E’ UNA VIOLAZIONE DEL GDPR REGISTRARE UNA RIUNIONE DI LAVORO PER MOTIVI E FINALITA’ CHE DIVERGONO DALLA PROPRIA DIFESA

Trib. Venezia, sez. II, sent., 2 dicembre 2021, n. 2286

Fatto e diritto

Le domande attorce meritano accoglimento. Va preliminarmente disattesa l’eccezione di inammissibilità del ricorso per intervenuta decadenza ex art. 10, VI co. D.Lgs. 150/2011 in rei, art. 144 c.p.c. In particolare, la prima disposizione prevede che “il giudice fissa l’udienza di comparizione delle partì con decreto con il quale assegna al ricorrente il termine perentorio entro cui notificarlo alle altre parti e al Garante” (enfasi aggiunta). Premesso che, ai sensi dell’art. 154-ter, comma 2, D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018, “Il Garante è rappresentato in giudizio dall’Avvocatura dello Stato, ai sensi dell’articolo 1 del regio decreto 30 ottobre 1933, n. 1611” e che si applica la norma generale dell’art. 144 c.p.c. per cui “per le amministrazioni dello Stato … si osservano le disposizioni che prevedono la notificazione presso gli uffici dell’avvocatura dello Stato”, nella specie parte ricorrente doveva notificare il decreto di fissazione dell’udienza non tanto (o non soltanto direttamente all’Autorità Garante) quanto (ed in ogni caso) al suo difensore e lege. Peraltro, contrariamente a quanto ritenuto dai ricorrenti, l’art. 154 ter D.Lgs., 196/2013 richiama e fa proprie le modalità con cui la norma generale dell’art. 1 r.d. 1611/1933 disciplina la difesa in giudizio delle amministrazioni pubbliche e non vi deroga: posto che quest’ultima si applica tanto all’amministrazione che resista, quanto a quella che agisca in giudizio, non si ravvisano ragioni per ritenerla derogata per il Garante per la Protezione dei dati personali. Nella specie, tuttavia, posto che la notifica nel termine assegnato con il decreto di fissazione udienza non risulta, pacificamente, omessa si può fare riferimento al constante insegnamento della Suprema Corte, secondo la quale “In tema di notificazioni, qualora l’atto da notificare venga consegnato presso un indirizzo errato, ma all’effettivo destinatario (nella specie, una società) presso la sua sede la notifica deve ritenersi valida” trattandosi di una semplice irregolarità” (Cassazione civile, Sez. III, sentenza n. 18937 del 31 luglio 2017): nella specie, tale irregolarità è stata sanata dalla costituzione dell’Autorità e nello svolgimento di difese anche nel merito. Sotto tale profilo deve rilevarsi che gli attori domandano: salvo rinunciare alla domanda di sanzione nei confronti di (…), per intervenuta conciliazione. Al fine di dirimere la presente controversia va premesso in diritto che si applicano nel caso di specie il Reg. UE n. 2016/679 (c.d. GDPR). L’art. 2GDPR stabilisce che “1. Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi. 2. Il presente regolamento non si applica ai trattamenti di dati personali … c) effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico”. Per comprendere la portata dell’eccezione di cui all’art. 2″ comma 2, lett. c), è imprescindibile tenere in considerazione il contenuto dal considerando n. 18. Quest’ultimo chiarisce che: da un lato, le attività a carattere esclusivamente personale o domestico sono quelle “senza una connessione con un’attività commerciale o professionale”; dall’altro lato, che “le attività a carattere personale o domestico potrebbero comprendere la corrispondenza e gli indirizzari, o l’uso dei social network e attività online intraprese nel quadro di tali attività”. Pertanto, l’esenzione di cui all’art. 2, comma 2, lett. c) precitato, potrebbe (e dovrebbe) trovare applicazione unicamente per attività attinenti alla sfera strettamente ed esclusivamente privata e familiare (e/o, per l’appunto, domestica). Inoltre, l’art. 21 del Reg. UE n. 2016/679, stabilisce che il diritto di opposizione al trattamento dei dati personali che lo riguardano non possa essere esercitato dall’interessato qualora il titolare del trattamento “dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria”. Secondo il considerando n. 69, “è opportuno che incomba al titolare del trattamento dimostrare che i suoi interessi legittimi cogenti prevalgano sugli interessi o sui diritti e sulle libertà fondamentali dell’interessato. Una volta ritenuto, per i motivi di cui sotto, che la registrazione audio de qua integri un trattamento dati cui trova applicazione il GDPR, occorre ora valutare se tale trattamento abbia rispettato i principi di cui all’art. 5 GDPR, cit. In particolare, la condotta della registrazione – per essere considerata lecita – deve essere eseguita “per tutelare la propria posizione all’interno dell’azienda” nonché “per precostituirsi un mezzo di prova”, e a patto che sia “pertinente alla tesi difensiva e non eccedente le sue finalità” (cfr. Cass. sez. lav. n. 12534/2019). Concludendo, il trattamento di dati personali per finalità di accertamento e/o esercizio di un diritto (anche in una fase pre-contenziosa) è espressione del legittimo interesse del titolare del trattamento, e, pertanto, in caso di insussistenza di detto interesse, il trattamento deve ritenersi illecito per mancanza di una delle sue basi giuridiche (art. 6, comma 1, lett. f) del Reg. UE n. 2016/679); ogni qualvolta il titolare del trattamento opponga all’interessato lo svolgimento di attività difensive a giustificazione di un dato trattamento di dati personali, quest’ultimo deve in ogni caso dimostrare la sussistenza di un contesto litigioso e/o la parvenza di un pregiudizio subito che lo avrebbero in ipotesi portato ad intraprendere trattamenti di dati personali riguardanti l’interessato, e ciò al preteso fine di chiedere la tutela di propri diritti (anche in una fase di pre-contenzioso). Nessuno di questi requisiti risulta nella specie soddisfatto. Ed invero, la registrazione ha ad oggetto: 1. una riunione di lavoro, tenutasi il 25.11.2016 tra colleghi di lavoro e per la risoluzione di alcune difficoltà organizzative interne all’azienda: una riunione aziendale, rectius professionale – per utilizzare le espressioni del Regolamento sopra richiamato; 2. fu effettuata da (…) – che all’epoca non poteva vantare esigenze (pre) “difensive” nei confronti della datrice di lavoro atte a giustificare la registrazione; 3. fu conservata e “ceduta” (non rileva, quando) a (…). e (…) – pacificamente non presentì alla riunione – i quali a distanza di due anni la produssero nelle rispettive cause di lavoro contro la stessa azienda (circostanza pacifica e documentale). Quanto al primo aspetto, va rilevato che l’oggetto della riunione è incontroverso e comunque si desume dalla documentazione in atti (all. 3 fase di reclamo davanti al Garante). La prova che ad effettuare la registrazione sia stato (…) (…) si desume dagli indici riportati in ricorso e qui fatti propri; in particolare dal fatto che “all’inizio della registrazione (minuti dal 0:04 al 0:29) si sente che il dispositivo di registrazione si muove insieme alla persona che lo porta addosso e che sta camminando (si avverte, infatti, la cadenza dei passi); – questo induce a ritenere senza possibilità di smentita che non può in alcun caso trattarsi di “intercettazione ambientale “, vale a dire di una registrazione ottenuta da una terza persona che abbia lasciato il microfono nella stanza e lo abbia poi recuperato in un secondo momento; – nel momento in cui inizia la conversazione tra i rappresentanti di (…) ed il sig. (…) (con quest’ultimo che si siede) (minuto 0:48) il rumore di camminamento si arresta. È evidenza del fatto che l’autore della registrazione che porta addosso il registratore si è seduto; – quando parlano i rappresentanti di (…) (a partire dal minuto 0.50) il rumore della voce è più basso e si avverte la distanza di tali persone dal dispositivo che registra; – quando parla il sig. (…) (minuti 2:30 e 5:48 e ss,) la voce, invece, è registrata con tono decisamente più alto, segno della sua vicinanza al microfono; – al termine del colloquio si sente: “possiamo lasciare andare il signore ((…))?” (minuti 20:12) e, a questo punto, il sig. (…) si alza e si avvicina alla porta e contestualmente il registratore inizia nuovamente a registrare il rumore proprio del dispositivo che sbatte contro la tasca (dei pantaloni o dell’impermeabile)” si avverte anche la cadenza della camminata e non si avvertono nemmeno più le voci dei dirigenti (…) – questo è evidenza del fatto che la persona che porta addosso il registratore ha ripreso a camminare ed è uscito dalla stanza (dove invece erano rimasti a parlare i dirigenti (…)”); – ad essere uscito è stato il solo sig. (…) mentre i dirigenti di (…) sono usciti in un secondo momento; – quando il sig. (…) esce dalla stanza si sente chiaramente il rumore della mano entra nella tasca e schiaccia il tasto di fine registrazione. È dunque evidente che l’autore della registrazione dell’incontro tenutosi in data 25.11.2016, nonché colui che ha divulgato il predetto file ai propri colleghi, è senza ombra di dubbio il Sig. (…). Detta circostanza è inoltre confermata anche dal Sig. (…) il quale, nel ricorso ex art. 414 C.P.C.con cui è stato instaurato il procedimento n. 502/2019 R.G. avanti la sezione lavoro di questo Tribunale, espressamente dice: “…quello che la dott. (…) ha promesso nel corso dell’incontro del 25.11.2016 con il (…) …” (cit. pag. 36 del ricorso); “In realtà l’incontro (a quanto risulta solo con uno dei cinque, il sig. (…)” Alt)… ” (cit. pag. 40 del ricorso)” (cfr. ricorso, pp. 13 ss.). A diverse conclusioni non si può giungere alia luce dei dubbi insinuati dalla difesa di (…) sull’attitudine probatoria della dichiarazione di (…) depositata dagli attori nel corso di questo giudizio, posto che anche senza di essa le sopraesposte considerazioni sono sufficienti a ritenere che la registrazione sia stata effettuata di nascosto da (…). Quanto al terzo profilo, è altrettanto verosimile che essa sia stata quantomeno “conservata” per utilizzarla a tempo debito o meglio, come accaduto nella specie, per cederla ai colleghi a quel punto impegnati in un loro personale contenzioso con l’azienda ma non presenti alla riunione (cfr, docc. 2-4-5 fascicolo reclamo Garante). Ebbene per come si sono svolti i fatti, appare evidente che i convenuti odierni hanno violato i principi di cui all’art. 5 GDPR, a mente del quale “Art. 5 GDPR “7 dati personali sono: (…) b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini dì archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali (“limitazione della finalità”)”. La loro condotta, desumibile dai documenti depositati, è infatti esterna al perimetro della liceità sia per quanto riguarda la mancanza di una propria esigenza difensiva, sia con riferimento al difetto della pertinenza, sul piano temporale, dei tempi di conservazione dei dati a quanto strettamente necessario alla propria difesa. Le domande attoree sono pertanto fondate e vanno accolte, nei termini di cui al dispositivo. In particolare, quanto alle sanzioni in confronti di (…) e (…) (avendo i ricorrenti rinunciato alla relativa domanda verso (…)), devono richiamarsi i criteri di quantificazione previsti dall’art. 83 GDPR (“la natura, gravità e durata della violazione”; – “il carattere doloso o colposo della violazione”; – “il grado di cooperazione con l’autorità di controllo al fine di porre rimedio alla violazione e attuarne i possibili effetti negativi”), di talché appare appropriato per ciascuno di essi comminare la sanzione di Euro 5000,00. Le spese processuali seguono la soccombenza e devono essere liquidate come da dispositivo, tenuto conto delle caratteristiche, dell’urgenza e del pregio dell’attività prestata, dell’importanza, della natura, della difficoltà e del valore indeterminabile medio dell’affare, delle condizioni soggettive del cliente, dei risultati conseguiti, del numero e della complessità delle questioni giuridiche e di fatto trattate (art. 1 d.m. 13 marzo 2014 n. 55, pubblicato sulla G.U. n. 77 del 2.4.2014).

P.Q.M.

Il Tribunale, definitivamente pronunciando sulla domanda proposta, ogni diversa istanza, eccezione e difesa disattesa e respinta, – accerta l’illegittimità dei provvedimento dell’Autorità garante per la protezione dei dati personali del 17.6.2019 (n. prot. 21028/136495); – accerta l’illiceità dei trattamenti posti in essere dai Sig.ri (…) e (…) – per l’effetto, ordina ai convenuti la cancellazione e/o distruzione dei file audio contenente la registrazione della riunione del 25.11.2016, nonché la notificazione di tali misure ad altri ulteriori eventuali destinatari dello stesso, ex art. 58, comma 2, lettera g), del Reg. UE n. 2016/679; – commina a (…) e (…) la sanzione pecuniaria ex art. 58, comma 2, lettera i) e art. 83, Reg. UE n. 2016/679 nella misura di Euro 5000,00 ciascuno; – condanna i resistenti in solido tra loro a rimborsare ai ricorrenti, parimenti in solido, le spese processuali, che liquida in € 3000,00 per la fase di studio della controversia, Euro 2000,00 per la fase introduttiva del giudizio, Euro 3000,00 per la fase decisionale, oltre spese generali ex art. 2 d.m. 55/14 al 15%, I.V.A. e C.P.A. come per legge.