Cosa stai cercando?
CONSULENZE

Author Archives: Legadvance

Data breach e responsabilità: il Garante sanziona l’Ordine degli Psicologi della Lombardia

Author Di LegadvancePosted on

Con il provvedimento n. 244 del 2025, l’Autorità Garante per la protezione dei dati personali ha sanzionato l’Ordine degli Psicologi della Regione Lombardia per violazione dell’art. 32 del GDPR, infliggendo una sanzione di € 30.000 a seguito di un grave data breach. L’attacco, riconducibile al gruppo NoEscape, ha comportato l’esfiltrazione e successiva pubblicazione di 7 GB di dati, tra cui informazioni sanitarie, giudiziarie, orientamento sessuale e politico, nonché riferimenti a procedimenti disciplinari.

L’Ordine si è difeso richiamando la propria natura di ente pubblico non economico e la conseguente scarsità di risorse disponibili. L’Autorità, tuttavia, ha respinto tale argomento, ribadendo che la limitata disponibilità economica non giustifica l’adozione di misure inadeguate, specie in presenza di trattamenti ad alto rischio.

Il provvedimento evidenzia come il rispetto delle misure minime AgID non sia di per sé sufficiente: in mancanza di strumenti di rilevamento automatico delle anomalie e di sistemi di autenticazione a più fattori, l’Ordine è risultato carente nella protezione dei dati personali trattati. In questo senso, il Garante ha richiamato il principio di accountability (art. 5 GDPR), secondo cui il titolare deve valutare in modo concreto i rischi e adottare misure tecniche e organizzative adeguate, anche alla luce delle best practices europee promosse da ENISA.

L’accertamento ha evidenziato l’importanza di una costante rivalutazione delle misure di sicurezza, considerando che molte delle misure ritenute adeguate (come l’autenticazione forte e i backup immutabili) sono state adottate dall’Ordine solo dopo l’avvenuta violazione.

La metodologia di valutazione dei rischi elaborata da LEGADVANCE, ispirata al framework ENISA, consente di strutturare un approccio proporzionato e difendibile in caso di verifica ispettiva, fondato sulla concreta esposizione al rischio e non sulla mera adozione formale di misure standard.

Trattamento di dati personali dei dipendenti da parte della Regione Lombardia: sanzioni e indicazioni operative del Garante

Author Di LegadvancePosted on

Con il provvedimento n. 243 del 29 aprile 2025, l’Autorità Garante per la protezione dei dati personali ha sanzionato la Regione Lombardia per trattamenti illeciti di dati personali dei dipendenti, in particolare per l’eccessiva conservazione dei metadati di posta elettronica, dei log di navigazione internet e dei dati raccolti tramite sistemi di ticketing informatico.

Il provvedimento richiama espressamente il “Documento di indirizzo. Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” del 6 giugno 2024 (doc. web n. 10026277), ribadendo alcuni punti chiave:

  • la conservazione dei metadati oltre 21 giorni richiede l’accordo sindacale o l’autorizzazione dell’Ispettorato del Lavoro ex art. 4, co. 1, L. 300/1970;
  • analogo regime vale per la raccolta sistematica dei log di navigazione Internet, inclusi i tentativi falliti di accesso ai siti in black list;
  • tali trattamenti devono essere oggetto di valutazione di impatto ai sensi dell’art. 35 del GDPR;
  • i dati dei sistemi di ticketing IT non devono essere conservati oltre 12-24 mesi dalla “chiusura” del ticket.

Nel caso specifico, la Regione conservava:

  • i metadati della posta elettronica per 90 giorni (limite minimo tecnico di Microsoft 365);
  • i log di navigazione dei dipendenti, compresi i tentativi falliti di accesso ai siti presenti in una black list;
  • tutti i dati dei sistemi di ticketing per l’intera durata del rapporto contrattuale con il fornitore.

In assenza di base giuridica adeguata, tali pratiche sono state ritenute lesive dei diritti dei lavoratori e, pertanto, sanzionate con un’ammenda di 50.000 euro, con l’obbligo di implementare misure correttive entro 90 giorni, tra cui:

  • ridurre la conservazione dei log a non oltre 90 giorni;
  • anonimizzare i log di accesso ai siti vietati;
  • cifrare i nominativi associati ai dispositivi aziendali.

Il trattamento di dati riconducibili ai lavoratori, effettuato dal datore di lavoro è da alcuni anni uno dei temi di maggiore attenzione per l’Autorità Garante. Pertanto, si raccomanda a tutti i datori di lavoro di verificare i tempi di conservazione dei dati nei propri sistemi informatici e, se necessario, procedere all’adeguamento secondo le indicazioni del Garante, anche mediante accordi sindacali, autorizzazioni ispettive e valutazioni d’impatto.

Riforma del Decreto 231 – Un passo in avanti nella responsabilità aziendale

Author Di LegadvancePosted on

Tra le riforme più attese nel panorama giuridico italiano, l’aggiornamento del Decreto Legislativo 231/2001 rappresenta un punto di svolta per la responsabilità amministrativa degli enti. Questo intervento normativo mira a rafforzare il sistema di prevenzione dei reati d’impresa attraverso l’introduzione di alcune novità che riguardano la compliance aziendale, la gestione del rischio e i meccanismi di controllo interno.

La ratio della riforma risiede nella volontà del Legislatore di migliorare l’efficacia del sistema 231 rendendo più equo il trattamento delle imprese, riservando un’attenzione particolare agli enti di piccole dimensioni, che spesso faticano ad adeguarsi alle stringenti richieste normative.

Tra le innovazioni principali spiccano alcuni aspetti chiave che ridefiniscono la responsabilità degli enti e introducono principi di maggiore proporzionalità nella valutazione delle condotte aziendali.

Uno degli elementi centrali del progetto di riforma è la definizione della “colpa di organizzazione”, che attribuisce agli enti una responsabilità più strutturata nella commissione dei reati. Questo concetto supera la precedente impostazione, creando un legame diretto tra l’efficienza dei sistemi di controllo e la possibilità che un ente venga ritenuto responsabile per eventuali illeciti commessi al suo interno. La logica è chiara: un’azienda con un sistema di compliance debole o inefficace sarà più esposta al rischio di sanzioni rispetto a quelle che adottano strategie di prevenzione adeguate.

Un altro punto di considerevole interesse è il superamento della distinzione tra apicali e dipendenti. L’attuale impianto normativo prevede una differenziazione tra ruoli nella determinazione della responsabilità amministrativa: Con la riforma, questa distinzione viene abolita, portando a una responsabilità uniforme e svincolata dal ruolo gerarchico. In altre parole, la responsabilità dell’ente dipenderà dalla struttura e dall’efficacia dei suoi meccanismi di controllo interno, indipendentemente da chi abbia materialmente commesso l’illecito.

Altro aspetto di rilievo riguarda la riduzione delle sanzioni per gli enti di piccole dimensioni. L’intento è quello di evitare che le imprese meno strutturate subiscano penalizzazioni sproporzionate rispetto alle loro capacità economiche e organizzative. Questa novità si inserisce in una più ampia strategia di ridefinizione delle responsabilità, rendendo la normativa più adattabile alle diverse realtà aziendali che compongono il tessuto industriale italiano.

Tra gli aspetti più innovativi che la riforma introduce si prevede, inoltre, una procedura di estinzione dell’illecito amministrativo per gli enti che dimostrano di aver adottato misure correttive adeguate prima dell’accertamento del reato. Tale strumento premia le aziende più virtuose, incentivandole a investire nella prevenzione e nella governance interna per mitigare i rischi legati alla commissione di illeciti.

Sarà interessante osservare la reazione delle imprese italiane di fronte ai cambiamenti preannunciati e quale impatto avranno sulla gestione del rischio e sulla prevenzione dei reati aziendali.

Con l’auspicio di un rapido aggiornamento, Legadvance resta a disposizione per maggiori dettagli o richieste di approfondimento all’indirizzo info@legadvance.it.

L’abolitio criminis dell’Abuso di Ufficio e la riscrittura del Traffico di influenze Illecite

Author Di LegadvancePosted on

Il contesto

Con l’approvazione del DDL Nordio, dal nome del Ministro della Giustizia, il Parlamento ha definitivamente messo una pietra tombale sul reato previsto e punito, almeno fino a ieri, all’art. 323 del cod. pen.

L’abolizione di tale reato, che negli anni ha subito plurime modifiche ad opera del legislatore, è stata tanto caldeggiata da tutti quei “professionisti pubblici”, sindaci e amministratori, i quali sostengono che la presenza del reato testé citato spinga spesso a evitare di assumersi responsabilità decisionali anche su provvedimenti banali, per paura di incorrere in procedimenti penali: il timore di commettere abuso d’ufficio provocherebbe in loro la paura di assumersi responsabilità, spesso definita “paura della firma”.

A seguito dell’abolizione dell’abuso di ufficio, questa paura non è più un problema e tutti coloro che hanno subito una condanna passata in giudicato, secondo il principio dell’abolitio criminis, vedranno la revoca della loro condanna.

Preme segnalare, tuttavia, che nel D. L. sulle carceri, il governo ha introdotto un nuovo articolo al cod. pen. – “indebita destinazione di denaro o cose mobili” –, art. 314 bis, in cui pare che possano farsi rientrare parte delle condotte precedentemente sussumibili proprio all’abuso d’ufficio: “Fuori dei casi previsti dall’articolo 314, il pubblico ufficiale o l’incaricato di un pubblico servizio, che, avendo per ragione del suo ufficio o servizio il possesso o comunque la disponibilità di denaro o di altra cosa mobile altrui, li destina ad un uso diverso da quello previsto da specifiche disposizioni di legge o da atti aventi forza di legge dai quali non residuano margini di discrezionalità e intenzionalmente procura a sé o ad altri un ingiusto vantaggio patrimoniale o ad altri un danno ingiusto, è punito con la reclusione da sei mesi a tre anni. La pena è della reclusione da sei mesi a quattro anni quando il fatto offende gli interessi finanziari dell’Unione europea e l’ingiusto vantaggio patrimoniale o il danno ingiusto sono superiori ad euro 100.000”.

Legadvance sta studiando il nuovo reato e le possibili applicazioni della fattispecie ai fini della responsabilità amministrativa degli enti.

Ricordiamo che l’abuso d’ufficio era previsto all’art. 25 del D. Lgs. 231/2001 e che pertanto andrà espunto dall’elenco, così come si dovrà procedere all’inserimento del 314 bis dopo la Legge 112/2024 di conversione del D. L. 92/2024.

Infine, preme segnalare la “riscrittura” dell’art. 346-bis c.p. (traffico di influenze illecite) in cui il legislatore rende rilevante solamente l’utilizzo di relazioni esistenti con un pubblico ufficiale o un incaricato di un pubblico servizio o uno dei soggetti di cui all’art. 322-bis c.p., eliminandosi il richiamo alla condotta di «vantare relazioni asserite» con i suddetti soggetti.

La condotta dell’agente deve essere realizzata “intenzionalmente”, essendo quindi necessario l’elemento soggettivo del dolo intenzionale. Viene introdotta, tra le finalità della condotta, la realizzazione di “altra mediazione illecita”, normativamente definita come la mediazione volta ad indurre il pubblico ufficiale/incaricato di pubblico servizio/altri soggetti indicati dalla norma a compiere atti contrari ai propri doveri d’ufficio che:

a) costituiscano reato e da cui possa derivare un indebito vantaggio.

Viene introdotta la natura “economica” del vantaggio dato o promesso al mediatore, da intendersi, oltre che con il denaro, anche con una “utilità economica”.

Cosa fare adesso

La novella modifica l’elenco dei reati presupposto inseriti nella parte speciale del modello di organizzazione, gestione e controllo; tuttavia, tale modifica, non incidendo direttamente sul risk assessment, non impatta direttamente ed in via immediata sul Modello 231.

Ad oggi, è sufficiente prendere atto delle modifiche introdotte, rimandando al prossimo aggiornamento/revisione il “ritocco” della parte speciale del Modello.

Dati personali nei contratti pubblici – monito del Presidente dell’ANAC

Author Di LegadvancePosted on

Il Presidente dell’Autorità nazionale anticorruzione (ANAC), l’avv. Giuseppe Busia, è intervenuto con un comunicato del 3 luglio 2024, al fine garantire la tutela dei dati personali in occasione delle informazioni trasmesse alla Banca dati nazionale dei contratti pubblici (BDNCP).

 

L’Autorità – avendo riscontrato frequenti violazioni in materia – desidera porre l’attenzione di tutte le Amministrazioni e dei soggetti coinvolti sull’importanza “di evitare l’inserimento di dati personali tra le informazioni relative alle procedure di affidamento pubblicate mediante le Piattaforme di Approvvigionamento Digitali (PAD), oltre che sui siti istituzionali”.

In sintesi, l’Autorità ha posto l’attenzione sulla necessità di essere attenti nella selezione dei dati personali che devono essere effettivamente impiegati, alla luce anche del coinvolgimento di dati particolari (ex sensibili) nelle procedure aventi ad oggetto affidamenti relativi a servizi sociosanitari. Sul punto l’ANAC ha inteso palesare un completo allineamento alle posizioni espresse in materia dall’Autorità Garante per la protezione dei dati personali, richiamando il “Parere del Garante su uno schema di decreto legislativo concernente il riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle Pa” pubblicato il 7 febbraio 2013 (indicizzato sul sito www.garanteprivacy.it come doc-web n. 2243168)

Inoltre, il Presidente sottolinea la necessità di distinguere tra i dati personali, sì necessari ma che dovranno essere messi a disposizione dei soli uffici incaricati, da quelle informazioni che potranno essere pubblicate online in forma anonima, avendo cura di non scendere nel dettaglio di particolari e personali situazioni di disagio. È interessante notare che il Presidente Busia, nell’ambito di un comunicato a portata generale, abbia voluto puntualizzare l’assoluta inidoneità della sostituzione del nome e cognome degli interessati con le sole iniziali. Come noto agli studiosi e consulenti della materia, la pseudonimizzazione richiede soluzioni differenti e da valutarsi caso per caso (vale la pena ricordare il provvedimento WP216 del Gruppo di Lavoro art. 29 per la protezione dei dati o il documento “Tecniche di pseudonimizzazione e buone pratiche” dell’Agenzia dell’Unione Europea per la cybersecurity”).

 

Fin da subito, tutti i soggetti coinvolti dovranno verificare i contenuti dei documenti già pubblicati in relazione alle procedure di affidamento, assicurandosi di non aver pubblicato dati personali; in caso contrario dovranno essere coinvolti i propri DPO per intervenire prontamente, anche comunicando all’ANAC la necessità di rimuovere tempestivamente i dati personali. A tal fine è stato pubblicato dall’Autorità un modello ad hoc che dovrà essere impiegato per la richiesta di rimozione dei dati, specificando il CIG identificativo della procedura di riferimento.

Gestione della posta elettronica sul lavoro e trattamento di metadati

Author Di LegadvancePosted on

Il Garante per la protezione dei dati personali – con provvedimento n. 364 del 6 giugno 2024, doc web 10026277 – è tornato sulla gestione della posta elettronica in ambito lavorativo e sulla gestione dei relativi log, c.d. metadati.

Rammentiamo che tali aspetti erano oggetto di un provvedimento del 21 dicembre 2023, la cui applicazione fu repentinamente sospesa e differita da parte della medesima Autorità, anche a seguito di numerose perplessità applicative manifestate a vari livelli.

L’attuale provvedimento considera i contributi richiesti dall’Autorità nel processo di revisione del provvedimento.

L’Autorità non impone nuovi adempimenti in capo ai datori di lavoro ma si propone di offrire ad enti ed aziende una sintesi della disciplina applicabile, che considera anche i numerosi provvedimenti di soft law stratificatisi nel tempo.

Il provvedimento ribadisce i principi fondamentali prescritti dalle norme europee, nazionali e regolamentari, in materia di protezione dei dati personali e di tutela dei lavoratori, per le parti più attigue alla data protection.

A guidare il datore di lavoro dovranno essere sempre i seguenti principi: i) liceità del trattamento; ii) correttezza e trasparenza; iii) conservazione limitata nel tempo; iv) accountability; v) by design e by default.

Oltre a ripercorrere in modo sistematico gli aspetti salienti delle norme che devono essere rispettate per non incorrere in sanzioni amministrative ed eventuali responsabilità penali, il Garante offre alcune delucidazioni.

L’Autorità definisce cosa debba intendersi per metadati, identificandoli come “informazioni registrate nei log generati dai sistemi server di gestione e smistamento della posta elettronica (MTA = Mail Transport Agent) e dalle postazioni nell’interazione che avviene tra i diversi server interagenti e, se del caso, tra questi e i client”.

Inoltre, il Garante quantifica il periodo di conservazione dei suddetti metadati in massimo 21 giorni, salvo eccezioni.

Le delucidazioni offerte ci permettono di comprendere che i suddetti limiti di conservazione non riguardano il testo dei messaggi di posta elettronica e neppure le informazioni tecniche che ne fanno parte integrante ed inscindibile.

Dal testo sembra trasparire l’intenzione del Garante di disinnescare le preoccupazioni registrate con la diffusione del precedente provvedimento, poi sospeso.

Rimangono alcuni dubbi, in particolare per quanto concerne le modalità nel concreto perseguibili per conformare i sistemi server di gestione della posta elettronica, con particolare riferimento alle soluzioni “off the shelf” in uso non soltanto alle micro imprese. Analogamente, occorre domandarsi come coordinare le prescrizioni sulla disciplina dei tempi di conservazione di parametri tecnici con il disposto dell’art. 32, GDPR, che condiziona la scelta delle misure di sicurezza – e delle relative impostazioni a criteri scelti considerando “… i costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche…”.

Le soluzioni operativamente percorribili sono proposte, tra le righe, dalla stessa Autorità, in parte in questo provvedimento, in parte nei provvedimenti stratificatisi negli anni.

Un altro caso di Amministrazione Giudiziaria nell’Alta Moda, dopo i casi Armani e Alviero Martini

Author Di LegadvancePosted on

Con Decreto del 5 giugno 2024 il Tribunale di Milano – sezione misure di prevenzione – ha disposto l’amministrazione giudiziaria per un anno di un noto marchio di moda di lusso, perché nell’esecuzione della propria attività produttiva si è avvalsa, mediate contratti di sub-appalto, “[…] di soggetti che sono dediti ad un pesante sfruttamento di manodopera […] essendo emersa, nel corso delle indagini, una prassi illecita così radicata e collaudata, da poter essere considerata inserita in una più ampia politica d’impresa esclusivamente diretta all’aumento del profitto, non apparendo le condotte investigate frutto di iniziative estemporanee ed isolate di singoli, ma di un’illecita politica di impresa”. In altri termini, l’azienda, senza preoccuparsi di sottoporre a audit la filiera produttiva, in un più generale piano di verifica delle condizioni di liceità dell’attività d’impresa, si è resa colpevole, nei limiti di una condotta censurabile su un piano di rimproverabilità colposa, di aver agevolato le illecite condizioni di sfruttamento dei lavoratori; il reato è previsto e punito dall’art. 603 bis c.p. e inserito, come noto a tutti gli addetti al settore della compliance aziendale, nel catalogo dei reati di cui al D. Lgs. 231 del 2001.

Senza soffermarci sui profili di diritto della misura di prevenzione ex D. Lgs. 159/2011 applicata alla società di moda, dal nostro punto di vista è importante rilevare che il controllo giudiziario dell’attività sarebbe stato disposto perché la società è stata «ritenuta incapace di prevenire e arginare fenomeni di sfruttamento lavorativo nell’ambito del ciclo produttivo»; la società abbia «omesso di assumere tempestive ed adeguate iniziative di reale verifica della filiera dei sub-appalti sino alla rescissione dei legami commerciali con le aziende dedite alle forme meglio note come “caporalato”»; la società abbia «colposamente alimentato tale meccanismo, non verificando la reale capacità imprenditoriale delle società appaltatrici alle quali affidare la produzione, non effettuando nel corso degli anni efficaci ispezioni o audit per appurare in concreto le effettive condizioni lavorative e gli ambienti di lavoro». Ma vi è di più, i giudici si sono spinti, pur garantendo la continuità aziendale sotto il profilo della cura del core business in capo agli organi di amministrazione societaria, a stabilire l’azzeramento dei componenti della governace e degli organi di controllo al fine di adeguare i presidi di controllo interno alla struttura societaria.

Il caso appena esposto deve far riflettere chiunque, perché i vertici delle imprese che si avvalgono di appaltatori nella propria filiera produttiva sono oggi chiamati a rafforzare sensibilmente il sistema dei controlli.

Cosa possono fare le società?

  • adottare il Modello 231 e, per chi ne è già dotato, verificare che preveda il rischio di sfruttamento del lavoro da parte degli appaltatori della filiera produttiva. Tale rischio dovrà essere prevenuto mediante la previsione di specifici audit, anche in loco.

Per tutti coloro che sono Presidenti o componenti di Organismi di Vigilanza, o sono in attesa di nomina:

  • prevedere l’inserimento di verifiche ad hoc all’interno del “Piano delle Attività dell’Organismo”, oltre che rivedere i Modelli nelle sue parti.

Perché tutto questo?

Assicurare all’Organo Gestorio la presenza in azienda di un ulteriore controllo di terzo livello composto da professionisti che creino o rafforzino un “sistema integrato di Controlli” societari che riduca il rischio e prevenga ogni forma distorta di esercizio dell’attività di impresa.

Apprendistato e dimissioni anticipate

Author Di LegadvancePosted on

È legittima una clausola nel contratto di apprendistato che preveda, in caso di dimissioni anticipate, a carico del lavoratore la restituzione di quanto percepito dal datore di lavoro per le giornate di formazione.

L’apprendistato professionalizzante è un contratto di lavoro a tempo indeterminato finalizzato alla formazione e all’occupazione di lavoratori di regola under 29 anni, salvo alcune, pur rilevanti, eccezioni.

Elemento caratterizzante di questa tipologia contrattuale è l’esistenza di un piano formativo individuale. Terminato il periodo di formazione-lavoro, l’apprendista dovrebbe proseguire il suo rapporto di lavoro con un contratto a tempo indeterminato presso lo stesso datore di lavoro.

Talvolta però è possibile che nel corso dell’apprendistato – dalla durata variabile tra i 6 mesi e i 3 anni circa – una delle parti voglia recedere anticipatamente.

Nel caso in cui sia l’apprendista a voler rassegnare le proprie dimissioni, lo potrà fare nel rispetto dei termini di preavviso, salvo non si tratti di dimissioni per giusta causa.

Il datore di lavoro può legittimamente prevedere opportune clausole volte a disciplinare la durata minima del rapporto di lavoro e prevedere il rimborso di quanto investito nella formazione del lavoratore.

Recentemente il Tribunale di Roma con sentenza 1646 del 9 febbraio 2024, è intervenuto confermando la validità di una clausola del tipo menzionato. Con questa clausola, il datore di lavoro e l’apprendista avevano pattuito che in caso di dimissioni anticipate, l’apprendista sarebbe stato obbligato alla restituzione di una somma pari a quanto percepito in occasione di ogni giornata di formazione erogata. È opportuno sottolineare che rientrano nella definizione anche le giornate di “training on the job”, attività lavorativa formativa.

Tale clausola non è stata ritenuta vessatoria dal tribunale, che ha invece riconosciuto la validità del patto di stabilità, in quanto giustificato dal dispendio economico che il datore di lavoro ha impiegato nell’attività formativa dell’apprendista; le dimissioni anticipate vanificano, dal punto di vista del datore di lavoro, l’investimento in formazione del dipendente, con buona probabilità che i frutti di tale investimento verranno fatti valere dal lavoratore nelle successive opportunità di lavoro altrove.

Riteniamo che la sentenza sia un utile spunto di riflessione e revisione dei format contrattuali in primo luogo per le numerose aziende che, per scelta o per necessità da mancanza sul mercato di lavoratori adeguatamente formati, avviano rapporti di lavoro in apprendistato, investendo considerevoli quantità di ore dei propri dipendenti più esperti nella formazione dei nuovi collaboratori. La tutela, quantomeno parziale, di tali investimenti è stata ritenuta lecita.

 

Controlli a distanza: il telepass

Author Di LegadvancePosted on

La Cassazione con ordinanza n. 15391 del 3 giugno 2024 è tornata a pronunciarsi sul tema dei controlli a distanza dei lavoratori, disciplinati dall’art. 4 della legge n. 300/1970 (lo “Statuto dei lavoratori”), norma giuslavoristica a confine con le norme che regolano il trattamento dei dati personali.

Ancora una volta il datore di lavoro soccombe a causa del mancato rispetto della normativa privacy espressamente richiamata dall’articolo citato.

I fatti di causa hanno visto coinvolto un dipendente trasfertista le cui mancanze sarebbero emerse esclusivamente grazie al controllo effettuato dal datore di lavoro degli spostamenti avvenuti con l’auto munita di telepass aziendale.

La Cassazione ha confermato quanto affermato nei due gradi di giudizio precedenti, poiché le ragioni alla base del licenziamento sono state dimostrate mediante uno strumento – il telepass – idoneo a porre in essere un controllo a distanza all’insaputa del prestatore di lavoro. A nulla è valsa la difesa della società, fondata sulla consapevolezza del dipendente della presenza dello strumento nell’automobile e la facoltà di questo di rimuoverlo, usufruendo del tradizionale casello autostradale.

L’esito di questo giudizio, ancora una volta, porta all’attenzione generale l’importanza di non sottovalutare gli stretti legami tra l’articolo 4, come riformato nel 2015 e la normativa in materia di trattamento dei dati personali.

L’esito della causa avrebbe potuto essere probabilmente completamente diverso se il datore di lavoro avesse dato proba di aver fornito “al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto [dalla normativa che disciplina il trattamento dei dati personali, N.d.R.]” (art. 4, c. 3 della L. 300/1970). In concreto, l’azienda avrebbe dovuto mappare tutti gli strumenti che permettono un indiretto controllo a distanza dei lavoratori, ricondurre gli stessi alle differenti tipologie descritte dai commi 1 e 2 dell’articolo citato ed eseguire gli adempimenti – anche per quanto richiesto dalla normativa privacy e dall’autorità Garante – nei confronti dei lavoratori. Non per tutti gli strumenti occorre l’accordo con le rappresentanze dei lavoratori o l’autorizzazione dell’Ispettorato del Lavoro.

In conclusione, contrariamente a quanto può superficialmente apparire, dalla riforma del 2015 dispone di poteri e prerogative ben più ampi e potenzialmente efficaci rispetto al passato; per il loro impiego occorre tuttavia rispettare le disposizioni normative. In difetto, il datore di lavoro rischierà di incorrere nel reato di condotta antisindacale, in sanzioni amministrative pecuniarie fino al 4% del fatturato globale dell’esercizio precedente, nell’inutilizzabilità dei dati raccolti ai fini disciplinari e giudiziari.

Il lavoro in nero preoccupa anche il Garante privacy

Author Di LegadvancePosted on

Il datore di lavoro che si avvale di lavoratori irregolari per trattare dati personali viola (anche) la normativa privacy. Questo è quanto è possibile desumere da un recente provvedimento dell’Autorità Garante per la protezione dei dati personali.

Il caso prende avvio da un’ispezione effettuata dall’Ispettorato territoriale del lavoro (ITL) presso un patronato I.N.P.A.S. per accertare l’attività svolta e la posizione previdenziale ed assicurativa dei dipendenti.

Nel corso degli accertamenti è emersa l’inesistenza di un regolare rapporto di lavoro tra il patronato ed un lavoratore, ex dipendente, presente negli uffici. Ad avviso dell’ITL, il trattamento dei dati personali degli utenti svolto da quel lavoratore “in nero” era illecito, in quanto mancante del requisito fondamentale del rapporto lavorativo. In assenza di un regolare rapporto di lavoro, costui era da ritenersi soggetto terzo, esterno all’organizzazione aziendale del patronato I.N.P.A.S..

L’ex dipendente, di conseguenza, non poteva più essere considerato soggetto autorizzato al trattamento dei dati personali utili ad erogare le prestazioni offerte dal patronato, presso il quale di fatto era impiegato.

L’ITL ha segnalato la situazione di fatto rilevata all’Autorità Garante per la protezione dei dati personali. Il Garante ha confermato l’interpretazione dell’ITL ritenendo che la trasmissione dei dati dal patronato al lavoratore configurasse una “comunicazione” ad un soggetto terzo, in assenza di un corretto presupposto di liceità.

In conclusione, il lavoro in nero espone il datore di lavoro, non solo ad onerose sanzioni amministrative e responsabilità penali ma anche a sanzioni da parte dell’Autorità Garante. In quest’occasione, infatti, il Garante privacy con ordinanza ingiunzione del 24 aprile 2024 ha sanzionato il patronato, seppur tenendo in debita considerazione la cooperazione con l’Autorità nel corso dell’istruttoria e l’assenza di precedenti violazioni (doc. web. N. 10019389).

1 2