Di seguito una una breve nota espositiva dei contenuti del provvedimento n. 146 adottato dal Garante della privacy il 5 giugno 2019 (pubblicato in G.U. il 29 luglio u.s.), relativo alle modalità di trattamento di categorie particolari di dati personali ai fini del rapporto di lavoro.
Le prescrizioni, rivolte anzitutto ai datori di lavoro, dettano precise istruzioni operative rispetto alle finalità, ai limiti ed alle modalità concernenti l’acquisizione di particolari tipi di informazioni che riguardano tanto i candidati al lavoro, quanto i dipendenti.
***
Attraverso il recente provvedimento n. 146, pubblicato in G.U. lo scorso 29 luglio, il Garante della privacy ha definito le modalità di trattamento di categorie particolari di dati personali (ovvero, ai sensi dell’art. 9 GDPR, quei dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché dati genetici, dati biometrici [1] intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona) ai fini del rapporto di lavoro.
Le nuove prescrizioni si rivolgono ai soggetti che, in qualità di titolari o responsabili del trattamento, debbano acquisire dati sensibili ai fini dell’ instaurazione, gestione od estinzione del rapporto lavorativo.
In particolare, ai sensi dell’art. 1 dell’allegato 1, il provvedimento si applica a:
- Agenzie per il lavoro e altri soggetti che svolgono attività di intermediazione, ricerca e selezione del personale, o supporto alla formazione professionale;
- Persone fisiche e giuridiche, imprese (anche sociali) che utilizzano prestazioni lavorative;
- Organismi paritetici o che gestiscono osservatori in materia di lavoro;
- Rappresentanti dei lavoratori per la sicurezza;
- Soggetti che curano gli adempimenti in materia di lavoro, di previdenza ed assistenza sociale e fiscale nell’interesse di altri soggetti che sono parte di un rapporto lavorativo;
- Associazioni, organizzazioni, federazioni rappresentative di categorie di lavoratori;
- Medico competente in materia di salute e sicurezza sul lavoro, quale libero professionista o dipendente del datore di lavoro o di strutture convenzionate.
I dati personali oggetto della presente disciplina devono poi riguardare:
a) candidati all’instaurazione dei rapporti di lavoro;
b) lavoratori subordinati, anche se parti di un contratto di apprendistato, di formazione, a termine, di lavoro intermittente, di lavoro occasionale ovvero praticanti per l’abilitazione professionale, ovvero prestatori di lavoro nell’ambito di un contratto di somministrazione di lavoro, o in rapporto di tirocinio, ovvero ad associati anche in compartecipazione;
c) consulenti e liberi professionisti, agenti, rappresentanti e mandatari;
d) soggetti che svolgono collaborazioni organizzate dal committente, o altri lavoratori autonomi in rapporto di collaborazione, anche sotto forma di prestazioni di lavoro accessorio;
e) persone fisiche che ricoprono cariche sociali o altri incarichi nelle persone giuridiche, negli enti, nelle associazioni e negli organismi indicati nel precedente punto 1.1.;
f) terzi danneggiati nell’esercizio dell’attività lavorativa o professionale;
g) terzi (familiari o conviventi dei soggetti di cui alla precedente lett. b) e d) per il rilascio di agevolazioni e permessi.
Il titolare del trattamento può, inoltre, acquisire dati c.d. “sensibili” soltanto ove ciò sia necessario a soddisfare le seguenti finalità:
a) adempiere o esigere l’adempimento di specifici obblighi legati all’instaurazione, gestione od estinzione del rapporto lavorativo; ottenere il riconoscimento di agevolazioni o l’erogazione di contributi; applicare la normativa in materia di previdenza ed assistenza, ovvero in tema di igiene e sicurezza del lavoro, nonché in materia fiscale e sindacale;
b) tenuta della contabilità o della corresponsione di stipendi, assegni, premi, altri emolumenti, liberalità o benefici accessori;
c) salvaguardia della vita o dell’incolumità fisica del lavoratore o di un terzo;
d) far valere o difendere un diritto, anche da parte di un terzo, in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di conciliazione;
e) adempiere ad obblighi derivanti da contratti di assicurazione finalizzati alla copertura dei rischi connessi alla responsabilità del datore di lavoro in materia di salute e sicurezza del lavoro e di malattie professionali o per i danni cagionati a terzi nell’esercizio dell’attività lavorativa o professionale;
f) assicurare le pari opportunità nel lavoro;
g) perseguire gli scopi individuati da statuti di associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro o dai contratti collettivi, in materia di assistenza sindacale ai datori di lavoro.
Il provvedimento adottato dal Garante privacy, poi, limita il trattamento dei dati a seconda che questo venga svolto nella fase preliminare alle assunzioni, ovvero in corso di esecuzione del rapporto.
In particolare, prima dell’assunzione, le agenzie per il lavoro e gli altri intermediari possono trattare dati riguardanti lo stato di salute e l’origine etnico-razziale dei candidati soltanto allo scopo di instaurare un rapporto di lavoro.
In fase precontrattuale, inoltre, i dati (acquisiti tramite questionari inviati ai candidati o da questi ultimi inseriti spontaneamente nei curricula) devono riguardare le sole informazioni strettamente pertinenti e necessarie, anche tenuto conto delle particolari mansioni e/o delle specificità dei profili professionali richiesti.
Qualora, invece, il datore debba trattare dati sensibili del dipendente nel corso del rapporto lavorativo, deve tener presente che:
- le informazioni che rivelano orientamenti filosofico-religiosi del lavoratore possono essere trattate soltanto per la fruizione di permessi, in occasione di festività religiose o per la fruizione del servizio mensa;
- le informazioni circa opinioni politiche o sindacali del lavoratore possono essere trattate soltanto per concedere permessi o aspettativa, ovvero per l’esercizio dei diritti sindacali;
- qualora un dipendente partecipi ad operazioni elettorali quale rappresentante di lista, non può trattare dati che ne rivelino opinioni politiche.
Quanto alle modalità di trattamento, viene poi previsto che:
- i dati sensibili devono essere raccolti, di regola, presso l’interessato;
- tutte le comunicazioni riguardanti dati sensibili devono essere rivolte al relativo titolare (ovvero a un delegato); tali trasmissioni possono avvenire in forma scritta (documento cartaceo in busta chiusa, con firma per ricevuta) o per e-mail;
- qualora i documenti contenenti dati sensibili vadano trasmessi ad altri uffici o funzioni della stessa struttura organizzativa, devono contenere le sole informazioni necessarie allo svolgimento della funzione;
- se, per ragioni legate all’organizzazione del lavoro (per esempio, calendarizzazione dei turni), i dati riguardanti le assenze devono essere divulgati a più colleghi, tali informazioni devono riportare solo il giorno di assenza e non la causa (es. malattia, aspettativa, etc. ….).
[1]Definiti dall’art. 4, n. 14, GDPR, come i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici.
