Per il Tribunale di Venezia, se il lavoratore lo fa per scopi estranei alla propria difesa, viola l’articolo 2 GDPR.
La vicenda sottoposta all'esame del Tribunale di Venezia riguarda la registrazione di una riunione di lavoro per la risoluzione di alcune difficoltà organizzative interne all'azienda, eseguita di nascosto da un lavoratore, e poi messa a disposizione di alcuni colleghi che non avevano preso parte alla riunione, e che, a distanza di due anni, l'avrebbero prodotta nelle rispettive cause di lavoro contro l'azienda. Con la sentenza in esame, il Tribunale ha ritenuto che la registrazione, per essere considerata lecita, deve essere eseguita «per tutelare la propria posizione all'interno dell'azienda» nonché «per precostituirsi un mezzo di prova» e a patto che sia «pertinente alla tesi difensiva e non eccedente le sue finalità» il trattamento di dati personali per finalità di accertamento e/o esercizio di un diritto anche in una fase pre-contenziosa , infatti, «è espressione del legittimo interesse del titolare del trattamento e, pertanto, in caso di insussistenza di detto interesse, il trattamento deve ritenersi illecito per mancanza di una delle sue basi giuridiche articolo 6, comma 1, lett. f , Reg. UE 2016/679 » Cass. civ., numero 12534/2019 . A ciò si aggiunge il fatto che «ogni qualvolta il titolare del trattamento opponga all'interessato lo svolgimento di attività difensive a giustificazione di un dato trattamento di dati personali, quest'ultimo deve in ogni caso dimostrare la sussistenza di un contesto litigioso e/o la parvenza di un pregiudizio subito che lo avrebbero in ipotesi portato ad intraprendere trattamenti di dati personali riguardanti l'interessato, e ciò al preteso fine di chiedere la tutela i propri diritti anche in una fase di pre-contenzioso ». Requisiti tutti non sussistenti nel caso di specie, con conseguente violazione, secondo il Giudice, dell'articolo 5 del Regolamento UE 2016/679, secondo il quale «i dati personali sono raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in un modo che non sia incompatibile con tali finalità». La condotta posta in essere dal lavoratore, pertanto, si colloca al di fuori del perimetro di liceità del trattamento, «sia per quanto riguarda la mancanza di una propria esigenza difensiva, sia con riferimento al difetto della pertinenza, sul piano temporale, dei tempi di conservazione dei dati a quanto strettamente necessario alla propria difesa». Per questi motivi, il Tribunale accoglie il ricorso e ordina la cancellazione e/o distruzione dei file audio contenenti la registrazione della riunione.
Giudice Barison Fatto e diritto Le domande attorce meritano accoglimento. Va preliminarmente disattesa l'eccezione di inammissibilità del ricorso per intervenuta decadenza ex articolo 10, VI co. D.Lgs. 150/2011 in rei, articolo 144 c.p.comma In particolare, la prima disposizione prevede che il giudice fissa l'udienza di comparizione delle partì con decreto con il quale assegna al ricorrente il termine perentorio entro cui notificarlo alle altre parti e al Garante enfasi aggiunta . Premesso che, ai sensi dell'articolo 154-ter, comma 2, D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018, Il Garante è rappresentato in giudizio dall'Avvocatura dello Stato, ai sensi dell'articolo 1 del regio decreto 30 ottobre 1933, numero 1611 e che si applica la norma generale dell'articolo 144 c.p.comma per cui per le amministrazioni dello Stato si osservano le disposizioni che prevedono la notificazione presso gli uffici dell'avvocatura dello Stato , nella specie parte ricorrente doveva notificare il decreto di fissazione dell'udienza non tanto o non soltanto direttamente all'Autorità Garante quanto ed in ogni caso al suo difensore e lege. Peraltro, contrariamente a quanto ritenuto dai ricorrenti, l'articolo 154 ter D.Lgs., 196/2013 richiama e fa proprie le modalità con cui la norma generale dell'articolo 1 r.d. 1611/1933 disciplina la difesa in giudizio delle amministrazioni pubbliche e non vi deroga posto che quest'ultima si applica tanto all'amministrazione che resista, quanto a quella che agisca in giudizio, non si ravvisano ragioni per ritenerla derogata per il Garante per la Protezione dei dati personali. Nella specie, tuttavia, posto che la notifica nel termine assegnato con il decreto di fissazione udienza non risulta, pacificamente, omessa si può fare riferimento al constante insegnamento della Suprema Corte, secondo la quale In tema di notificazioni, qualora l'atto da notificare venga consegnato presso un indirizzo errato, ma all'effettivo destinatario nella specie, una società presso la sua sede la notifica deve ritenersi valida trattandosi di una semplice irregolarità Cassazione civile, Sez. III, sentenza numero 18937 del 31 luglio 2017 nella specie, tale irregolarità è stata sanata dalla costituzione dell'Autorità e nello svolgimento di difese anche nel merito. Sotto tale profilo deve rilevarsi che gli attori domandano salvo rinunciare alla domanda di sanzione nei confronti di , per intervenuta conciliazione. Al fine di dirimere la presente controversia va premesso in diritto che si applicano nel caso di specie il Reg. UE numero 2016/679 c.d. GDPR . L'articolo 2GDPR stabilisce che 1. Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi. 2. Il presente regolamento non si applica ai trattamenti di dati personali c effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico . Per comprendere la portata dell'eccezione di cui all'articolo 2 comma 2, lett. c , è imprescindibile tenere in considerazione il contenuto dal considerando numero 18. Quest'ultimo chiarisce che da un lato, le attività a carattere esclusivamente personale o domestico sono quelle senza una connessione con un'attività commerciale o professionale dall'altro lato, che le attività a carattere personale o domestico potrebbero comprendere la corrispondenza e gli indirizzari, o l'uso dei social network e attività online intraprese nel quadro di tali attività . Pertanto, l'esenzione di cui all'articolo 2, comma 2, lett. c precitato, potrebbe e dovrebbe trovare applicazione unicamente per attività attinenti alla sfera strettamente ed esclusivamente privata e familiare e/o, per l'appunto, domestica . Inoltre, l'articolo 21 del Reg. UE numero 2016/679, stabilisce che il diritto di opposizione al trattamento dei dati personali che lo riguardano non possa essere esercitato dall'interessato qualora il titolare del trattamento dimostri l'esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell'interessato oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria . Secondo il considerando numero 69, è opportuno che incomba al titolare del trattamento dimostrare che i suoi interessi legittimi cogenti prevalgano sugli interessi o sui diritti e sulle libertà fondamentali dell'interessato. Una volta ritenuto, per i motivi di cui sotto, che la registrazione audio de qua integri un trattamento dati cui trova applicazione il GDPR, occorre ora valutare se tale trattamento abbia rispettato i principi di cui all'articolo 5 GDPR, cit. In particolare, la condotta della registrazione - per essere considerata lecita - deve essere eseguita per tutelare la propria posizione all'interno dell'azienda nonché per precostituirsi un mezzo di prova , e a patto che sia pertinente alla tesi difensiva e non eccedente le sue finalità cfr. Cass. sez. lav. numero 12534/2019 . Concludendo, il trattamento di dati personali per finalità di accertamento e/o esercizio di un diritto anche in una fase pre-contenziosa è espressione del legittimo interesse del titolare del trattamento, e, pertanto, in caso di insussistenza di detto interesse, il trattamento deve ritenersi illecito per mancanza di una delle sue basi giuridiche articolo 6, comma 1, lett. f del Reg. UE numero 2016/679 ogni qualvolta il titolare del trattamento opponga all'interessato lo svolgimento di attività difensive a giustificazione di un dato trattamento di dati personali, quest'ultimo deve in ogni caso dimostrare la sussistenza di un contesto litigioso e/o la parvenza di un pregiudizio subito che lo avrebbero in ipotesi portato ad intraprendere trattamenti di dati personali riguardanti l'interessato, e ciò al preteso fine di chiedere la tutela di propri diritti anche in una fase di pre-contenzioso . Nessuno di questi requisiti risulta nella specie soddisfatto. Ed invero, la registrazione ha ad oggetto 1. una riunione di lavoro, tenutasi il 25.11.2016 tra colleghi di lavoro e per la risoluzione di alcune difficoltà organizzative interne all'azienda una riunione aziendale, rectius professionale - per utilizzare le espressioni del Regolamento sopra richiamato 2. fu effettuata da - che all'epoca non poteva vantare esigenze pre difensive nei confronti della datrice di lavoro atte a giustificare la registrazione 3. fu conservata e ceduta non rileva, quando a . e - pacificamente non presentì alla riunione - i quali a distanza di due anni la produssero nelle rispettive cause di lavoro contro la stessa azienda circostanza pacifica e documentale . Quanto al primo aspetto, va rilevato che l'oggetto della riunione è incontroverso e comunque si desume dalla documentazione in atti all. 3 fase di reclamo davanti al Garante . La prova che ad effettuare la registrazione sia stato si desume dagli indici riportati in ricorso e qui fatti propri in particolare dal fatto che all'inizio della registrazione minuti dal 0 04 al 0 29 si sente che il dispositivo di registrazione si muove insieme alla persona che lo porta addosso e che sta camminando si avverte, infatti, la cadenza dei passi - questo induce a ritenere senza possibilità di smentita che non può in alcun caso trattarsi di intercettazione ambientale , vale a dire di una registrazione ottenuta da una terza persona che abbia lasciato il microfono nella stanza e lo abbia poi recuperato in un secondo momento - nel momento in cui inizia la conversazione tra i rappresentanti di ed il sig. con quest'ultimo che si siede minuto 0 48 il rumore di camminamento si arresta. È evidenza del fatto che l'autore della registrazione che porta addosso il registratore si è seduto - quando parlano i rappresentanti di a partire dal minuto 0.50 il rumore della voce è più basso e si avverte la distanza di tali persone dal dispositivo che registra - quando parla il sig. minuti 2 30 e 5 48 e ss, la voce, invece, è registrata con tono decisamente più alto, segno della sua vicinanza al microfono - al termine del colloquio si sente possiamo lasciare andare il signore ? minuti 20 12 e, a questo punto, il sig. si alza e si avvicina alla porta e contestualmente il registratore inizia nuovamente a registrare il rumore proprio del dispositivo che sbatte contro la tasca dei pantaloni o dell'impermeabile si avverte anche la cadenza della camminata e non si avvertono nemmeno più le voci dei dirigenti - questo è evidenza del fatto che la persona che porta addosso il registratore ha ripreso a camminare ed è uscito dalla stanza dove invece erano rimasti a parlare i dirigenti - ad essere uscito è stato il solo sig. mentre i dirigenti di sono usciti in un secondo momento - quando il sig. esce dalla stanza si sente chiaramente il rumore della mano entra nella tasca e schiaccia il tasto di fine registrazione. È dunque evidente che l'autore della registrazione dell'incontro tenutosi in data 25.11.2016, nonché colui che ha divulgato il predetto file ai propri colleghi, è senza ombra di dubbio il Sig. . Detta circostanza è inoltre confermata anche dal Sig. il quale, nel ricorso ex articolo 414 C.P.C. con cui è stato instaurato il procedimento numero 502/2019 R.G. avanti la sezione lavoro di questo Tribunale, espressamente dice quello che la dott. ha promesso nel corso dell'incontro del 25.11.2016 con il cit. pag. 36 del ricorso In realtà l'incontro a quanto risulta solo con uno dei cinque, il sig. Alt cit. pag. 40 del ricorso cfr. ricorso, pp. 13 ss. . A diverse conclusioni non si può giungere alia luce dei dubbi insinuati dalla difesa di sull'attitudine probatoria della dichiarazione di depositata dagli attori nel corso di questo giudizio, posto che anche senza di essa le sopraesposte considerazioni sono sufficienti a ritenere che la registrazione sia stata effettuata di nascosto da . Quanto al terzo profilo, è altrettanto verosimile che essa sia stata quantomeno conservata per utilizzarla a tempo debito o meglio, come accaduto nella specie, per cederla ai colleghi a quel punto impegnati in un loro personale contenzioso con l'azienda ma non presenti alla riunione cfr, doccomma 2-4-5 fascicolo reclamo Garante . Ebbene per come si sono svolti i fatti, appare evidente che i convenuti odierni hanno violato i principi di cui all'articolo 5 GDPR, a mente del quale articolo 5 GDPR 7 dati personali sono b raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità un ulteriore trattamento dei dati personali a fini dì archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all'articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali limitazione della finalità . La loro condotta, desumibile dai documenti depositati, è infatti esterna al perimetro della liceità sia per quanto riguarda la mancanza di una propria esigenza difensiva, sia con riferimento al difetto della pertinenza, sul piano temporale, dei tempi di conservazione dei dati a quanto strettamente necessario alla propria difesa. Le domande attoree sono pertanto fondate e vanno accolte, nei termini di cui al dispositivo. In particolare, quanto alle sanzioni in confronti di e avendo i ricorrenti rinunciato alla relativa domanda verso , devono richiamarsi i criteri di quantificazione previsti dall'articolo 83 GDPR la natura, gravità e durata della violazione - il carattere doloso o colposo della violazione - il grado di cooperazione con l'autorità di controllo al fine di porre rimedio alla violazione e attuarne i possibili effetti negativi , di talché appare appropriato per ciascuno di essi comminare la sanzione di Euro 5000,00. Le spese processuali seguono la soccombenza e devono essere liquidate come da dispositivo, tenuto conto delle caratteristiche, dell'urgenza e del pregio dell'attività prestata, dell'importanza, della natura, della difficoltà e del valore indeterminabile medio dell'affare, delle condizioni soggettive del cliente, dei risultati conseguiti, del numero e della complessità delle questioni giuridiche e di fatto trattate articolo 1 d.m. 13 marzo 2014 numero 55, pubblicato sulla G.U. numero 77 del 2.4.2014 . P.Q.M. Il Tribunale, definitivamente pronunciando sulla domanda proposta, ogni diversa istanza, eccezione e difesa disattesa e respinta, - accerta l'illegittimità dei provvedimento dell'Autorità garante per la protezione dei dati personali del 17.6.2019 numero prot. 21028/136495 - accerta l'illiceità dei trattamenti posti in essere dai Sig.ri e - per l'effetto, ordina ai convenuti la cancellazione e/o distruzione dei file audio contenente la registrazione della riunione del 25.11.2016, nonché la notificazione di tali misure ad altri ulteriori eventuali destinatari dello stesso, ex articolo 58, comma 2, lettera g , del Reg. UE numero 2016/679 - commina a e la sanzione pecuniaria ex articolo 58, comma 2, lettera i e articolo 83, Reg. UE numero 2016/679 nella misura di Euro 5000,00 ciascuno - condanna i resistenti in solido tra loro a rimborsare ai ricorrenti, parimenti in solido, le spese processuali, che liquida in € 3000,00 per la fase di studio della controversia, Euro 2000,00 per la fase introduttiva del giudizio, Euro 3000,00 per la fase decisionale, oltre spese generali ex articolo 2 d.m. 55/14 al 15%, I.V.A. e C.P.A. come per legge.