Federazione Sindacati Indipendenti

Verifica preliminare: trattamento di dati personali connesso ad un sistema di valutazione dei dipendenti

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

 

Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale;

Esaminata la richiesta di verifica preliminare presentata da Heinz Italia S.p.A. ai sensi dell’art. 17 del d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali);

Visto il provvedimento del 23 novembre 2006, recante le “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati” (doc. web n. 1364939);

Esaminata la documentazione acquisita agli atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Mauro Paissan;

PREMESSO

1. Trattamento di dati personali connesso ad un sistema di valutazione dei dipendenti.
1.1. Heinz Italia S.p.A., società che effettua servizi amministrativi, legali e contabili per le società controllate Plada Industriale s.r.l. e Plasmon Dietetici Alimentari s.r.l. (nonché responsabile anche per queste ultime di tutti gli adempimenti connessi all’attuazione della disciplina in materia di protezione dei dati personali), intende adottare, unitamente alle predette società, uno strumento denominato “Heinz 360 Feed-back” “volto all’introduzione di un nuovo modello di competenze aziendali”, basato sul riscontro (c.d. feed-back) fornito “da tutti gli interlocutori con cui i dipendenti stessi si interfacciano (colleghi, superiore diretto, fornitori, clienti, ecc.)”.

Il feed-back, che prevede anche un’autovalutazione da parte dei soggetti interessati (prevalentemente “dirigenti, quadri e 1° livelli”), viene reso “compilando un apposito form informatico che prevede una scala di valutazione dei comportamenti della persona valutata e come questi impattano sulla sua efficacia”. Secondo quanto riferito, “la scala di valutazione parte dal considerare il comportamento un’area di miglioramento della persona (minimo) ed arriva a considerarla un’area di forza (massimo)”.

I form informatici, per come rappresentati dalla società, concernono tre macroaree (“la guida di se stessi”; “la guida degli altri”; “la guida del business”), al cui interno sono ricomprese alcune sottoaree (ad esempio, per “la guida di se stessi”: 1) “possiede attitudine a poter fare”; 2) “dimostra responsabilità e integrità”; 3) “comunica bene”; 4) “costruisce relazioni forti”), a loro volta comprensive di alcuni “indicatori comportamentali” (ad esempio, per “possiede attitudine a poter fare”: 1) “ha una passione per la vittoria”; 2) “agisce con ottimismo”; 3) “mostra lo spirito imprenditoriale”; 4) “supera gli ostacoli”; 5) “insegna e impara continuamente”; 6) “abbraccia il cambiamento”).

Al fine di assicurare la massima “serenità” nei soggetti chiamati a rendere il feed-back (permettendo così alla società di acquisire riscontri scevri da possibili condizionamenti), verrebbero adottate misure volte a garantire l’anonimato dei partecipanti all’iniziativa.

I feed-back resi per via telematica verrebbero successivamente elaborati per il tramite di una società esterna (ubicata negli Stati Uniti e aderente al “Safe Harbour”) ritualmente designata quale responsabile del trattamento ai sensi dell’art. 29 del Codice, previa acquisizione del consenso informato degli interessati, tra l’altro, al trasferimento dei loro dati personali all’estero.

I dati acquisiti dal sistema verrebbero quindi “sintetizzati” in forma aggregata in un report finale reso disponibile al superiore diretto dell’interessato, oltre che a quest’ultimo, onde fornire al lavoratore “una visione di insieme che può aiutarlo anche a capire come gli altri lo percepiscono ed a correlarla alla sua auto percezione”. Tali dati aggregati verrebbero inoltre resi accessibili ai dipendenti della funzione “Risorse Umane” autorizzati a trattarli nell’ambito dello “svolgimento delle operazioni legate alla attività di gestione e sviluppo del personale” in qualità di incaricati del trattamento.

Secondo le precisazioni rese, il report finale (privo dei feed-back specifici che lo hanno generato) verrebbe inserito nella cartella personale del dipendente e utilizzato per “delineare la performance di periodo dello stesso”: lo strumento, in prospettiva, sarebbe quindi utilizzabile anche in collegamento con “il processo di valutazione annuale che prevede un incentivo individuale” in favore del personale ritenuto meritevole.

I dati –peraltro circoscritti ad un numero di dipendenti “pari a circa 20 unità per anno” su un totale approssimativo di mille lavoratori – sarebbero conservati dalla società per un arco temporale di due anni “al fine di poter confrontare il risultato dell’anno in corso con quello dell’anno precedente”.
Considerato che il trattamento che si intende svolgere è stato ritenuto comportare rischi specifici per gli interessati (tenuto anche conto della peculiarità dello strumento utilizzato), Heinz Italia S.p.A. ha presentato all’Autorità, anche nell’interesse delle proprie controllate, specifica istanza di verifica preliminare ai sensi dell’art. 17 del Codice.

1.2. Il sistema, alla luce degli elementi forniti, sarebbe “collegato alla preliminare e formale fissazione”, in base a “specifiche dinamiche di tipo contrattuale” individualmente concordate tra il dipendente e il suo diretto superiore, “di obiettivi da raggiungere in un arco temporale prefissato” (cfr. nota del 2 agosto 2010). Il perseguimento di tali obiettivi comporterebbe la successiva eventuale attivazione di un “meccanismo incentivante legat[o] ai risultati di performance raggiunti” (cfr. anche la mail del 24 febbraio 2010, allegata all’istanza del 12 marzo 2010, secondo cui “il livello di performance potrebbe impattare sulle decisioni di compensazione premiante individuale”; v. altresì il testo dell’informativa predisposta dalla società, da cui emerge che “lo strumento potrà essere utilizzato anche a supporto del processo di valutazione delle performance dei dipendenti”).

Tale sistema risulterebbe peraltro configurato, a detta della società, nell’interesse degli stessi dipendenti (in termini non solo di crescita economica, ma anche professionale) perché permetterebbe, tra l’altro, “di comprendere meglio gli obiettivi aziendali e come poter dare il proprio contributo per il loro raggiungimento, di orientarsi nello svolgimento delle attività, di comprendere le proprie aree di forza e di miglioramento”.

In base alle dichiarazioni rese, i presupposti che giustificherebbero il trattamento correlato al sistema in esame sarebbero per lo più rinvenibili, oltre che nelle citate dinamiche di tipo contrattuale, “nell’acquisizione per iscritto del consenso –avente natura facoltativa– da parte dell’interessato, previa […] adeguata informativa ai sensi dell’art. 13 del Codice” (cfr. nota del 27 maggio 2010).

Titolare del trattamento, secondo quanto riferito, sarebbe Heinz Italia S.p.A., unitamente alle contitolari Plada Industriale s.r.l. e Plasmon Dietetici Alimentari s.r.l., in qualità di società deleganti l’esecuzione di tutti gli adempimenti in materia di protezione dei dati personali alla società controllante. Tanto si evince sia dalle dichiarazioni rese in sede istruttoria che dall’informativa prodotta in atti.

Sia la società controllante che le società controllate, in relazione agli autonomi trattamenti dalle stesse effettuati, risultano aver già ritualmente provveduto alla notifica del trattamento ai sensi dell’art. 37 del Codice.

A corredo dell’istanza, è stata prodotta documentazione relativa, in particolare, a:

a) i form con i quali dipendenti e superiori condividono gli obiettivi annuali (e ai quali è poi collegato il processo di valutazione);

b) i feed-back con relativi rapporti di sintesi;

c) l’informativa predisposta per i dipendenti che intendono partecipare all’iniziativa e la richiesta di acquisizione di un consenso specifico e separato al trattamento dei loro dati personali e al loro trasferimento temporaneo negli Stati Uniti;

d) la copia di un modulo concernente gli obiettivi da concordare a livello individuale con il proprio manager.

2. Presupposti di liceità del trattamento.
2.1. La richiesta di verifica preliminare formulata da Heinz Italia S.p.A., anche a vantaggio di Plada Industriale s.r.l. e Plasmon Dietetici Alimentari s.r.l., ha ad oggetto il trattamento di dati personali dei lavoratori utilizzati nell’ambito del sistema denominato “Heinz 360 Feed-back” per finalità di valutazione del personale e per l’eventuale erogazione di incentivi economici.

Tale trattamento, tenuto conto degli elementi complessivamente acquisiti agli atti, non risulta allo stato illecito e sproporzionato per le ragioni di seguito evidenziate.
Sulla base delle dichiarazioni rese dalla società (la cui eventuale mendacità può determinare l’insorgenza di responsabilità penale ai sensi dell’art. 168 del Codice), deve rilevarsi, in via preliminare, che il trattamento che si intende effettuare trova la propria ragion d’essere, tra l’altro, nelle “specifiche dinamiche di tipo contrattuale” concordate tra il singolo lavoratore e il suo diretto superiore, volte a consentire –nell’interesse degli stessi dipendenti, oltre che a vantaggio della società– una valutazione “a tutto tondo” dei lavoratori, anche nella prospettiva di corrispondere loro eventuali emolumenti economici (cfr., a tale ultimo proposito, la nota del 12 marzo 2010 e la mail ivi allegata del 24 febbraio 2010).

Inoltre, il trattamento in esame, peraltro limitato nel numero dei soggetti coinvolti (“pari a circa 20 unità per anno” su un totale approssimativo di mille lavoratori), sarà effettuato solo con il consenso espresso degli interessati, liberamente acquisito in relazione a tale specifica tipologia di trattamento; peraltro, un eventuale diniego da parte del lavoratore non necessariamente si tradurrebbe per quest’ultimo in un sacrificio di natura economica, atteso che il collegamento tra il processo di valutazione del dipendente e l’utilizzo del sistema in esame è meramente eventuale (“”alla Heinz 360 feedback” potrebbe essere collegato anche il processo di valutazione annuale”: cfr., in particolare, la nota del 12 marzo 2010).

Deve infine rilevarsi che le società coinvolte nell’iniziativa, in quanto destinatarie della sola reportistica “sintetica”, avranno accesso ai soli dati “aggregati” riferiti al singolo lavoratore (“il report finale –consegnato alla nostra società da parte della [società esterna che gestisce il software]– contiene solo il dato aggregato”); le stesse, pertanto, non avranno possibilità di visionare i singoli feed-back, oggetto di acquisizione ad opera della sola società esterna.

Il trattamento in questione, individuato nei termini sopra descritti, in base alle vigenti disposizioni in materia di protezione dei dati personali dovrà avvenire con modalità rispettose dei diritti e delle libertà fondamentali, nonché della dignità degli interessati (art. 2, 1° comma del Codice) e dovrà essere svolto, in ogni caso, in conformità all’art. 11, comma 1, lett. a) del medesimo Codice.

Pertanto, ove concretamente osservate anche le prescrizioni di cui all’art. 14 del Codice e all’art. 8 della l. n. 300/1970 (che vieta al datore di lavoro di effettuare indagini, tra l’altro, su fatti non rilevanti ai fini della valutazione dell’attitudine professionale dei lavoratori), le società potranno lecitamente trattare i dati personali dei propri dipendenti per la finalità dichiarata.

Resta inteso che i dati personali dei lavoratori trattati per il tramite dello strumento in esame, nel rispetto di quanto previsto dall’art. 11, comma 1. lett. e), del Codice, potranno essere conservati fino al confronto del risultato dell’anno oggetto di esame con quello dell’anno precedente e, comunque, non oltre il termine indicato di due anni.

TUTTO CIÒ PREMESSO IL GARANTE

a) a conclusione della verifica preliminare relativa all’utilizzo dello strumento denominato “Heinz 360 Feed-back” che Heinz Italia S.p.A. intende adottare, unitamente alle proprie controllate Plada Industriale s.r.l. e Plasmon Dietetici Alimentari s.r.l., per finalità connesse alla valutazione di alcune tipologie di dipendenti, prende atto del trattamento di dati personali oggetto delle dichiarazioni rese, che dovrà essere effettuato anche nel rispetto delle prescrizioni di cui all’art. 14 del Codice e all’art. 8 della l. n. 300/1970;

b) i dati acquisiti potranno essere conservati fino al confronto del risultato dell’anno oggetto di esame con quello dell’anno precedente e, comunque, non oltre il termine indicato di due anni (art. 11, comma 1, lett. e), del Codice).

Roma, 4 novembre 2010

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
De Paoli