formulate dal segretario generale ai sensi
dell'art. 15 del regolamento del Garante n. 1/2000;
RELATORE
il dott. Giuseppe Chiaravalloti;
TUTTO CIO’ PREMESSO
IL GARANTE:
a)
accoglie il ricorso in ordine alla richiesta della ricorrente di accedere ai
dati personali che la riguardano contenuti nei messaggi di posta elettronica
inviati e ricevuti dalla casella "QK" e ordina alla resistente, ai
sensi dell'art. 150, comma 2, del Codice, di consentire alla stessa, entro il
termine di quarantacinque giorni dalla data di ricevimento del presente
provvedimento, di accedere presso la sede lavorativa alla casella di posta
elettronica in questione e di trasporre eventualmente su supporto cartaceo o
informatico i dati personali che la riguardano contenuti nella corrispondenza
in essa conservata e ciò, a garanzia della corretta esecuzione dell'accesso
medesimo, in presenza dell'amministratore di sistema o di personale
appositamente incaricato dalla resistente;
b)
ordina alla resistente di comunicare a questa Autorità, entro il predetto
termine di termine quarantacinque giorni dalla data di ricevimento del presente
provvedimento, l'avvenuto adempimento del provvedimento;
c)
dichiara non luogo a provvedere sul ricorso in ordine alle restanti richieste;
d)
dichiara compensate le spese tra le parti.
Roma, 21 gennaio 2010
IL
PRESIDENTE
Pizzetti
IL
RELATORE
Chiaravalloti
IL
SEGRETARIO GENERALE REGGENTE
De Paoli