Stimolata dalla denuncia di alcuni dipendenti, l’attività ispettiva condotta dal Garante acclarava come la società cooperativa avesse ideato un particolare “concorso a premi”, riservato ai soli soci lavoratori: previa somministrazione ed adesione all’apposito regolamento, al momento dell’assunzione della qualità di socio lavoratore, la fotografia ed il nominativo dei partecipanti veniva inserito in un cartellone, affisso su di una bacheca collocata nei locali aziendali; accanto ad ogni nominativo era posta, con frequenza settimanale, una “faccina” (cioè i cd. “smiles”, tipici delle applicazioni di messaggistica istantanea quale Whatsapp) espressiva delle valutazioni della dirigenza sulla qualità della prestazione lavorativa resa, e decodificabile grazie ad un apposito “faccinario” (cioè una sorta di legenda dei simboli); formavano altresì oggetto di menzione sulla bacheca l’instaurazione di procedimenti disciplinari a carico dei partecipanti, nonché i provvedimenti conclusivi dei medesimi. Il montepremi messo in palio per i vincitori del “concorso” risultava formato mediante la trattenuta, dalla busta paga dei soci lavoratori, di una modica somma di denaro.

La società replicava alle deduzioni della difesa dei lavoratori – che aveva denunciato lo stato di “costante allarme” che siffatta esposizione della propria condotta provocava nei suoi assistiti, perennemente esposti alla possibilità di essere pubblicamente giudicati – sostenendo l’adesione volontaria dei partecipanti al concorso, e pertanto la manifestazione del consenso al trattamento di dati personali consistente nella pubblicazione in bacheca di informazioni e giudizi relativi la propria performance. La società sottolineava altresì la legittimità della finalità sottesa al concorso, declinata nella “incentivazione dei dipendenti al raggiungimento degli obiettivi di qualità ed efficienza dei servizi resi alla clientela”.

Nel provvedimento in discorso, il Garante della Protezione dei Dati Personali ha ritenuto che il trattamento effettuato dalla società cooperativa in qualità di titolare, e consistente nella comunicazione in bacheca di contestazioni disciplinari e delle valutazioni espresse settimanalmente dalla dirigenza in ordine a ciascun socio lavoratore configurasse un trattamento illecito, perché difforme rispetto alle prescrizioni degli artt. 5, 6 e 7 del GDPR. Secondo il giudizio dell’Ufficio, nessun consenso poteva dirsi validamente prestato, poiché l’adesione al concorso – e, di conseguenza, il consenso al correlato trattamento di dati personali – era prevista come obbligatoria per i soci lavoratori da apposito regolamento aziendale; ad ogni buon conto, la condotta datoriale risultava indebitamente lesiva della dignità, della libertà e della riservatezza dei lavoratori, perché consistente nella costante sottoposizione delle “valutazioni sulla qualità del lavoro effettuato e sulla correttezza della prestazione” all’osservazione dei colleghi senza che ciò potesse dirsi effettuato “con modalità adeguate e pertinenti” rispetto al dichiarato fine di incentivare le prestazioni del personale. In conseguenza, il Garante ha vietato l’ulteriore trattamento e ingiunto alla società cooperativa di comunicare, entro 30 giorni, le iniziative intraprese al fine di dare attuazione a quanto vietato nel provvedimento.