Author Archives: Gennaro Sfera

È stato pubblicato sulla Gazzetta Ufficiale n. 176 del 29/07/2019 il Provvedimento del Garante Privacy n. 146/2019 ricognitivo delle prescrizioni contenute nelle previgenti autorizzazioni generali per il trattamento dei dati sensibili.

Il provvedimento contiene le regole per il trattamento di categorie particolari di dati personali, vale a dire i dati che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale di una persona (art. 9 del GDPR).

In particolare, le nuove prescrizioni riguardano:
1. il trattamento di categorie particolari di dati personali nei rapporti di lavoro (allegato 1 al provvedimento);
2. il trattamento di categorie particolari di dati personali da parte degli organismi di tipo associativo (allegato 2 al provvedimento);
3. il trattamento di categorie particolari di dati personali da parte degli investigatori privati (allegato 3 al provvedimento);
4. il trattamento di dati genetici (allegato 4 al provvedimento);
5. il trattamento di dati personali per scopi di ricerca scientifica (allegato 5 al provvedimento).

Con riferimento all’ambito di applicazione, il provvedimento precisa che esso non riguarda il trattamento dei dati giudiziari. Infatti, l’autorizzazione generale sul trattamento dei dati giudiziari (cd. Autorizzazione generale n. 7) non rientra tra i trattamenti per i quali è stata prevista la ricognizione (art. 21 del D.Lgs n.101/2018) e le sue disposizioni hanno cessato di produrre effetti a partire dal 19 settembre 2018.

Infine, il provvedimento specifica che ai sensi dell’art. 21, co. 5 del D.Lgs n. 101/2018, la violazione delle prescrizioni in esso contenute è soggetta alla sanzione amministrativa pecuniaria di cui all’art. 83, par. 5 del GDPR (fino a 20.000.000 o fino al 4% del fatturato mondiale annuo).

Di seguito, una sintesi delle disposizioni per il trattamento di categorie particolari di dati personali nei rapporti di lavoro di cui all’allegato n. 1 al provvedimento.

Le disposizioni sui trattamenti di particolari categorie di dati in ambito lavoristico si applicano a tutti coloro che, a vario titolo (titolare o responsabile del trattamento), trattano dati per finalità di instaurazione, gestione ed estinzione del rapporto di lavoro. In particolare, esse riguardano:

1. i soggetti che svolgono, nell’interesse di terzi, attività di intermediazione, ricerca e selezione del personale o supporto alla ricollocazione professionale;
2. tutti i soggetti che sono parte di un rapporto di lavoro o che utilizzano prestazioni lavorative anche atipiche, parziali o temporanee;
3. organismi paritetici o che gestiscono osservatori in materia di lavoro, previsti dalla normativa dell’Unione europea, dalle leggi, dai regolamenti o dai contratti collettivi anche aziendali;
4. rappresentante dei lavoratori per la sicurezza, anche territoriale e di sito;
5. consulenti del lavoro;
6. associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro, al solo fine di perseguire scopi determinati e legittimi individuati dagli statuti di associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro o dai contratti collettivi in materia di assistenza sindacale ai datori di lavoro;
7. medico competente in materia di salute e sicurezza sul lavoro, che opera in qualità di libero professionista o di dipendente del datore di lavoro o di strutture convenzionate.

Quanto agli interessati, vale a dire le persone fisiche sui si riferiscono i dati personali, il provvedimento copre:
a) i candidati all’instaurazione dei rapporti di lavoro, anche in caso di CV spontaneamente inviati;
b) i lavoratori, i collaboratori, i familiari o i loro conviventi;
c) i consulenti e i liberi professionisti, gli agenti, i rappresentanti e i mandatari;
d) le persone fisiche che ricoprono cariche sociali o altri incarichi;
e) i terzi danneggiati nell’esercizio dell’attività lavorativa o professionale;
Quanto alle finalità, il provvedimento considera i trattamenti effettuati:
1. per adempiere o per esigere l’adempimento di specifici obblighi o per eseguire specifici compiti previsti dalla normativa dell’Ue, da leggi, da regolamenti o da contratti collettivi anche aziendali, in particolare ai fini dell’instaurazione, gestione ed estinzione del rapporto di lavoro, nonché del riconoscimento di agevolazioni ovvero dell’erogazione di contributi, dell’applicazione della normativa in materia di previdenza e assistenza anche integrativa, o in materia di igiene e sicurezza del lavoro, nonché in materia fiscale e sindacale;

2. in conformità alla legge e per scopi determinati e legittimi, ai fini della tenuta della contabilità o della corresponsione di stipendi, assegni, premi, altri emolumenti, liberalità o benefici accessori;
3. per perseguire finalità di salvaguardia della vita o dell’incolumità fisica del lavoratore o di un terzo;
4. per far valere o difendere un diritto, anche da parte di un terzo, in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di conciliazione. Sul punto, viene precisato che la finalità di tutela dei propri diritti in giudizio deve riferirsi a contenziosi in atto ovvero a situazioni precontenziose;

5. per adempiere a obblighi derivanti da contratti di assicurazione finalizzati alla copertura dei rischi connessi alla responsabilità del datore di lavoro in materia di salute e sicurezza del lavoro e di malattie professionali o per i danni cagionati a terzi nell’esercizio dell’attività lavorativa o professionale;
6. per garantire le pari opportunità nel lavoro;
7. per perseguire scopi determinati e legittimi individuati dagli statuti di associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro o dai contratti collettivi, in materia di assistenza sindacale ai datori di lavoro.

Il provvedimento, poi, detta alcune regole per il trattamento di categorie particolari di dati personali nella fase preliminare all’assunzione e nel corso del rapporto di lavoro. Quanto alla fase preassuntiva, il provvedimento specifica che i dati idonei a rivelare lo stato di salute e l’origine razziale ed etnica dei candidati possono essere trattati solo se pertinenti e necessari rispetto alla finalità di assunzione, tenuto conto delle particolari mansioni e/o delle specificità dei profili professionali richiesti. Tale principio vale sia per i dati raccolti dal datore di lavoro, che per quelli contenuti nei CV spontaneamente inviati dai candidati. A tale ultimo riguardo, il provvedimento precisa che qualora nei CV inviati dai candidati siano presenti dati non pertinenti rispetto alla finalità perseguita i soggetti che effettuano la selezione devono astenersi dall’utilizzare tali informazioni.

Quanto ai trattamenti di particolari categorie di dati personali in costanza di rapporto di lavoro, il provvedimento specifica che il datore di lavoro:
* tratta dati che rivelano le convinzioni religiose o filosofiche ovvero l’adesione ad associazioni od organizzazioni a carattere religioso o filosofico esclusivamente in caso di fruizione di permessi in occasione di festività religiose o per le modalità di erogazione dei servizi di mensa o, nei casi previsti dalla legge, per l’esercizio dell’obiezione di coscienza; * tratta dati che rivelano le opinioni politiche o l’appartenenza sindacale, o l’esercizio di funzioni pubbliche e incarichi politici, di attività o di incarichi sindacali esclusivamente ai fini della fruizione di permessi o di periodi di aspettativa riconosciuti dalla legge o, eventualmente, dai contratti collettivi anche aziendali nonché per consentire l’esercizio dei diritti sindacali compreso il trattamento dei dati inerenti alle trattenute per il versamento delle quote di iscrizione ad associazioni od organizzazioni sindacali; * in caso di partecipazione di dipendenti a operazioni elettorali in qualità di rappresentanti di lista, non deve trattare dati che rivelino le opinioni politiche.

Infine, il provvedimento specifica che:
* non possono essere trattati dati genetici, neppure con il consenso dell’interessato al fine stabilire l’idoneità professionale di un dipendente; * per le comunicazioni all’interessato contenenti categorie particolari di dati devono essere utilizzate forme di trasmissione individualizzate nei suoi confronti;
– quando per ragioni di organizzazione del lavoro e nell’ambito della predisposizione di turni di servizio si proceda a mettere a disposizione a soggetti diversi dall’interessato (es. altri colleghi) dati relativi a presenze e assenze dal servizio, il datore di lavoro non deve esplicitare, nemmeno attraverso acronimi o sigle, le causali dell’assenza dalle quali sia possibile evincere la conoscibilità di particolari categorie.

In allegato il provvedimento in oggetto.

Distinti saluti.

IL DIRETTORE
Dr. Giacinto Maioli

All.c.s.
Provvedimento Garante Privacy n. 146/2019