Se c’è un impianto di videosorveglianza in un luogo di lavoro, non coperto da accordo con le rappresentanze sindacali o autorizzazione dell’Ispettorato Territoriale del Lavoro, con il GDPR si va incontro a nuove e pesanti sanzioni.
In effetti, un provvedimento del Garante della Privacy, emanato nel marzo dell’anno scorso (in piena crisi da Covid-19 e, probabilmente, per questo non adeguatamente commentato), apre la strada a nuove e pesanti sanzioni per i datori di lavoro che non si siano ancora adeguati al disposto dell’art. 4 dello Statuto dei Lavoratori, anche nella materia, più generale, del controllo a distanza.
Infatti, nonostante la norma sia del 1970 e sia stata rivista con il jobs act del 2015 e, inoltre, integrata nel 2016, ancora molti datori di lavoro, per non contrattare con le rappresentanze interne o sindacali, ovvero per semplice pigrizia, non hanno stipulato un formale accordo sulla videosorveglianza ovvero, in caso di mancanza delle rappresentanze, non hanno richiesto l’autorizzazione, come si diceva, all’Ispettorato Territoriale (o Nazionale) del Lavoro.
Nella fattispecie, la sanzione è stata irrogata ad una ASL, ma tale tipo di illecito è riscontrabile sia nel settore pubblico che nel privato. Il Garante ha evidenziato che (sintesi nostra):
- l’accordo deve essere formale (ovvero, deve esseci la formale autorizzazione dell’ITL), a nulla rilevando il fatto che le OO.SS. fossero informalmente a conoscenza dell’esistenza delle telecamere;
- la necessità di un accordo o di una autorizzazione costituisce idoneo presupposto di liceità del trattamento (in mancanza, si viene sanzionati);
- tale comportamento omissivo è sanzionabile, anche solo per il passato (infatti, sembrerebbe leggersi nel Provvedimento che la condizione di illiceità fosse stata sanata con il sopraggiungere di un accordo, ottenuto prima ancora che l’Autorità attivasse il procedimento amministrativo).
Un aspetto rilevante è che, a fronte dell’esistenza di telecamere da circa 10 anni e mai “legittimate”, l’accordo era stato comunque stipulato il 18 luglio 2018, quindi a meno di due mesi dalla piena applicabilità del GDPR (il 25 maggio 2018).
Come è noto, secondo il GDPR l’Autorità deve tenere presenti ben 11 differenti elementi per irrogare la sanzione. Tra l’altro, l’Autorità ha tenuto conto che ci si trovava in una fase di prima applicazione delle disposizioni sanzionatorie (art. 22, comma 13, del d.lgs. 10 agosto 2018, n. 101).
Sempre nello stabilire la sanzione, l’Autorità ha anche dato ampiamente atto della volontà del Titolare del trattamento di mettersi in regola già prima che partisse il procedimento sanzionatorio, quindi in una situazione virtuosa. Questo, però, non è bastato.
Invece, non entriamo sulle valutazioni effettuate dal Garante circa la sanzionabilità di tale condotta, anche nel periodo precedente, ma resta il fatto che la multa decisa dall’Autorutà è stata di € 8.000,00.
Pertanto, seppure è veramente difficile individuare un metro di misura per stabilire il “quantum” di una multa da applicarsi oggi (scaduto il periodo di prima applicazione) e nelle differenti circostanze di fatto, la mancanza di accordo o di autorizzazione è certamente sanzionabile per molte (decine di) migliaia di euro (qui un caso di minor rilievo con una sanzione di € 4.000,00).
Si tratta di un argomento che non può fare dormire sonni tranquilli ai titolari del trattamento e ai DPO di qualsiasi genere.
Aldo Agostini
[Articolo aggiornato il 13 gennaio 2021 – N.d.r.]
