Autostrade per l’Italia sanzionata per 420.000 euro: dati privati di una dipendente usati in sede disciplinare

𝐒𝐚𝐧𝐳𝐢𝐨𝐧𝐞 𝐝𝐚 𝐀𝐮𝐭𝐨𝐬𝐭𝐫𝐚𝐝𝐞 𝐩𝐞𝐫 𝐥’𝐈𝐭𝐚𝐥𝐢𝐚 𝐒.𝐩.𝐀. 𝐩𝐞𝐫 𝐮𝐬𝐨 𝐢𝐥𝐥𝐞𝐜𝐢𝐭𝐨 𝐝𝐢 𝐝𝐚𝐭𝐢 𝐩𝐞𝐫𝐬𝐨𝐧𝐚𝐥𝐢 𝐝𝐢 𝐮𝐧𝐚 𝐝𝐢𝐩𝐞𝐧𝐝𝐞𝐧𝐭𝐞.

Il Garante ha accertato l’illiceità del trattamento dei dati personali effettuato da 𝐀𝐮𝐭𝐨𝐬𝐭𝐫𝐚𝐝𝐞 𝐩𝐞𝐫 𝐥’𝐈𝐭𝐚𝐥𝐢𝐚 𝐒.𝐩.𝐀. , che 𝐡𝐚 𝐮𝐭𝐢𝐥𝐢𝐳𝐳𝐚𝐭𝐨 𝐜𝐨𝐧𝐯𝐞𝐫𝐬𝐚𝐳𝐢𝐨𝐧𝐢 𝐩𝐫𝐢𝐯𝐚𝐭𝐞 𝐞 𝐜𝐨𝐧𝐭𝐞𝐧𝐮𝐭𝐢 𝐩𝐮𝐛𝐛𝐥𝐢𝐜𝐚𝐭𝐢 𝐬𝐮 𝐚𝐜𝐜𝐨𝐮𝐧𝐭 𝐩𝐞𝐫𝐬𝐨𝐧𝐚𝐥𝐢 𝐝𝐢 𝐮𝐧𝐚 𝐝𝐢𝐩𝐞𝐧𝐝𝐞𝐧𝐭𝐞 𝐚𝐥 𝐟𝐢𝐧𝐞 𝐝𝐢 𝐦𝐮𝐨𝐯𝐞𝐫𝐥𝐞 𝐝𝐮𝐞 𝐜𝐨𝐧𝐭𝐞𝐬𝐭𝐚𝐳𝐢𝐨𝐧𝐢 𝐝𝐢𝐬𝐜𝐢𝐩𝐥𝐢𝐧𝐚𝐫𝐢.
I dati erano stati trasmessi alla Società da colleghi o terzi tramite WhatsApp e, nella ricostruzione operata ad esito dell’istruttoria, la loro relativa utilizzazione ha costituito trattamento illecito ai sensi degli artt. 5, §. 1, lett. a), b) e c), 6 e 88 del Regolamento, nonché ai sensi dell’art. 113 del Codice della Privacy.

Per chiarezza, il caso riguarda proprio le Autostrade per l’Italia nell’ambito della gestione dati di un dipendente. Particolare attenzione merita la replica del Garante a quanto sostenuto dalla Società nelle memorie difensive presentate.

Per l’Autorità, infatti, la mancanza “di un ‘ruolo attivo’ della Società nella ricerca delle informazioni non ha alcun rilievo” rispetto alla liceità del trattamento, potendo costituire solo una delle possibili manifestazioni. Anche i dati ricevuti da terzi, se usati per finalità disciplinari, richiedono una base giuridica adeguata e il rispetto del principio di minimizzazione.
È stato inoltre rilevato che i contenuti Facebook erano accessibili solo a una cerchia ristretta di amici, mentre le conversazioni su WhatsApp e Messenger rientrano nella nozione di “corrispondenza privata”, tutelata dagli artt. 15 Cost. e 8 §2 CEDU, nonché dall’art. 616 del Codice penale. Il trattamento di tali comunicazioni è avvenuto “in assenza di un’idonea base giuridica”, così ledendo il diritto alla riservatezza.

Infine, le informazioni trattate non risultavano pertinenti né rilevanti rispetto alla mansione svolta (“esattore”), come richiesto dall’art. 113 del Codice e dagli artt. 8 l. 300/1970 e 10 D.lgs. 276/2003. Il Garante ha sottolineato che “i dati personali pubblicati sui social network o, più in generale, disponibili in rete, non possono essere utilizzati indiscriminatamente e a ogni fine”.

Tra le misure adottate, a fonte della gravità delle violazioni, il Garante ha irrogato una sanzione di 420.000 euro ai sensi dell’art. 83, §. 5 del Regolamento e ha disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito.