Le Autorizzazioni generali: trattamento di categorie particolari di dati nel rapporto di lavoro

Il Garante per la protezione dei dati personali (il “Garante”), in data 13 dicembre 2018, ha adottato il Provvedimento Generale n. 497, nel quale si è sancita la compatibilità con il Regolamento (UE) 2016/679 (“GDPR”) delle sole prescrizioni contenute nelle autorizzazioni relative a:

• trattamenti di categorie particolari di dati nei rapporti di lavoro (Autorizzazione generale 1/2016);
• trattamenti di categorie particolari di dati da parte degli organismi di tipo associativo, delle fondazioni, delle chiese e associazioni o comunità religiose (Autorizzazione generale 3/2016);
• trattamenti di categorie particolari di dati da parte degli investigatori privati (Autorizzazione generale 6/2016);
• trattamenti di dati genetici (Autorizzazione generale 8/2016);
• trattamenti di dati personali effettuati per scopi di ricerca scientifica (Autorizzazione generale 9/2016).

Le Autorizzazioni generali n. 2/2016, 4/2016, 5/2016 e 7/2016, considerate non più compatibili con la nuova normativa in materia di protezione dati, hanno cessato di produrre i propri effetti.

Il Provvedimento n. 497 è stato successivamente posto in consultazione pubblica al fine di recepire eventuali osservazioni e/o proposte da parte di soggetti interessati, associazioni di categoria e organizzazioni rappresentative dei settori di riferimento.

In seguito alla conclusione della predetta fase, il 29 luglio 2019 è stato pubblicato in Gazzetta Ufficiale (GU. Serie Generale n. 176 del 29 luglio 2019) il Provvedimento n. 146 del Garante recante le prescrizioni relative al trattamento delle categorie particolari dei dati.

Con particolare riferimento all’Autorizzazione n. 1/2016, “Trattamenti di categorie particolari di dati nei rapporti di lavoro”, si precisa quanto segue.

Ambito di applicazione

Il Provvedimento n. 146 si applica nei confronti di tutti coloro che, a vario titolo (titolare, responsabile del trattamento ex art. 28 GDPR), effettuano trattamenti per finalità d’instaurazione, gestione ed estinzione del rapporto di lavoro.

Tale provvedimento si applica altresì ai trattamenti di categorie particolari di dati personali riferiti a:

• i candidati che, anche spontaneamente, inviano curricula al fine di instaurare un rapporto di lavoro;
• i lavoratori subordinati anche se parti di un contratto di lavoro occasionale ovvero praticanti per l’abilitazione professionale, ovvero prestatori di lavoro nell’ambito di un contratto di somministrazione di lavoro, o in rapporto di tirocinio, ovvero ad associati anche in compartecipazione, ai consulenti e liberi professionisti, soggetti che svolgono collaborazioni organizzate dal committente, o altri lavoratori autonomi in rapporto di collaborazione, anche sotto forma di prestazioni di lavoro accessorio persone fisiche che ricoprono cariche sociali o altri incarichi nelle persone giuridiche, negli enti, nelle associazioni, terzi danneggiati nell’esercizio dell’attività lavorativa o professionale, terzi familiari o conviventi dei dipendenti per il rilascio di agevolazioni e permessi.

Finalità del trattamento

Il trattamento dei dati sensibili può essere effettuato solo se necessario (art. 9, par. 2, GDPR) per le seguenti attività:

• per adempiere o per esigere l’adempimento di specifici obblighi o per eseguire specifici compiti previsti dalla normativa dell’Unione europea, da leggi, da regolamenti o da contratti collettivi anche aziendali, ai sensi del diritto interno, in particolare ai fini dell’instaurazione, gestione ed estinzione del rapporto di lavoro (art. 88 GDPR), nonché del riconoscimento di agevolazioni ovvero dell’erogazione di contributi, dell’applicazione della normativa in materia di previdenza ed assistenza anche integrativa, o in materia di igiene e sicurezza del lavoro, nonché in materia fiscale e sindacale;
• ai fini della tenuta della contabilità o della corresponsione di stipendi, assegni, premi, altri emolumenti, liberalità o benefici accessori;
• per perseguire finalità di salvaguardia della vita o dell’incolumità fisica del lavoratore o di un terzo;
• per far valere o difendere un diritto, anche da parte di un terzo, in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di conciliazione, nei casi previsti dalle leggi, dalla normativa dell’Unione europea, dai regolamenti o dai contratti collettivi, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento. Il trattamento di dati personali effettuato per finalità di tutela dei propri diritti in giudizio deve riferirsi a contenziosi in atto o a situazioni precontenziose; resta salvo quanto stabilito dall’art. 60 D.lgs. 193/2006 (il “Codice Privacy”), come modificato dal D.lgs. 101/2018;
• per adempiere ad obblighi derivanti da contratti di assicurazione finalizzati alla copertura dei rischi connessi alla responsabilità del datore di lavoro in materia di salute e sicurezza del lavoro e di malattie professionali o per i danni cagionati a terzi nell’esercizio dell’attività lavorativa o professionale;
• per garantire le pari opportunità nel lavoro;
• per perseguire scopi determinati e legittimi individuati dagli statuti di associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro o dai contratti collettivi, in materia di assistenza sindacale ai datori di lavoro.

Prescrizione specifiche

1. Fase preliminare alle assunzioni

Il trattamento effettuato ai fini dell’instaurazione del rapporto di lavoro, compreso il caso in cui i candidati spontaneamente inviano il proprio curriculum, deve riguardare le sole informazioni strettamente pertinenti e limitate a quanto necessario a tali finalità, anche tenuto conto delle particolari mansioni e/o delle specificità dei profili professionali richiesti. Se necessario, pertinente e proporzionato all’instaurazione del rapporto di lavoro, è dunque possibile, per tutti coloro che svolgono un’attività di selezione del personale, trattare dati idonei a rivelare lo stato di salute e l’origine razziale ed etnica dei candidati, solo se la loro raccolta sia giustificata da scopi determinati e legittimi.

Qualora nei curricula siano presenti dati non pertinenti rispetto alla finalità di assunzione, i datori di lavoro o coloro che svolgono attività di intermediazione, devono astenersi dall’utilizzare tali informazioni.

In ogni caso, i dati genetici non possono essere trattati al fine di stabilire l’idoneità professionale di un candidato all’impiego, neppure con il consenso dell’interessato.

2. Ambito di esecuzione del rapporto di lavoro

Possono, essere trattati i dati particolari che rivelano le convinzioni religiose o filosofiche ovvero l’adesione ad associazioni od organizzazioni a carattere religioso o filosofico esclusivamente in caso di fruizione di permessi in occasione di festività religiose o per le modalità di erogazione dei servizi di mensa o, nei casi previsti dalla legge, per l’esercizio dell’obiezione di coscienza.

Le opinioni politiche, l’appartenenza sindacale, o l’esercizio di funzioni pubbliche e incarichi politici, di attività o di incarichi sindacali, sono dati che possono essere trattati esclusivamente ai fini della fruizione di permessi o di periodi di aspettativa riconosciuti dalla legge o, eventualmente, dai contratti collettivi anche aziendali nonché per consentire l’esercizio dei diritti sindacali compreso il trattamento dei dati inerenti alle trattenute per il versamento delle quote di iscrizione ad associazioni od organizzazioni sindacali.

Nel provvedimento è sancito che il datore di lavoro non può trattare dati genetici al fine di stabilire l’idoneità professionale di un dipendente, neppure con il suo consenso.

Modalità di trattamento

Il provvedimento in oggetto stabilisce che i dati devono essere raccolti, di regola, presso l’interessato. Inoltre, tutte le comunicazioni all’interessato (elettroniche oppure attraverso il personale autorizzato), che contengono categorie particolari di dati, devono essere individualizzate e, nel caso di trasmissione di documento cartaceo, dovrà essere trasmesso, di regola, in plico chiuso, salva la necessità di acquisire, anche mediante la sottoscrizione per ricevuta, la prova della ricezione dell’atto.

Per quanto riguarda la trasmissione ad altre divisioni o funzioni della medesima struttura organizzativa di documenti che contengono dati di categoria particolare, devono contenere esclusivamente le informazioni necessarie allo svolgimento della funzione senza allegare, ove non strettamente indispensabile, documentazione integrale. Tali documenti inoltre, verranno trattati solo ed esclusivamente da personale autorizzato.

Infine, quando per ragioni di organizzazione del lavoro, e nell’ambito della predisposizione di turni di servizio, si proceda a mettere a disposizione a soggetti diversi dall’interessato (ad esempio, altri colleghi) dati relativi a presenze e assenze dal servizio, il datore di lavoro non deve esplicitare, nemmeno attraverso acronimi o sigle, le causali dell’assenza dalle quali sia possibile evincere la conoscibilità di particolari categorie di dati personali.