Privacy e trasparenza on line della Pa: le nuove Linee guida del Garante

pubblica-amministrazione-600x383Garanzie per i più deboli Sui siti on line della Pa solo dati esatti, aggiornati e indispensabili. Vietato diffondere informazioni sulla salute. Sì agli “open data”, ma senza pregiudicare i diritti delle persone. Garanzie per i più deboli.

Allo scopo di contemperare le esigenze di pubblicità e trasparenza con i diritti e le libertà fondamentali nonché la dignità delle persone, il Garante privacy ha individuato un quadro organico e unitario di cautele e misure che le Pa devono adottare quando diffondono sui loro siti web dati personali dei cittadini.

Le Linee guida [doc. web n. 3134436], emanate alla luce del recente decreto legislativo n.33/2013, riguardano:

  • sia la pubblicazione di dati e documenti che le Pa devono mettere on line per finalità di trasparenza,
  • sia di quelli finalizzati a garantire altri obblighi di pubblicità degli atti amministrativi (es. pubblicazioni matrimoniali, deliberazioni sull’albo pretorio on line, avviso di deposito delle cartelle esattoriali etc.).

Su tali Linee guida (in corso di pubblicazione sulla G.U.) il Garante ha sentito il Dipartimento della funzione pubblica, l’Autorità nazionale anticorruzione (Anac) e l’Agenzia digitale.

Ecco in sintesi le principali misure indicate per la trasparenza on line.

Principi generali

Le Pa devono pubblicare solo dati esatti, aggiornati e contestualizzati.

Prima di mettere on line sui propri siti informazioni, atti e documenti amministrativi contenenti dati personali, le amministrazioni devono verificare che esista una norma di legge o di regolamento che ne preveda l’obbligo.

Le Pa devono pubblicare on line solo dati la cui pubblicazione risulti realmente necessaria. E’ sempre vietata la pubblicazione di dati sulla salute e sulla vita sessuale.

I dati sensibili (etnia, religione, appartenenze politiche etc.) possono essere diffusi solo laddove indispensabili al perseguimento delle finalità di rilevante interesse pubblico.

Occorre adottare misure per impedire la indicizzazione dei dati sensibili da parte dei motori di ricerca e il loro riutilizzo.

Qualora le Pa intendano pubblicare dati personali ulteriori rispetto a quelli individuati nel decreto legislativo n.33, devono procedere prima all’anonimizzazione di questi dati, evitando soluzioni che consentano l’identificazione, anche indiretta o a posteriori, dell’interessato.

Open data e riutilizzo dei dati

I dati pubblicati on line non sono liberamente utilizzabili da chiunque per qualunque finalità.

L’obbligo previsto dalla normativa in materia di trasparenza on line della Pa di pubblicare dati in “formato aperto”, non comporta che tali dati siano anche “dati aperti”, cioè liberamente utilizzabili da chiunque per qualunque scopo. Il riutilizzo dei dati personali non deve pregiudicare, anche sulla scorta della direttiva europea in materia, il diritto alla privacy.

Le Pa dovranno quindi inserire nella sezione denominata “Amministrazione trasparente” sui propri siti web un alert con cui si informa il pubblico che i dati personali sono riutilizzabili in termini compatibili con gli scopi per i quali sono raccolti e nel rispetto del norme sulla protezione dei dati personali.

I dati sensibili e giudiziari non possono essere riutilizzati.

Durata degli obblighi di pubblicazione

Il periodo di mantenimento on line dei dati è stato generalmente fissato in 5 anni dal decreto legislativo n.33. Sono previste però alcune deroghe, come nell’ipotesi in cui gli atti producano i loro effetti oltre questa scadenza. In ogni caso, quando sono stati raggiunti gli scopi per i quali essi sono stati resi pubblici e gli atti hanno prodotto i loro effetti, i dati personali devono essere oscurati anche prima del termine dei 5 anni.

Motori di ricerca

L’obbligo di indicizzare i dati nei motori di ricerca generalisti (es. Google) durante il periodo di pubblicazione obbligatoria è limitato ai soli dati tassativamente individuati dalle norme in materia di trasparenza. Vanno dunque esclusi gli altri dati che si ha l’obbligo di pubblicare per altre finalità di pubblicità (es. pubblicità legale sull’albo pretorio, pubblicazioni matrimoniali etc).

Non possono essere indicizzati (e quindi reperibili attraverso i motori di ricerca) i dati sensibili e giudiziari.

Specifici obblighi di pubblicazione

Risulta proporzionato indicare il compenso complessivo percepito dai singoli dipendenti (determinato tenendo conto di tutte le componenti, anche variabili, della retribuzione). Non è però giustificato riprodurre sul web le dichiarazioni fiscali o la versione integrale dei cedolini degli stipendi. Esistono invece norme ad hoc per gli organi di vertice politico.

A tutela di fasce deboli, persone invalide, disabili o in situazioni di disagio economico destinatarie di sovvenzioni o sussidi, sono previste limitazioni nella pubblicazione dei dati identificativi.

Vi è invece l’obbligo di pubblicare la dichiarazione dei redditi di politici e amministratori, con l’esclusione di dati non pertinenti (stato civile, codice fiscale) o dati sensibili (spese mediche, erogazioni di denaro ad enti senza finalità di lucro etc.).

Obblighi di pubblicità degli atti per finalità diverse dalla trasparenza

Il rispetto dei principi di esattezza, necessità, pertinenza e non eccedenza, permanenza on line limitata nel tempo dei dati personali, vale anche per la pubblicazione di atti per finalità diverse dalla trasparenza (albo pretorio on line degli enti locali, graduatorie di concorsi etc.).

Al fine di ridurre i rischi di decontestualizzazione del dato personale e la riorganizzazione delle informazioni secondo parametri non conosciuti dall’utente, è necessario:

  • prevedere l’inserimento all’interno del documento di “dati di contesto” (es. data di aggiornamento, periodo di validità, amministrazione, numero di protocollo)
  • ed evitare l’indicizzazione tramite motori di ricerca generalisti, privilegiando funzionalità di ricerca interne ai siti web delle amministrazioni.

Deve essere evitata la duplicazione massiva dei file.

Trasparenza e privacy nel condominio: i chiarimenti del Garante 

mutuo-casa-immobili-marka-258No alla consegna di documenti all’amministratore, sì all’accesso al conto corrente condominiale

Il condomino non deve fornire prove documentali delle informazioni rese all’amministratore per la tenuta del “registro di anagrafe condominiale”. Può invece chiedere all’amministratore copia integrale, senza oscuramenti, degli atti e dei documenti bancari del conto corrente condominiale.

Lo ha chiarito il Garante privacy in risposta ad alcuni quesiti rivolti da Confedilizia e da singoli cittadini sulle novità introdotte dalla legge n. 220 del 2012, che ha modificato la disciplina del condominio.

L’Autorità ha ribadito innanzitutto che, in base alla disciplina privacy, l’amministratore può trattare solo informazioni pertinenti e non eccedenti rispetto alle finalità da perseguire.

L’Amministratore può, dunque:

  • acquisire le informazioni che consentono di identificare e contattare i singoli partecipanti al condominio – siano essi proprietari, usufruttuari, conduttori o comodatari – chiedendo le generalità comprensive di codice fiscale, residenza o domicilio;
  • chiedere i dati catastali: la sezione urbana, il foglio, la particella, il subalterno e il Comune.

Non può invece chiedere, perché risulterebbe eccedente, copia della documentazione: come, ad esempio, l’atto di compravendita in cui sono riportati i dati.

Per quanto riguarda poi le informazioni relative alle “condizioni di sicurezza”, con l’entrata in vigore del “Decreto Destinazione Italia” i condòmini non dovranno più fornire alcuna informazione sulla propria unità immobiliare, perché i dati da raccogliere riguardano solo le parti comuni dell’edificio.

Condominio-amministratore-deve-aprire-un-conto-correnteAccesso integrale al conto condominiale

L’Autorità ha fornito ulteriori chiarimenti in merito al cosiddetto “conto condominiale”, che deve essere aperto e utilizzato dall’amministratore, e sul diritto di ciascun condomino di accedere alla relativa documentazione.

In particolare, a seguito della riforma, il Garante ha chiarito che nonostante il conto sia intestato al condominio i singoli condòmini sono ora titolari di una posizione giuridica che consente loro di verificare la destinazione dei propri esborsi e l’operato dell’amministratore mediante l’accesso in forma integrale, per il tramite dell’amministratore,  ai relativi estratti conto bancari o postali.

Tale principio, già sancito in linea generale dal Garante nelle Linee guida in ambito bancario, riconosce infatti il diritto di ottenere “copia di atti o documenti bancari” senza alcuna limitazione, neanche nelle forme di un parziale oscuramento, anche se contengono dati personali di terzi.

Utenti al riparo dalle telefonate “mute” 

support_help_talk-512Varate le regole contro il telemarketing più invasivo: utenti telefonici più tutelati contro le “telefonate mute”, un fenomeno particolarmente fastidioso causato da un’attività di promozione telefonica poco rispettosa della tranquillità degli utenti.

A conclusione della consultazione pubblica [doc. web n. 2740497] avviata lo scorso anno sulle misure da adottare per ridurre drasticamente questo fenomeno, il Garante privacy ha varato in via definitiva il provvedimento generale [doc. web n. 3017499] che impone agli operatori di telemarketing di adottare specifiche misure per ridurre drasticamente questo tipo di disturbo.

Sono stati numerosi gli abbonati che hanno segnalato al Garante la ricezione di telefonate nelle quali, una volta risposto, non si viene messi in contatto con alcun interlocutore.

Una pratica che, in alcuni casi, ha comportato il disturbo degli utenti anche  per 10-15 volte di seguito e che viene spesso vissuta dagli utenti addirittura come una forma di stalking, fino a configurarsi come un vero e proprio allarme sociale.

Come messo in luce dalle verifiche effettuate dall’Autorità, il problema deriva dalle impostazioni dei sistemi centralizzati di chiamata dei call center, rivolte a massimizzare la produttività degli operatori.

Per eliminare tempi morti tra una telefonata e l’altra, infatti, il sistema genera in automatico un numero di chiamate superiore agli operatori disponibili. Queste chiamate, una volta ottenuta risposta, possono essere mantenute in attesa silenziosa finché non si libera un operatore. Il risultato è appunto una “chiamata muta”, che può indurre comprensibili stati di ansia, paura e disagio nei destinatari.

alert-icon-redEcco dunque le regole fissate dal Garante per eliminare gli effetti distorsivi di questa pratica commerciale, senza penalizzare l’efficienza delle imprese di telemarketing:

  1. i call center dovranno tenere precisa traccia delle “chiamate mute”, che dovranno comunque essere interrotte trascorsi 3 secondi dalla risposta dell’utente;
  2. non potranno verificarsi più di 3 telefonate “mute” ogni 100 andate “a buon fine”. Tale rapporto dovrà essere rispettato nell’ambito di ogni singola campagna di telemarketing; 
  3. l’utente non potrà più essere messo in attesa silenziosa, ma il sistema dovrà generare una sorta di rumore ambientale, il cosiddetto “comfort noise” (ad es. con voci di sottofondo, squilli di telefono, brusio), per dare la sensazione che la chiamata provenga da un call center e non da un eventuale molestatore;
  4. l’utente disturbato da una chiamata muta non potrà essere ricontattato per 5 giorni e, al contatto successivo, dovrà essere garantita la presenza di un operatore;
  5. i call center saranno tenuti a conservare per almeno due anni i report statistici delle telefonate “mute” effettuate per ciascuna campagna, così da consentire eventuali controlli.

Gli operatori di telemarketing hanno sei mesi di tempo per mettersi in regola e adottare le misure prescritte dall’Autorità.

Google paga una multa da 1 milione di euro inflitta dal Garante privacy per il servizio Street View

IMG_4125-copyGoogle ha pagato una sanzione di 1 milione di euro applicata dal Garante privacy per il servizio Street View.

I fatti contestati risalgono al 2010 quando le auto del colosso di Mountain View percorrevano le strade italiane senza essere perfettamente riconoscibili e non consentendo, in tal modo, alle persone presenti nei luoghi percorsi dalle “Google Cars” di decidere se sottrarsi o meno alla “cattura” delle immagini. Numerose erano state le segnalazioni all’Autorità da parte di persone che non desideravano comparire nelle foto pubblicate on line (che, peraltro, permangono in rete per un tempo considerevole e possono essere ingrandite).

Il Garante aveva prescritto [doc. web n. 1759972] alla società di Mountain View:

  • di rendere le “Google cars” facilmente individuabili, attraverso cartelli o adesivi ben visibili,
  • di pubblicare sul proprio sito web, tre giorni prima dell’inizio delle riprese, le località visitate dalle vetture di Street View, stabilendo che per le grandi città è necessario indicare i quartieri in cui circolano le vetture. Analogo avviso deve essere pubblicato da Google sulle pagine di cronaca locale di almeno due quotidiani e diffuso per mezzo di un’emittente radiofonica locale per ogni regione visitata.

Le misure sono state tempestivamente adottate da Google.

A conclusione dell’intero procedimento sanzionatorio il Garante ha ritenuto di applicare [doc.web n. 2954309], anche in relazione al fatto che i dati raccolti illecitamente erano destinati a confluire all’interno di una grande banca dati di particolare rilevanza, quale è sicuramente quella gestita da Google nell’ambito del servizio Street View, la sanzione nella cifra complessiva di un milione di euro, pagata qualche settimana fa da Google.

Proprio tenendo conto di trovarsi di fronte a una società che, nell’anno 2012, ha registrato un fatturato consolidato pari a oltre 50 miliardi di dollari, il Garante ha deciso di avvalersi della norma del Codice privacy che mira a rendere effettive le sanzioni quando sono dirette a soggetti di notevoli dimensioni economiche.

 

Speciale Aggiornamento Privacy 2014

alert-icon-redChi deve aggiornare il Modello Privacy?

Tutti i Titolari di trattamento devono, almeno una volta all’anno, aggiornare il Modello Privacy adottato.

 

Mapping artworkA chi si applica il Codice Privacy (DLgs 196/2003)?
 
Il Codice si applica a tutti i soggetti che effettuano trattamenti di dati personali individuati in base al Principio di stabilimento del soggetto o degli strumenti del trattamento.
Per la precisione, l’Art.  5 del Codice dispone che è soggetto alla disciplina del DLgs 196/2003:
  • chiunque è stabilito nel territorio dello Stato o in un luogo comunque soggetto alla sovranità dello Stato,
  • chiunque è stabilito nel territorio di un Paese non appartenente all’Unione europea e impiega, per il trattamento, strumenti situati nel territorio dello Stato anche diversi da quelli elettronici, salvo che essi siano utilizzati solo ai fini di transito nel territorio dell’Unione europea.

privacy-policy-800-shutterstock-114908371Come adempiere l’obbligo di aggiornamento?

Gli adempimenti finalizzati all’aggiornamento annuale del Sistema privacy aziendale sono previsti dal DLgs 196/2003 e dal suo Allegato B (Disciplinare Tecnico in materia di misure minime di sicurezza) e presidiati da sanzioni che vanno da un minimo di 10.000 € ad un massimo di 120.000 €.
Almeno annualmente, ogni Titolare deve:
  • Verificare le attività
 degli Amministratori di Sistema: l’operato degli amministratori di sistema deve essere oggetto, con cadenza almeno annuale, di un’attività di verifica da parte dei Titolari del trattamento o dei Responsabili, in modo da controllare la sua rispondenza alle misure organizzative, tecniche e di sicurezza riguardanti i trattamenti dei dati personali previste dalle norme vigenti;
  • Verificare la sussistenza delle condizioni per la conservazione dei profili di autorizzazione;
  • Aggiornare l’elenco di “chi fa cosa” (Incaricati e Responsabili trattamento);
  • Programmare gli interventi formativi;
  • Aggiornare le Informative complete: le notizie da indicare per legge devono essere aggiornate, specificando la data dell’ultimo aggiornamento.

 

imagesIl Nostro Documento: APA2014 (Aggiornamento Privacy Annuale)

Studio Mazzolari, dopo l’abolizione del DPS, ha messo a punto un nuovo Documento denominato APA, acronimo di Aggiornamento Privacy Annuale, al fine di garantire la compliance dei propri Clienti alla normativa di riferimento. 
L’APA, da conservare nel Fascicolo Privacy Aziendale, è così suddiviso:
  1. Elenco dai trattamenti effettuati
  2. Mansionario Privacy
  3. Incaricati e trattamenti effettuati
  4. Archivi e Database di riferimento
  5. Incaricati alla custodia degli Archivi ad accesso controllato
  6. Incaricati e archivi/database di accesso
  7. Responsabili del trattamento
  8. Verifica dell’attività degli Amministratori di Sistema
  9. Verifica dell’aggiornamento della Privacy policy online
  10. Programmazione degli Interventi formativi.

download_large

Scarica il nostro Modello APA2014

 

 

Il Garante privacy fissa le regole per partiti e movimenti politici

Elezioni-Europee-2014-634x396Partiti e movimenti politici più trasparenti sull’uso dei dati personali di iscritti, simpatizzanti, partecipanti alle “primarie”, semplici cittadini. Cittadini informati e messi in condizione di esercitare agevolmente i loro diritti.

Con un intervento a carattere generale il Garante per la privacy ha fissato un quadro organico di regole per la tutela della riservatezza in un ambito delicato e cruciale come quello dei partiti politici.

Queste, in sintesi, le regole alle quale le formazioni politiche dovranno attenersi nello svolgimento della loro normale attività e non solo in occasione degli appuntamenti elettorali.

 

Uso dei dati di aderenti e cittadini che hanno contatti regolari con i partiti

Partiti, movimenti, comitati per le “primarie” possono utilizzare senza consenso i dati di aderenti o di cittadini con cui intrattengono contatti regolari, purché gli scopi che intendono raggiungere siano individuati nello statuto o nell’atto costitutivo.

Serve invece il consenso scritto per comunicare i dati all’esterno (ad. es., ad altri partiti appartenenti alla stessa coalizione) o per diffonderli. La stessa regola vale per i comitati di promotori o sostenitori che devono avere il consenso degli aderenti per comunicare i dati a terzi.

 

Uso dei dati di simpatizzanti e partecipanti a singole iniziative

I dati personali raccolti in occasione di petizioni, proposte di legge, richieste di referendum possono essere utilizzati ed eventualmente comunicati e diffusi solo con il consenso scritto dei cittadini e a condizione che abbiano ricevuto una informativa dettagliata. Stessa regola vale per la comunicazione a terzi e la diffusione dei dati di coloro che erogano finanziamenti e contributi, salvo i casi previsti dalla legge (ad es. obbligo per i partiti di tramettere alla Presidenza della Camera dei deputati l’elenco dei propri sovventori).

 

Informativa chiara e puntuale: predisposto anche un modello dal Garante

L’informativa deve essere resa al momento dell’adesione al partito o al movimento politico o prima della raccolta dei dati  in occasione  di singole iniziative (petizioni, proposte di legge, referendum). Nell’informativa devono essere indicate le finalità della raccolta dei dati, l’ambito di circolazione all’interno del partito o del movimento e l’eventuale possibilità di comunicazione all’esterno. Per agevolare il compito il Garante ha predisposto e messo a disposizione il seguente modello di informativa agile e di immediata comprensione.

INFORMATIVA

(art. 13 del Codice in materia di protezione dei dati personali)

“I dati da Lei conferiti (per es. all’atto dell’iscrizione al partito, della sottoscrizione di una petizione) saranno utilizzati, anche con strumenti informatici, da (indicare il titolare e l’/gli eventuale/i co-titolare/i del trattamento) a fini di (indicare le specifiche finalità) e non saranno comunicati a terzi o resi a loro conoscibili (in alternativa, indicare sinteticamente i soggetti o le categorie di soggetti destinatari dei dati, nell‘eventuale veste di responsabili o di autonomi titolari), né diffusi (in alternativa, specificare l’ambito della diffusione).

Il conferimento dei Suoi dati è (specificare se obbligatorio o facoltativo) ed un Suo eventuale rifiuto potrebbe (specificare le conseguenze, es. compromettere l’espletamento di determinate attività).

Le ricordiamo che potrà esercitare i diritti di cui all’art. 7 del Codice (es. accedere in ogni momento ai Suoi dati, chiederne l’origine, l’aggiornamento, la rettificazione, la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge) rivolgendosi a (indicare le coordinate del titolare o del responsabile, ove designato, per il riscontro all’interessato in caso di esercizio dei diritti di cui all’art. 7).

L’elenco aggiornato dei responsabili del trattamento, è disponibile presso (indicare il sito web o le modalità per prenderne conoscenza)”.

 

Garanzie per i cittadini e misure di sicurezza

L’iscritto, l’aderente, il semplice cittadino, chi sovvenziona il partito o il movimento ha diritto di accedere ai propri dati personali, ad aggiornarli o rettificarli; può conoscere i soggetti cui possono essere comunicati, e opporsi, in ogni momento, alla ricezione di materiale elettorale.

 

Regole per la propaganda elettorale

Confermate in massima parte le regole già stabilite per precedenti consultazioni elettorali:

  • utilizzabili liberamente le liste elettorali;
  • serve il consenso per sms, e-mail, mms, telefonate preregistrate e fax;
  • non possono essere mai utilizzati gli archivi dello stato civile, l’anagrafe dei residenti, le liste elettorali già utilizzate nei seggi o in cui vi siano dati annotati dagli scrutatori.

Nel caso in cui si avvalgano di  società che forniscono liste di nominativi o servizi di propaganda elettorale, i partiti hanno l’obbligo di verificare il corretto trattamento dei dati.

In un’ottica di semplificazione e contemperamento degli interessi, l’Autorità ha esonerato in via definitiva partiti, movimenti, comitati e singoli candidati, che fanno propaganda elettorale utilizzando fonti pubbliche (ad es. le liste elettorali), dall’obbligo di rendere l’informativa dal sessantesimo giorno precedente la data delle consultazioni politiche, amministrative, referendarie o delle “primarie” al sessantesimo giorno successivo. Nel materiale inviato dovrà essere comunque indicato un recapito per l’esercizio dei diritti riconosciuti dal Codice privacy.

 

Videosorveglianza sul luogo di lavoro: le telecamere vanno montate solo dopo l’autorizzazione della Direzione Territoriale del Lavoro

ktncptzLe telecamere devono essere montate solo ed esclusivamente dopo aver ricevuto l’autorizzazione della direzione Provinciale del Lavoro.

Fatto

Secondo la corte di Cassazione, non conta il fatto che le videoriprese sul posto di lavoro siano iniziate soltanto dopo il benestare della direzione provinciale del lavoro, se le telecamere erano precedentemente installate.

E’ stato infatti particolarmente precisato che, in virtù dell’art. 4 dello Statuto dei Lavoratori  (Legge 300/1970),  a priori va tutelato il bene giuridico della riservatezza del  lavoratore e, di conseguenza, il reato a carico del datore può configurarsi con la mera installazione non autorizzata dell’impianto di videoripresa, anche se la telecamera rimane spenta in attesa di ottenere il nulla osta della Dtl o di siglare l’accordo con i sindacati.

Per evitare sanzioni, le telecamere devono quindi essere montate solo ed esclusivamente dopo aver ricevuto l’autorizzazione

imagesDiritto

La Corte di Cassazione, con sentenza n. 4331 del 30 gennaio 2014, ha dichiarato inammissibile il ricorso di un datore di lavoro avverso la sentenza che lo aveva condannato alla pena di Euro 200 di ammenda per il reato di cui all’articolo 4, comma 2, L. 300/1970 per avere, quale legale rappresentante di una s.n.c., installato un impianto audiovisivo di controllo a distanza dei lavoratori delle casse del suo supermercato senza accordo con le rappresentanze sindacali e senza autorizzazione dell’Ispettorato del lavoro.

Il datore di lavoro nel ricorso in Cassazione, adduce violazione dell’articolo 4, comma 2, L. 300/1970, negando che l’installazione dell’impianto audiovisivo sia di per sé integrativa della condotta criminosa. 

La norma, invero, stabilisce: “Gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede l’Ispettorato del lavoro, dettando, ove occorra, le modalità per l’uso di tali impianti”.

La norma – afferma la Suprema Corte – tuttora vigente pur non trovando più sanzione nell’articolo 38, comma 1, sempre dello Statuto dei lavoratori dopo la soppressione del riferimento all’articolo 4 nel suddetto articolo 38, comma 1, operata dall’articolo 179 d.lgs. 196/2003 (che colma la lacuna con il combinato disposto dei suoi articoli 114 e 171), prevede una condotta criminosa rappresentata dalla installazione di impianti audiovisivi idonei a ledere la riservatezza dei lavoratori, qualora non vi sia stato consenso sindacale (o autorizzazione scritta di tutti i lavoratori interessati) o permesso dall’Ispettorato del lavoro.  

Secondo il ricorrente, tuttavia, non è sufficiente l’installazione dell’impianto, occorrendo anche una “successiva verifica della sua idoneità”: e poiché l’impianto “è stato eseguito in conformità al progetto allegato alla richiesta di autorizzazione in seguito approvato, è palese che il reato non sussiste perché le modalità delle riprese visive, peraltro effettuate soltanto dopo ottenuta l’autorizzazione della D.P.L., non sono tali da ledere la privacy dei lavoratori”.

Di tutt’altro avviso i giudici di legittimità che affermano come “l’idoneità degli impianti a ledere il bene giuridico protetto, cioè il diritto alla riservatezza dei lavoratori, necessaria affinché il reato sussista emerge ictu oculi dalla lettura del testo normativo – idoneità che peraltro è sufficiente anche se l’impianto non è messo in funzione, poiché, configurandosi come un reato di pericolo, la norma sanziona a priori l’installazione, prescindendo dal suo utilizzo o meno”.