In questo elenco, per non lasciare dubbi sull’identità, ognuno veniva individuato specificamente mediante iniziale del nome, cognome e fotografia. Non solo, per rendere più esplicito il giudizio della società nei confronti del lavoratore, a fianco al nominativo di ciascuno di essi veniva posizionata una faccina in stile Emoticons volta a rendere più immediata la percezione del tenore della valutazione.
La cooperativa in questione, per tentare di chiarire preliminarmente la propria posizione, ha evidenziato che il sistema adottato è un sistema volto a realizzare un concorso a premi per i soci lavoratori. Il concorso, avente natura obbligatoria, comportava il pagamento di una somma mensile addebitata direttamente in busta paga. All’attribuzione di un punteggio negativo, poi, seguiva un addebito economico nella prima busta paga disponibile. Il fine era quello di incentivare i soci lavoratori a dare il loro meglio per accrescere l’immagine aziendale offrendo un premio in denaro per i primi tre classificati. Ancora, secondo la società, i soci lavoratori venivano informati di tale concorso obbligatorio al momento del loro ingresso nella cooperativa e questi lo accettavano sottoscrivendo l’accordo contrattuale.
La società, in risposta a rilievi sostanziati dai lavoratori, ha precisato che non sono mai stati assegnati punteggi negativi in caso di assenza dal lavoro per malattia. Ipotesi che, dunque, deve essere tenuta ben distinta da quella di una assenza ingiustificata del lavoratore che invece certamente avrebbe potuto portare all’attribuzione di un punteggio negativo.
È valido o meno il consenso prestato dai soci lavoratori?
Il Garante, con il provvedimento n. 500/2018, ha evidenziato come non possa ritenersi un consenso valido quello prestato dai soci lavoratori all’atto di sottoscrizione dell’accordo iniziale, stante anche la natura obbligatoria del concorso stesso. Questa sottoscrizione non può costituire una valida base giuridica per il trattamento in questione dei dati dei lavoratori.
Gli articoli 6 e 7 del GDPR e i relativi considerando 42 e 43 sono chiari sul punto. Per l’articolo 6, infatti, il trattamento è lecito nel momento in cui l’interessato ha espresso il proprio consenso per una o più finalità specifiche di trattamento. L’articolo 7, poi, stabilisce che, se il consenso dell’interessato viene prestato all’interno di una dichiarazione scritta che riguarda una pluralità di questioni (come nel caso in analisi dove all’atto di ingresso del socio lavoratore nella cooperativa veniva richiesto il consenso anche in relazione all’obbligatorio concorso a premi), la richiesta di consenso deve essere sostanziata in modo chiaramente distinguibile per le singole fattispecie. Il mancato rispetto di quanto così prescritto comporta la mancanza di vincolatività del consenso prestato dall’interessato.
Inoltre, stando ai sopra citati, il titolare del trattamento dovrebbe essere in grado di dimostrare che l’interessato ha acconsentito al trattamento. Nel contesto di una dichiarazione scritta relativa ad una pluralità di questioni, in particolare, dovrebbero esistere delle garanzie che assicurino la consapevolezza da parte dell’interessato di avere prestato il proprio consenso per ogni singolo trattamento che il titolare intende effettuare. Ne consegue che, per assicurare la libera decisione dell’interessato sull’acconsentire o meno ad un trattamento, il consenso eventualmente rilasciato non dovrebbe costituire un valido fondamento giuridico per il trattamento dei dati personali nel caso in cui esista un evidente squilibrio tra le posizioni rivestite dall’interessato e dal titolare del trattamento.
In relazione a ciò, dunque, appare chiaro come il consenso prestato dai soci lavoratori nel caso in esame non possa considerarsi legittimo. È evidente infatti che la cooperativa, nel caso di specie, ha violato le disposizioni precedenti. Facendo riferimento alle considerazioni sviluppate dal Gruppo di lavoro articolo 29, non può sostenersi che il socio lavoratore abbia prestato un consenso specifico al trattamento di dati posto in essere dall’azienda mediante affissione della valutazione del singolo socio. Il consenso prestato inizialmente dal socio appare infatti come un consenso generico e non specifico per quel tipo di attività e questo perché l’interessato non è stato posto nella condizione di scegliere per quali specifici scopi acconsentire o eventualmente rifiutare il proprio consenso al trattamento dei dati personali.
La natura obbligatoria del concorso a premi, poi, evidenzia l’asimmetria di potere tipica del rapporto lavorativo in cui una parte, il datore, prevale nettamente sull’altra, il lavoratore. Sul punto, peraltro, si erano già espresse chiaramente le Autorità Garanti della privacy europee, con il parere n. 2/2017, affermando che, nel caso in cui i termini dell’accordo non siano negoziabili da parte dell’interessato, il consenso prestato da quest’ultimo non può considerarsi libero e quindi validamente prestato.
La valutazione dei dipendenti affissa in bacheca ne lede la dignità
La cooperativa, in risposta ai quesiti sollevati in fase istruttoria dal Garante, aveva specificato che il cartellone del punteggio era affisso nella sede, in luogo ad esclusivo uso delle persone che lavoravano nella cooperativa.
Tuttavia, l’articolo 5 del Regolamento Europeo in materia di protezione dei dati personali prescrive che i dati personali oggetto di trattamento devono essere adeguati, pertinenti e limitati a quanto necessario rispetto al raggiungimento delle finalità dichiarate.
È vero che la gestione del rapporto di lavoro da parte del datore implica la sua possibilità di trattare le informazioni necessarie e pertinenti ad effettuare la valutazione sul corretto adempimento della prestazione lavorativa e ad esercitare il suo tipico potere di controllo, in ossequio alle leggi, ai regolamenti, ai contratti collettivi applicabili e al contratto di lavoro individuale. Tuttavia, l’affissione della valutazione dei dipendenti non pare una misura adeguata e pertinente a conseguire l’obiettivo di incentivazione dei lavoratori astrattamente perseguito dalla società. Non sembra dunque il metodo più pertinente per il datore di far valere il proprio potere di controllo sull’adempimento della prestazione lavorativa, che ben potrebbe essere perseguito con misure meno invasive per il lavoratore. Oltretutto, la volontà del C.d.A. della cooperativa di incentivare i soci più meritevoli pare non essere andata a buon fine, dal momento che gran parte degli stessi ha dichiarato di non lavorare bene proprio per il fatto di trovarsi in uno stato di continuo allarme per la paura di essere giudicati negativamente di fronte ai colleghi.
Il problema si pone inoltre nel momento in cui l’affissione nella bacheca aziendale della valutazione dei singoli soci lavoratori rende note tali informazioni a soggetti terzi rispetto al datore e dunque a soggetti che, a differenza del primo, sono privi di legittimazione – ovvero i vari soci e gli eventuali soggetti esterni alla cooperativa.
Non rileva dunque tanto il fatto che il cartellone fosse esposto solamente all’interno della cooperativa dato che le informazioni che vi venivano riportate avrebbero potuto essere conosciute esclusivamente dal datore di lavoro.
Ancora di più in quanto si trattava di informazioni particolarmente delicate, soprattutto quando per le possibili valutazioni negative e contestazioni disciplinari, la cui diffusione a tutti i soci configura una lesione della dignità del socio lavoratore. Quanto detto risulta evidente, ad esempio, dall’avvenuta affissione in bacheca delle generalità di una ex dipendente con a fianco la scritta “licenziata”.
Per tutti questi motivi, il Garante è intervenuto nei confronti della cooperativa, dichiarando l’illiceità del trattamento effettuato e disponendo, ai sensi dell’articolo 58 del GDPR, il divieto di proseguire ogni ulteriore attività con le modalità contestate.