Il Garante per la protezione dei dati personali, con provvedimento del 6 luglio 2023 (Registro dei provvedimenti n. 290 del 6 luglio 2023) ha sancito un importante principio destinato ad incidere – sia pure indirettamente – sull’esercizio del potere disciplinare del datore di lavoro.
Nel provvedimento il Garante ha innanzitutto sancito che “il datore di lavoro ha la possibilità di incaricare un soggetto esterno che sia preposto all’attività investigativa finalizzata alla tutela e alla difesa dei propri interessi, con l’unico limite dell’impossibilità di sconfinare in una generalizzata vigilanza sull’attività lavorativa vera e propria”. È legittimo, quindi, anche secondo il Garante, che il datore di lavoro sottoponga il lavoratore sospettato di compiere atti illeciti o comunque inadempimenti contrattuali a investigazioni professionali (principio pacifico anche nella giurisprudenza del lavoro).
Nel medesimo provvedimento ha tuttavia stabilito che le richieste di accesso ai propri dati – e quindi alla relazione dell’agenzia investigativa – formulate dal lavoratore sono qualificabili come esercizio del diritto di accesso garantito dall’art. 15 del Regolamento generale sulla protezione dei dati regolamento (UE) 2016/679 adottato dall Parlamento europeo e dal Consiglio il 27 aprile 2016.
L’art. 15, intitolato Diritto di accesso dell’interessato, dispone quanto segue:
1. L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali e alle seguenti informazioni: a) le finalità del trattamento; b) le categorie di dati personali in questione; c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali; d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo; e) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento; f) il diritto di proporre reclamo a un’autorità di controllo; g) qualora i dati non siano raccolti presso l’interessato, tutte le informazioni disponibili sulla loro origine; Regolamento Generale sulla Protezione dei dati personali; h) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
2. Qualora i dati personali siano trasferiti a un paese terzo o a un’organizzazione internazionale, l’interessato ha il diritto di essere informato dell’esistenza di garanzie adeguate ai sensi dell’articolo 46 relative al trasferimento.
3. Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall’interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l’interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell’interessato, le informazioni sono fornite in un formato elettronico di uso comune.
4. Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui.
Alla luce di tale norma, il Garante ha stabilito innanzitutto che “Non è conforme a quanto stabilito dal richiamato art. 15 subordinare il riscontro all’istanza di accesso alla indicazione dettagliata da parte dell’interessato dei ‘documenti’ cui si chiede di accedere” e che “[il datore di lavoro] può avere dubbi sul contenuto della richiesta solo se questa sia stata formulata in termini estremamente generici”.
Pertanto, la Società, riscontrando le istanze del lavoratore reclamante, avrebbe dovuto fornirgli tutti i dati raccolti con la relazione investigativa “considerato che la stessa contiene anche categorie di dati relative al reclamante (fotografie, una rilevazione Gps, descrizioni di luoghi, persone e situazioni: v. relazione investigativa cit., p. da 7 a 10) che non sono state trasferite nella contestazione disciplinare”. Sottolinea inoltre che l’art. 15 prevede che qualora i dati non siano raccolti direttamente presso l’interessato (come nel caso di specie) il titolare del trattamento debba indicare la loro origine, ergo il lavoratore ha diritto di conoscere anche di quale agenzia investigativa si tratti.
Precisa infine che la violazione accertata non può essere considerata “minore”, tenuto conto della natura della violazione che ha riguardato l’esercizio dei diritti dell’interessato, della gravità e della durata della violazione stessa (considerato che il reclamante ha avuto conoscenza dell’esistenza della relazione investigativa solo nel corso del procedimento giurisdizionale di impugnazione del licenziamento), del grado di responsabilità e della maniera in cui l’autorità di controllo ha preso conoscenza della violazione (v. Considerando 148 del Regolamento) nonché delle dimensioni dell’azienda datrice di lavoro.
Alla luce degli elementi sopra indicati e delle valutazioni effettuate, il Garante ha ritenuto, nel caso di specie, di applicare la sanzione amministrativa del pagamento di una somma pari ad euro 10.000 (diecimila) con pubblicazione del provvedimento sul sito Internet del Garante (ha previsto però la possibilità, ai sensi dell’art. 166, comma 8, del Codice, del pagamento ridotto del 50% se effettuato entro il termine previsto dall’art. 10, comma 3, del d. lgs. n. 150 dell’1.9.2011 per la proposizione del ricorso giudiziale avverso i provvedimenti del Garante (trenta giorni dalla data di comunicazione del provvedimento).
Da questo momento, dunque, in caso di procedimento disciplinare fondato sulla relazione di una agenzia investigativa al lavoratore dovrà essere fornita copia della relazione finale nonché di tutti i rilievi fotografici, fonografici o video alla medesima allegati, eventualmente decurtati di riferimenti a terzi estranei.
Alleghiamo il testo integrale del provvedimento del Garante.
