Lavoro: vietati i controlli indiscriminati su e-mail e smartphone aziendali

cellulareinmanoIl datore di lavoro non può accedere in maniera indiscriminata alla posta elettronica o ai dati personali contenuti negli smartphone in dotazione al personale.È un comportamento illecito.

Lo ha ribadito il Garante della privacy vietando a una multinazionale l’ulteriore utilizzo dei dati personali trattati in violazione di legge [doc. web n. 5958296]. La società potrà solo conservarli per la tutela dei diritti in sede giudiziaria.

Nel disporre il divieto l’Autorità ha affermato che il datore di lavoro

  • pur avendo la facoltà di verificare l’esatto adempimento della prestazione professionale ed il corretto utilizzo degli strumenti di lavoro da parte dei dipendenti,
  • deve in ogni caso salvaguardarne la libertà e la dignità, attenendosi ai limiti previsti dalla normativa.

La disciplina di settore in materia di controlli a distanza, inoltre, non consente di effettuare  attività idonee a realizzare, anche indirettamente, il controllo massivo, prolungato e indiscriminato dell’attività del lavoratore.

I lavoratori, poi, devono essere sempre informati in modo chiaro e dettagliato sulle modalità di utilizzo degli strumenti aziendali ed eventuali verifiche.

La vicenda nasce dal reclamo di un dipendente che si era rivolto al Garante lamentando un illegittimo  trattamento effettuato da una multinazionale, che avrebbe acquisito informazioni anche private contenute nella e-mail e nel telefono aziendale, sia durante il rapporto professionale sia dopo il suo licenziamento.

Dai riscontri effettuati dall’Autorità sono effettivamente emerse numerose irregolarità. La società, ad esempio, non aveva adeguatamente informato i lavoratori sulle modalità e finalità di utilizzo degli strumenti elettronici in dotazione, né su quelle relative al trattamento dei dati.

Aveva poi configurato il sistema di posta elettronica in modo da conservare copia di tutta la corrispondenza per ben dieci anni, un tempo non proporzionato allo scopo della raccolta.

Esisteva anche una procedura che consentiva alla società di accedere al contenuto dei messaggi che, in linea con la policy aziendale, potevano avere anche carattere privato.

E’ inoltre emerso che la società continuava a mantenere attive le caselle e-mail fino a sei mesi dopo la cessazione del contratto

  • senza però dare agli ex dipendenti la possibilità di consultarle o, comunque,
  • senza informare i mittenti che le lettere non sarebbero state visionate dai legittimi destinatari ma da altri soggetti.

Nel corso dell’istruttoria è stato accertato inoltre, che  il titolare poteva accedere da remoto – non solo per attività di manutenzione – alle informazioni contenute negli smartphone in dotazione ai dipendenti (anche privatissime e non attinenti allo svolgimento dell’attività lavorativa), di copiarle o cancellarle, di comunicarle a terzi violando i principi di liceità, necessità, pertinenza e non eccedenza del trattamento.

Il Garante ha disposto l’apertura di un autonomo procedimento per verificare l’applicazione di eventuali sanzioni amministrative.

Lavoro, “timbrare” con la app: ok, ma solo con adeguate garanzie

cartellino_timbro_fotogramma-krab-835x437ilsole24ore-webDue società appartenenti a un gruppo che si occupa di ricerca, selezione e somministrazione di lavoro a tempo determinato potranno chiedere ai propri dipendenti – impiegati presso altre ditte o che svolgono sistematicamente attività “fuori sede” – di installare una app sugli smartphone di loro proprietà,  ai fini della rilevazione di inizio e fine dell’attività lavorativa.

Chi non intende scaricare la app potrà continuare a entrare e uscire dal posto di lavoro impiegando i sistemi tradizionali in uso.

Lo ha stabilito il Garante privacy che ha accolto, in applicazione della disciplina sul cosiddetto “bilanciamento di interessi”, un’istanza di verifica preliminare presentata dalle due società e ha dettato una serie di misure a tutela dei lavoratori.

Con l’adozione della app, che prevede l’uso dei dati di geolocalizzazione, le società intendono snellire le procedure relative alla gestione amministrativa del personale, di volta in volta collocato presso altre ditte o semplificare e rendere più efficiente la rilevazione della presenza dei dipendenti che lavorano per lo più all’esterno della sede aziendale.

Il Garante ha tuttavia prescritto alle società di perfezionare il sistema nella prospettiva della “privacy by design”, applicando il principio di necessità e anche alla luce dei possibili errori nell’accuratezza dei sistemi di localizzazione.

In particolare, verificata la associazione tra le coordinate geografiche della sede di lavoro e la posizione del lavoratore, il sistema

  • potrà conservare ˗ se del caso ˗ il solo dato relativo alla sede di lavoro (oltre a data e orario della “timbratura” virtuale),
  • cancellando il dato relativo alla posizione del lavoratore.

Inoltre, sullo schermo del  telefonino dovrà essere sempre ben visibile un’icona che indichi che la funzione di localizzazione è attiva.

L’applicazione dovrà poi essere configurata in modo tale da impedire il trattamento, anche accidentale, di altri dati contenuti nel dispositivo di proprietà del lavoratore (ad esempio, dati relativi al traffico telefonico, agli sms, alla posta elettronica, alla navigazione in Internet o altre informazioni presenti sul dispositivo).

Prima dell’avvio del nuovo sistema di accertamento delle presenze, le società dovranno effettuare la notificazione al Garante, indicando i tipi di trattamenti e le operazioni che intendono compiere, e fornire ai dipendenti  un’informativa comprensiva di tutti gli elementi (tipologia dei dati, finalità e modalità del trattamento, tempi di conservazione, natura facoltativa del conferimento, soggetti che possono venire a conoscenza dei dati in qualità di responsabili o incaricati del trattamento).

Le società dovranno, infine, adottare tutte le misure di sicurezza previste dalla normativa per preservare l’integrità dei dati e l’accesso a persone non autorizzate.

Marketing selvaggio: 800mila euro di sanzioni a tre società

call-center-outboundI dati di decine di milioni di persone trattati illecitamente

Il Garante della privacy ha emesso tre ordinanze ingiunzione per obbligare due importanti società di servizi informatici (Edipro S.a.s. e Consodata S.p.A.), specializzate nel settore delle banche dati [doc web nn. 2428316 e 2438949], e un operatore Tlc (Fastweb S.p.A.) [doc web n. 2368171] al pagamento di sanzioni, pari a 800.000 euro, per aver violato provvedimenti prescrittivi già adottati nel loro confronti.

Questa ulteriore azione di contrasto del telemarketing selvaggio e delle offerte promozionali indesiderate si è resa necessaria a causa delle numerose proteste che continuavano a pervenire all’Autorità in relazione a società già sottoposte a puntuali prescrizioni sul corretto utilizzo dei dati per finalità di marketing nel 2008.

Le Società di Servizi informatici

Nel corso di un’apposita attività ispettiva svolta dal Garante è emerso che, nonostante le prescrizioni imposte a suo tempo dalla stessa Autorità, le due imprese specializzate nella creazione di banche dati, avevano realizzato e venduto archivi elettronici con i dati (numeri telefonici, e-mail, indirizzi…) di decine di  milioni di persone, sfruttando in particolare le informazioni contenute, ad esempio, negli elenchi telefonici distribuiti prima del 2005 e nelle liste elettorali. Tali dati erano stati raccolti e utilizzati illecitamente, ovvero:

  • senza aver informato gli interessati e
  • senza che questi avessero fornito  uno specifico consenso
    • ad attività di marketing o
    • alla cessione delle loro informazioni personali ad altre società.

Le due società dovranno pagare, rispettivamente, una sanzione di 100.000 euro e una sanzione di 400.000 euro.

Fastweb S.p.A.

Per quanto riguarda invece l’operatore telefonico, dagli accertamenti è emerso che nonostante fosse a conoscenza dell’origine irregolare dei dati, li aveva comunque acquistati e utilizzati per contattare gli utenti e promuovere i propri prodotti e servizi tramite call center. Per tale attività, contraria alle prescrizioni del Garante su banche dati e marketing telefonico, dovrà pagare 300.000 euro. La società ha impugnato l’ordinanza.

Ulteriori ordinanze ingiunzione, oltre a quelle già definite nell’ultimo anno, saranno presto adottate nei confronti di altre società, sottoposte a ispezioni, che hanno disatteso i provvedimenti del Garante, in particolare quelli relativi al telemarketing e all’utilizzo delle banche dati.