GDPR violato in azienda: rischia il lavoratore?
Utente_Anonimo_5299 · 20 visualizzazioni
Vorrei sottoporre alla Sua valutazione una procedura operativa che mi è stata indicata durante lo svolgimento della mia attività lavorativa e che, a mio avviso, potrebbe presentare profili di criticità sotto il punto di vista della protezione dei dati personali. Nell'ambito dell'attività di assistenza alle prenotazioni di donatori di sangue presso strutture ospedaliere, mi era stato inizialmente richiesto di contattare le strutture per conto degli utenti e di procedere con le prenotazioni secondo le indicazioni operative ricevute. Per alcune strutture ospedaliere era prevista una procedura specifica: qualora il donatore non fosse già registrato sulla piattaforma online della struttura, l'operatore procedeva direttamente alla creazione di un account intestato al donatore, utilizzando i suoi dati personali e un indirizzo e-mail temporaneo, insieme a una password. Una volta creato l'account, l'operatore accedeva alla casella e-mail temporanea, utilizzata per ricevere il messaggio di conferma della registrazione, e procedeva direttamente alla conferma dell'account. Contestualmente, veniva accettata la privacy policy e/o le condizioni relative al trattamento dei dati personali della struttura sanitaria, senza che tale operazione fosse effettuata direttamente dal donatore interessato. Le credenziali dell'account venivano inoltre conservate dall'organizzazione che effettuava il servizio, in modo da poter accedere nuovamente al profilo del donatore in occasione di successive prenotazioni. L'accesso al profilo non consentiva di visualizzare esclusivamente i dati necessari alla prenotazione, ma permetteva di visualizzare anche ulteriori informazioni relative all'attività di donazione, tra cui, a seconda del profilo, il numero di donazioni effettuate, il livello/status del donatore e la tessera del donatore. La questione che vorrei sottoporre alla Sua valutazione riguarda quindi, in particolare, la liceità e correttezza di una procedura nella quale un soggetto diverso dall'interessato: crea un account presso una piattaforma ospedaliera utilizzando i dati personali del donatore; utilizza un indirizzo e-mail temporaneo per effettuare e confermare la registrazione; accetta per conto del donatore la privacy policy e le condizioni relative al trattamento dei dati; conserva le credenziali di accesso all'account; accede successivamente al profilo del donatore; può visualizzare informazioni ulteriori rispetto a quelle strettamente necessarie alla gestione della prenotazione, comprese informazioni relative all'attività e alla storia delle donazioni. Durante il rapporto di lavoro avevo inoltre ricevuto indicazioni e/o avevo partecipato a confronti interni relativi alla necessità di limitare l'accesso a informazioni sanitarie o comunque connesse all'attività di donazione. Proprio per questo motivo mi è sorto il dubbio che la procedura sopra descritta potesse comportare un accesso a dati eccedenti rispetto a quelli necessari per l'attività di semplice assistenza alla prenotazione. Vorrei quindi comprendere, sotto il profilo giuslavoristico e soprattutto della normativa in materia di protezione dei dati personali, se la procedura descritta possa presentare profili di irregolarità, responsabilità o rischio per il lavoratore che la esegue materialmente sulla base delle istruzioni ricevute dall'azienda, nonché quali fossero gli eventuali obblighi dell'azienda in termini di autorizzazione al trattamento, istruzioni operative, minimizzazione degli accessi e gestione delle credenziali. Preciso che la mia intenzione è comprendere la corretta qualificazione giuridica dei fatti e tutelarmi rispetto alle attività che mi sono state richieste nello svolgimento del rapporto di lavoro.
Risposta diretta
La procedura descritta presenta gravi irregolarità rispetto al Regolamento UE 2016/679 (GDPR), in particolare per la violazione del principio di minimizzazione dei dati e per l'assenza di una base giuridica valida per il trattamento. Il lavoratore che esegue materialmente le operazioni su istruzione aziendale gode di una protezione attenuata ma non assoluta: la responsabilità principale ricade sul titolare del trattamento (l'azienda), ma il dipendente non è del tutto esente da rischi.
Quadro normativo
Le norme rilevanti sono
- Art. 5 GDPR — principi di liceità, correttezza, trasparenza e minimizzazione: i dati trattati devono essere adeguati, pertinenti e limitati a quanto necessario
- Art. 6 e 7 GDPR — la base giuridica del trattamento; il consenso deve essere espresso direttamente dall'interessato, non da terzi per suo conto
- Art. 9 GDPR — i dati relativi alla salute e all'attività di donazione sono dati particolari, soggetti a tutele rafforzate
- Art. 29 GDPR — il dipendente-incaricato tratta i dati solo su istruzione del titolare, ma non può eseguire operazioni palesemente illecite
- Art. 2087 c.c. — il datore di lavoro non può esporre il dipendente a responsabilità derivanti da proprie scelte organizzative illegittime
- D.lgs. 101/2018 — normativa italiana di adeguamento al GDPR, con sanzioni amministrative fino a 20 milioni di euro o il 4% del fatturato globale
Come funziona in pratica
I profili di illiceità della procedura sono molteplici
- Creazione di account sanitari senza il consenso diretto dell'interessato viola gli artt. 6 e 7 GDPR
- L'accettazione della privacy policy per conto del donatore è giuridicamente priva di effetti: il consenso non è delegabile a terzi
- La conservazione delle credenziali da parte dell'organizzazione configura un trattamento non autorizzato e un rischio di sicurezza (art. 32 GDPR)
- L'accesso a dati eccedenti (storico donazioni, tessera, status) viola il principio di minimizzazione e la limitazione delle finalità
- I dati sanitari richiedono una base giuridica specifica ex art. 9: la semplice assistenza alla prenotazione non è sufficiente
Cosa conviene fare
- Documentare tutto: conservare email, chat, istruzioni operative ricevute che dimostrano che la procedura era imposta dall'azienda
- Non eseguire più la procedura se il rapporto di lavoro è ancora in corso: il dipendente consapevole di una illiceità non può invocare il solo ordine aziendale come esimente completo
- Richiedere per iscritto all'azienda istruzioni formali ex art. 29 GDPR e verificare se esiste un Registro dei trattamenti aggiornato
- Valutare una segnalazione al Garante per la protezione dei dati personali (www.garanteprivacy.it): la segnalazione è gratuita e può essere fatta anche da un lavoratore
- Consultare un avvocato per valutare se sia opportuno formalizzare la propria posizione con una comunicazione scritta al datore che documenti le perplessità sollevate, a tutela della propria responsabilità personale
Questa risposta è generata da intelligenza artificiale e ha scopo puramente informativo. Non costituisce consulenza legale professionale.
Ti conviene contattare un avvocato?
Prima di pensare a una causa vera e propria, questa è più una domanda da un primo confronto: spesso basta capire cosa rischi davvero e quali strade hai, non serve subito un procedimento formale. Per i casi più articolati molti avvocati chiedono un contributo per lo studio della documentazione (indicativamente da €150). Scrivici: un parere veloce non costa nulla chiedere.
💬 Utente_Anonimo_3593
Visto l'esito che già mi aspettavo, cosa dovrei aspettarmi dal azienda? Se loro non provvedono a rimediare al danno creato ai clienti, cosa devo fare?
Il lavoratore che esegue operazioni di trattamento dati seguendo istruzioni aziendali esplicite è generalmente protetto dalla responsabilità diretta, purché non abbia agito oltre le istruzioni ricevute o in malafede. La responsabilità principale ricade sul titolare del trattamento, cioè l'azienda.
Quadro normativo
La procedura descritta presenta profili di violazione del Regolamento UE 2016/679 (GDPR) su più fronti:
- Art. 5 — Principi di liceità, minimizzazione dei dati e limitazione delle finalità: creare account a nome di terzi e accedere a dati sanitari eccedenti viola queste basi.
- Art. 6 e 9 — La creazione di account e l'accettazione della privacy policy per conto dell'interessato, senza un consenso diretto e informato, priva il trattamento di qualsiasi base giuridica valida. I dati sulle donazioni rientrano nei dati relativi alla salute (categoria speciale ex art. 9), soggetti a protezione rafforzata.
- Art. 29 GDPR — Il dipendente che tratta dati su istruzione del titolare non è personalmente responsabile verso gli interessati, salvo che agisca al di fuori di tali istruzioni.
- Art. 82 GDPR — La responsabilità per danni da trattamento illecito grava sul titolare o responsabile del trattamento, non sul singolo incaricato.
- D.lgs. 196/2003 (Codice Privacy) — Prevede obblighi specifici di formazione, designazione e istruzione degli addetti al trattamento.
Come funziona in pratica
- Il dipendente che esegue istruzioni aziendali è qualificabile come incaricato al trattamento: la colpa ricade sul titolare che ha predisposto la procedura illecita
- Se l'azienda non ha mai rilasciato designazione scritta come incaricato né fornito istruzioni documentate, si espone a ulteriori violazioni formali
- Il fatto che internamente si discutesse della necessità di limitare gli accessi suggerisce consapevolezza aziendale del problema, il che aggrava la posizione del datore
- Il lavoratore che ha sollevato dubbi (anche internamente) ha già rafforzato la propria posizione difensiva
- Se l'azienda non rimedia, gli interessati (i donatori) possono presentare reclamo al Garante per la Protezione dei Dati Personali (Autorità di controllo nazionale)
Cosa conviene fare
- Raccogliere e conservare tutta la documentazione delle istruzioni ricevute (email, chat, procedure scritte, verbali di riunioni) prima che vengano cancellate
- Inviare una comunicazione scritta all'azienda (PEC o raccomandata) in cui si segnala formalmente la criticità della procedura e si chiede di adottare misure correttive: questo crea prova della tua buona fede
- Se l'azienda non interviene, valutare una segnalazione al Garante Privacy (www.gpdp.it): il lavoratore può farlo in forma riservata, senza esporre il proprio nominativo in modo immediato
- Verificare se in azienda esiste un DPO (Data Protection Officer): in caso affermativo, la segnalazione interna al DPO è un passaggio ulteriore a tua tutela
- Consultare un avvocato specializzato in diritto del lavoro e privacy per valutare eventuali profili di responsabilità solidale e per impostare correttamente ogni comunicazione formale
Questa risposta è generata da intelligenza artificiale e ha scopo puramente informativo. Non costituisce consulenza legale professionale.
Hai un'altra domanda?
Hai una questione legale?
Ti mettiamo in contatto con un avvocato specializzato in Diritto Civile della tua zona per capire come muoverti. Invia il tuo caso: il preventivo è gratuito.