Privacy: le regole per i datori di lavoro

Alla fine di luglio sono state pubblicate in Gazzetta Ufficiale le indicazioni fornite dal Garante per la privacy in materia di trattamento dei dati sensibili dei lavoratori da parte delle aziende. Le prescrizioni  sono contenute nel provvedimento n.146 2019 che cerca di armonizzare il regolamento 679 2016  (GDPR appena recepito in Italia con il decreto 101 2018), con la normativa previgente in materia . Da notare che esse sono da rispettare fin dal momento delle selezioni e dei colloqui per l'assunzione.  

Viene anche precisato che i dati sensibili sono oggi definiti "particolari" nella nuova normativa. 

Il provvedimento del Garante per la privacy specifica quali sono i limiti che i datori di lavoro non possono superare nella richiesta e nella successiva gestione e conservazione di dati personali dei lavoratori .

Si occupa anche della possibilità di accesso a tali dati da parte di investigatori privati in caso di indagini per far valere i diritti propri dell'azienda  (ma mai, ricordiamo,  per verificare l'adempimento della prestazione lavorativa). 

1) Privacy lavoratori: chi sono gli interessati?

Il provvedimento  si  applica  nei  confronti  di  tutti coloro che, a vario titolo (titolare/responsabile  del  trattamento), gestiscono rapporti di lavoro,  quindi :

 a) agenzie per il lavoro e altri soggetti che svolgono,  attivita'   di  intermediazione, ricerca e selezione del personale  o  supporto  alla  ricollocazione professionale ivi  compresi  gli  enti  di  formazione

b) persone fisiche e giuridiche, imprese, anche sociali,  enti,  associazioni e organismi che sono parte di un rapporto  di  lavoro  o che comunque  conferiscono  un  incarico  professionale
 c) organismi paritetici o che gestiscono osservatori in materia  di lavoro,
 d)  rappresentanti  dei  lavoratori  per  la  sicurezza, 
 e) consulenti del lavoro;
 f) associazioni, organizzazioni, federazioni  o  confederazioni  rappresentative di categorie di datori di lavoro
g) medici competenti in  materia  di  salute  e  sicurezza  sul  lavoro, 
  

Attenzione: per quanto riguarda invece il termine lavoratori,   si devono intendere non solo lavoratori dipendenti . Il provvedimento specifica infatti le seguenti categorie:
      a) candidati all'instaurazione dei rapporti di lavoro, anche in  caso di curricula spontaneamente trasmessi dagli interessati ai  fini  dell'instaurazione  di  un  rapporto  di  lavoro 
      b) lavoratori subordinati,
      c) consulenti e liberi professionisti, agenti, rappresentanti e  mandatari;
      d collaboratori e  lavoratori   autonomi  
      e) persone  fisiche  che  ricoprono  cariche  sociali  o  altri incarichi nelle persone giuridiche, negli enti, nelle associazioni 

Infine sono soggetti i cui dati vanno tutelati allo stesso modo anche : 

•        terzi danneggiati nell'esercizio dell'attivita' lavorativa o  professionale;
•        terzi (familiari o  conviventi  dei  soggetti  di  cui  alle  precedenti lettere  b)  e  d)  per  il  rilascio  di  agevolazioni  e  permessi.

2) Privacy lavoratori: per quali fini si possono trattare dati personali?

Il trattamento delle categorie particolari di dati  personali  puo essere   effettuato solo se necessario (art. 9, paragrafo 2,  del  regolamento  UE 2016/679):
      a) per adempiere  o  per  esigere  l'adempimento  di  specifici  obblighi  previsti  dalla  normativa UE, nazionale, contratti collettivi  anche  aziendali, o per ottenere agevolazioni  o  contributi,

      b) ai fini della  tenuta  della contabilita'  o  della  corresponsione  di  stipendi, 
      c) per  perseguire  finalita'  di  salvaguardia  della  vita  o  dell'incolumita' fisica del lavoratore o di un terzo;
      d) per far valere o difendere un diritto, anche da parte di  un  terzo, in sede giudiziaria o amministrativa   sempre che i dati siano trattati esclusivamente  per tali finalita' e per il periodo strettamente necessario  al  loro  perseguimento;  il  trattamento  di  dati  personali  effettuato  per  finalita' di tutela dei propri diritti in giudizio deve  riferirsi  a  contenziosi in atto o a situazioni precontenziose); 
      e)  per  la copertura  dei  rischi  connessi  alla responsabilita' del datore di lavoro in materia di salute e sicurezza  del lavoro e di malattie professionali o  per  i  danni  cagionati  a  terzi 
      f) per garantire le pari opportunita' nel lavoro;
      g) per perseguire scopi  determinati  e  legittimi  individuati dagli  statuti  di  associazioni,   e organizzazioni    rappresentative di categorie di datori di lavoro. 

3) Privacy lavoratori: quali sono i dati sensibili o particolari?

Va ricordato che nel Regolamento 679 2016  viene definito come "dato personale": qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come:

• il nome,
• un numero di identificazione,
• dati relativi all’ubicazione,
• un identificativo online
• uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.

Il Garante per la privacy specifica che : "particolarmente importanti sono:

• i dati che permettono l'identificazione diretta - come i dati anagrafici (ad esempio: nome e cognome), le immagini, ecc. - e i dati che permettono l'identificazione indiretta, come un numero di identificazione (ad esempio, il codice fiscale, l'indirizzo IP, il numero di targa);

• i dati rientranti in particolari categorie: si tratta dei dati c.d. "sensibili", cioè quelli che rivelano l'origine razziale od etnica, le convinzioni religiose, filosofiche, le opinioni politiche, l'appartenenza sindacale, relativi alla salute o alla vita sessuale. Il Regolamento (UE) 2016/679 (articolo 9) ha incluso nella nozione anche i dati genetici, i dati biometrici e quelli relativi all'orientamento sessuale;

• i dati relativi a condanne penali e reati: si tratta dei dati c.d. "giudiziari", cioè quelli che possono rivelare l'esistenza di determinati provvedimenti giudiziari soggetti ad iscrizione nel casellario giudiziale o la qualità di imputato o di indagato. Il Regolamento (UE) 2016/679 (articolo 10) ricomprende in tale nozione i dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza.

4) Privacy lavoratori: esempi

PRIMA DELL'ASSUNZIONE 

• I questionari usati durante le selezioni devono riguardare solo dati necessari e correlati alla posizione aperta (profilo e mansioni)
• I dati sensibili possono essere richiesti solo se necessari per la collocazione al lavoro (ad se. nel caso di  persone disabili )
•  i dati genetici non possono essere utilizzati  per stabilire l’idoneità professionale del lavoratore  neanche con il suo consenso .
• i cadidati all'assunzione devono ricevere  un’apposita informativa  che chiarisca le finalità della raccolta dati; i  destinatari il periodo di conservazione dei dati;
  Identità e dati di contatto del titolare del trattamento  o  suo rappresentante; 
  Esistenza di un processo decisionale automatizzato.
  Il Regolamento UE impone di rendere l’informativa nel momento in cui si ottengono i dati personali e prima del loro trattamento. 

DURANTE IL RAPPORTO DI LAVORO

• Informazioni sensibili come quelle relative al credo religioso sono trattabili solo  se servono a chiedere-giustificare permessi o assenze  o  richieste particolari relative al servizio mensa.
• Informazioni su  opinioni sindacali possono essere trattate solo in relazione a richieste di  aspettativa sindacale o per l'esercizio dei relativi diritti sindacali in azienda  .
• In tema di opinioni politiche nel caso di richieste di permessi elettorali, non potrà  essere richiesto il documento che designa il rappresentante di lista  ma sarà sufficiente la certificazione del presidente di seggio.
• Se si usa un documento cartaceo, questo dovrà essere trasmesso in plico chiuso,.
• I documenti che contengano dati particolari da trasmettere ad altri uffici devono contenere solo le informazioni necessarie per lo svolgimento dell’attività.
• Quando per motivi organizzativi  i dati su presenze o assenze  sono a disposizione di soggetti diversi , non devono essere rese note  le ragioni dell’assenza ma solo il loro dato numerico.
• Il trattamento dei dati personali riguardanti condanne penali è ammesso solo se autorizzato da una norma di legge, da un regolamento o decreto del Ministro della Giustizia.  o da un provvedimento del Garante in cui siano indicate le finalità di rilevante interesse pubblico . Ad oggi in mancanza di normativa  specifica  è possibile solo per l’adempimento di obblighi di legge in materia di diritto del lavoro, ad esempio per il  certificato penale obbligatorio per chi ha contatti diretti e regolari con minori.