[doc. web n. 3721340] Provvedimento del 4 dicembre 2014 Registro

[doc. web n. 3721340]
Provvedimento del 4 dicembre 2014
Registro dei provvedimenti
n. 573 del 4 dicembre 2014
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa
Licia Califano e della dott.ssa Giovanna Bianchi Clerici componenti, e del dott. Giuseppe Busia, segretario generale;
VISTO il ricorso presentato al Garante in data 11 luglio 2014 nei confronti di UnipolSai S.p.A. con cui XY, rappresentato e difeso dall'avv.
Fabio Varallo, dipendente della predetta società (già Fondiaria Sai S.p.A.) fino al 22 marzo 2012 quando ha rassegnato le proprie dimissioni
a seguito di un procedimento disciplinare con cui gli erano state contestate presunte anomalie nella liquidazione di alcuni sinistri da lui gestiti
in qualità di liquidatore, ribadendo le istanze già avanzate ai sensi degli artt. 7 e 8 d.lgs. n. 196 del 30 giugno 2003, Codice in materia di
protezione dei dati personali (di seguito "Codice"), ha chiesto la cancellazione dei dati personali che lo riguardano - con contestuale
comunicazione di tale operazione a tutti i soggetti cui gli stessi sono stati trasmessi – riportate nella Relazione riservata (verbale di Audit) del
giugno 2013 sulle attività di verifica svolte dalla Funzione Audit del Gruppo UnipolSai, relativamente alla posizione di un soggetto terzo,
dott. (…), anch'esso liquidatore dipendente della medesima società; il ricorrente ha, in particolare, lamentato come nella predetta Relazione
siano stati illecitamente riportati il proprio "nome e cognome, fatti e importi a sé contestati, nomi di parenti e affini nonché la circostanza e le
modalità delle sue dimissioni", con conseguente indebita comunicazione degli stessi a persona terza nei cui confronti è stato avviato un
distinto procedimento disciplinare nonché "ad un numero indefinito di soggetti" in ragione dell'avvenuto "deposito della relazione medesima
nel giudizio lavoristico (e probabilmente in quello penalistico) instaurato in danno del dott. (…)", ex collega; il ricorrente, nel ritenere che la
divulgazione dei predetti dati abbia peraltro arrecato un notevole pregiudizio alla sua immagine personale e professionale, ha chiesto il
risarcimento dei danni subìti nonché la liquidazione in proprio favore delle spese del presente procedimento;
VISTI gli ulteriori atti d'ufficio e, in particolare, la nota del 21 luglio 2014 con la quale questa Autorità, ai sensi dell'art. 149 comma 1 del
Codice, ha invitato il titolare del trattamento a fornire riscontro alle richieste del ricorrente, nonché la nota del 20 ottobre 2014 con cui è stata
disposta, ai sensi dell'art. 149 comma 7, la proroga del termine per la decisione sul ricorso;
VISTE le note del 29 luglio e dell' 8 settembre 2014 con le quali il titolare del trattamento, nel rappresentare che "la complessità della
vicenda impone la raccolta e l'esame di una discreta mole di documentazione", si è impegnata a fornire un adeguato ed esaustivo riscontro
nel più breve tempo possibile conferendo peraltro apposita procura ad un legale;
VISTO il verbale dell'audizione tenutasi il 12 settembre 2014 presso la sede di questa Autorità ,nel corso della quale il ricorrente, nel
ribadire le proprie richieste, ha evidenziato come i dati personali che lo riguardano (oltre ai dati sensibili riferiti a propri familiari) contenuti
nella Relazione riservata afferente la posizione dell'ex collega, "non fossero assolutamente necessari per far valere un diritto della compagnia
assicurativa nel procedimento giudiziale nei confronti dello stesso" ed ha, altresì, sottolineato come la predetta Relazione sia stata "depositata
in pubblica udienza in un procedimento lavoristico contro il dott. (…) ove gli stessi avvocati hanno discusso della propria storia personale",
con conseguente danno alla reputazione;
VISTA la nota del 19 settembre 2014 con cui la compagnia resistente, rappresentata e difesa dall'avv. Giovanni Guerra, nel sostenere
l'infondatezza della richiesta di cancellazione formulata dall'interessato, ha precisato: a) che i dati riferiti al ricorrente riportati nelle premesse
della Relazione di Audit in questione risultano "lecitamente trattati nello svolgimento delle attività di controllo interno in conformità a
quanto previsto a livello normativo (artt. 87 e 191 del d.lgs. n. 206/2005 recante il Codice delle Assicurazioni Private e regolamento IVASS
n. 20/2008 e s.m.i.) e delle conseguenti azioni di carattere disciplinare nei confronti dell'altro liquidatore"; b) che i medesimi dati sono
"esatti, corretti, pertinenti e non eccedenti, viste, tra l'altro, le esigenze di specifica motivazione delle verifiche effettuate sul Centro
Liquidativo di Lecce e di quanto emerso in relazione alle attività dei liquidatori (…), con evidenziazione dei possibili elementi di anomalia,
connessione e coinvolgimento nei sinistri liquidati"; c) che "nell'ambito del procedimento disciplinare avviato dalla Compagnia nei confronti
del Sig. (…) non risultano essere state riportate informazioni relative alla precedente vicenda relativa al procedimento disciplinare del
ricorrente né tanto meno in tale ambito è stata portata a conoscenza del Sig. (…) o di terzi la Relazione in esame, contenente i dati del
ricorrente"; d) che successivamente, "la citata Relazione, con i dati in esame, è stata depositata esclusivamente presso i competenti uffici
giudiziari, nell'ambito del procedimento civile relativo alla controversia di lavoro attinente l'impugnazione del licenziamento (…) da parte
del dott. (…) e del procedimento penale riguardante la denuncia-querela che, per la gravità dei fatti emersi nell'ambito delle verifiche di
Audit, UnipolSai ha ritenuto di presentare" al fine di accertare "le personali responsabilità, anche in eventuale concorso di tutti i soggetti
interessati"; la resistente ha quindi affermato che il trattamento dei dati in questione, effettuato "per le finalità ed esigenze anche di
documentazione delle attività di controllo interno e disciplinari svolte dagli uffici e dipendenti preposti, nei tempi normativamente previsti e
a ciò strettamente necessari, non ha comportato e non comporta alcuna comunicazione di dati a terzi (a persone diverse dai soggetti designati
da UnipolSai quali responsabili ed incaricati del medesimo trattamento) e tanto meno, quindi, alcuna asserita violazione di legge"; per quanto
poi attiene l'affermata illecita comunicazione dei dati medesimi nell'ambito dei procedimenti giudiziari sopra citati e la conseguente richiesta
di cancellazione degli stessi, la resistente ha eccepito la piena legittimità del trattamento per le "esclusive finalità di difesa giudiziaria dei
diritti della Compagnia nei confronti dell'altro liquidatore ed in relazione a vicende in cui era coinvolto anche il ricorrente, oggetto del
precedente Audit da cui è scaturita la questione", aggiungendo che, in ogni caso, "nell'ambito dei suddetti procedimenti giudiziari, ogni
valutazione circa l'utilizzabilità, validità ed efficacia dei documenti ivi prodotti, anche per quanto riguarda l'asserita illegittimità del
trattamento dei dati personali su cui sono basati, era ed è rimessa esclusivamente alle competenti Autorità giudiziarie cui andava e va
eventualmente rivolta ogni richiesta in tal senso, ai sensi dell'art. 160, comma 6, del Codice"; la società resistente ha comunque manifestato,
ferme restando le argomentazioni sopra formulate e l'infondatezza delle richieste del ricorrente, la propria disponibilità "a procedere
all'oscuramento delle informazioni direttamente riferite al ricorrente nell'ambito delle copie (elettronica e cartacea) della menzionata
Relazione detenuta al proprio interno (attraverso l'apposizione di appositi omissis (…)), ferma restando chiaramente la conservazione di
copia del documento (nella versione integrale) agli atti del presente procedimento, per il tempo strettamente necessario alla sua conclusione
(…) ed eccettuate, come detto, le copie depositate e conservate presso i competenti uffici giudiziari, a cui spetta ogni valutazione sul relativo
utilizzo ex art. 160, comma 6 citato";
VISTE le note del 23 e del 31 ottobre 2014 con le quali il ricorrente, nel rappresentare come la controparte abbia "palesemente violato
l'accordo formalmente raggiunto " in base al quale si era impegnata a non esperire azioni giudiziarie (sia civili che penali) nei propri
confronti, ha ribadito l'illiceità del trattamento dei dati contenuti nella Relazione in questione (avanzando peraltro richiesta di blocco in via
cautelare ai sensi dell'art. 150 comma 1 del Codice) laddove gli stessi sono stati depositati, dapprima nel fascicolo di causa di un
procedimento giuslavoristico relativo ad un terzo che non presentava "alcun rapporto di colleganza funzionale" con la vicenda che lo ha
riguardato e, successivamente, anche "presso la magistratura penale allegandola ad una denuncia querela verso ignoti per fatti ai quali il
ricorrente era completamente estraneo"; ciò in palese violazione dei principi generali (art. 11 del Codice) di necessità, correttezza, pertinenza
e non eccedenza nel trattamento dei dati; il ricorrente ha inoltre sostenuto l'inapplicabilità al caso in esame dell'art. 160 comma 6 del Codice
richiamato dalla controparte, in quanto "il procedimento civile è ormai definitivamente chiuso, archiviato e privo di una titolarità
giudiziaria", mentre per il procedimento penale, "in fase di indagini preliminari, vige il segreto istruttorio che rende inaccessibili a chiunque
la conoscenza di dati relativi alle medesime nonché di ogni e qualsivoglia atto rimesso al fascicolo";
VISTA la nota del 14 novembre 2014 con cui la società resistente, nel ritenere "inammissibili ed infondate le ricostruzioni contenute da
ultimo nella memoria avversa", ha inteso fornire alcune precisazioni in ordine all'esatto contesto nel quale si colloca la vicenda che ha
riguardato il ricorrente affermando che, nel giudizio di lavoro a carico dell'altro liquidatore, "la Compagnia si è legittimamente difesa
utilizzando i risultati dell'Audit interno" e "in seno a quel giudizio non è stata avanzata alcuna richiesta di stralcio degli atti (che ben avrebbe
potuto formalizzare il ricorrente, intervenendo nel giudizio tramite lo stesso legale del dott. (…)"; inoltre "nel corso dell'udienza non è stata
avanzata alcuna richiesta di tenere la stessa a porte chiuse, richiesta che il magistrato avrebbe potuto valutare, ove avesse rilevato la asserita
illegittimità della comunicazione di dati non pertinenti al giudizio"; la resistente ha infine dichiarato di avere comunque "avviato le attività
volte alla cancellazione spontanea delle informazioni direttamente riferite al ricorrente dalle copie (elettronica e cartacea) della Relazione di
Audit detenute al proprio interno";
VISTA la nota del 18 novembre 2014 con cui il ricorrente, nel contestare le affermazioni della controparte, ha sostenuto che all'epoca del
giudizio giuslavoristico del dott. (…) - di cui era ignaro, nonché del tutto estraneo - non era a conoscenza del fatto che fossero stati
depositati nel fascicolo di causa dati personali a sé riferiti, né il difensore del dott. (…) "avrebbe potuto immaginare che di lì a poco avrebbe
assunto la difesa tecnica del ricorrente"; nella medesima nota l'interessato ha quindi preso atto delle dichiarazioni della resistente in ordine
all'avvio della cancellazione dei dati che lo riguardano contenuti negli archivi informatici e cartacei dell'azienda resistente, ritenendo tuttavia
che tale operazione, oltre ad essere "tardiva, non serva a nulla", essendosi ormai "consumato l'illecito trattamento di dati personali mediante
la diffusione di informazioni relative ad un procedimento disciplinare in una pluralità di sedi (…)";
RILEVATO che, ai sensi dell'art. 7 comma 3, lett. b) del Codice, ogni interessato ha diritto di chiedere la cancellazione, la trasformazione in
forma anonima o il blocco dei dati personali che lo riguardano soltanto ove essi siano trattati in violazione di legge, oppure nel caso in cui la
loro conservazione non sia necessaria in relazione agli scopi per i quali essi sono stati raccolti o successivamente trattati;
RILEVATO che, nel caso in esame, alla luce della documentazione in atti e delle dichiarazioni rese dalle parti, non emergono profili di
illiceità del trattamento avendo la società resistente affermato (con dichiarazione della cui veridicità l'autore risponde ai sensi dell'art. 168 del
Codice "Falsità nelle dichiarazioni e notificazioni al Garante") che "nell'ambito del procedimento disciplinare avviato dalla Compagnia nei
confronti del Sig. (…)ed, in particolare della documentazione allo stesso inerente, non risultano essere state riportate informazioni relative
alla precedente vicenda relativa al procedimento disciplinare del ricorrente,né tanto meno la Relazione in esame, contenente i dati del
ricorrente, è stata portata a conoscenza del Sig. (…) o di terzi"; rilevato peraltro che in ordine a tale aspetto la società resistente ha comunque
dichiarato di avere comunque "avviato le attività volte alla cancellazione spontanea delle informazioni direttamente riferite al ricorrente dalle
copie (elettronica e cartacea) della Relazione di Audit detenute al proprio interno" e che pertanto, sul punto, deve essere dichiarato non luogo
a provvedere sul ricorso ai sensi dell'art. 149 comma 2 del Codice;
RILEVATO inoltre che, per quanto riguarda i dati del ricorrente contenuti nella Relazione in esame e depositati in giudizio, resta fermo
quanto previsto dall'art. 160 comma 6 del Codice con riferimento alle autonome determinazioni da parte dell'autorità giudiziaria adita circa la
validità, l'efficacia e l'utilizzabilità degli atti o documenti prodotti;
RILEVATO che la richiesta di risarcimento del danno è inammissibile dal momento che l'Autorità non ha competenza in merito e che tale
azione, se del caso, potrà essere esperita davanti all'autorità giudiziaria ordinaria;
RITENUTO congruo compensare integralmente le spese fra le parti in ragione della particolarità della vicenda;
VISTA la documentazione in atti;
VISTI gli artt. 145 e ss. del Codice;
VISTE le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
RELATORE la prof.ssa Licia Califano;
TUTTO CIÒ PREMESSO IL GARANTE:
a) dichiara non luogo a provvedere sul ricorso;
b) dichiara inammissibile la richiesta di risarcimento del danno;
c) dichiara compensate le spese tra le parti.
Ai sensi degli artt. 152 del Codice e 10 d.lgs. n. 150 del 2011, avverso il presente provvedimento può essere proposta opposizione
all'autorità giudiziaria ,con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati,
entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente
risiede all'estero.
Roma, 4 dicembre 2014
IL PRESIDENTE
Soro
IL RELATORE
Califano
IL SEGRETARIO GENERALE
Busia