A conclusione della procedura di revisione, alla luce del nuovo Regolamento europeo, delle nove autorizzazioni generali rilasciate dal Garante privacy nel 2016, l’Autorità ha adottato un provvedimento, che contiene gli obblighi che dovranno essere rispettati da soggetti, pubblici e privati, per poter trattare particolari categorie di dati personali, come quelli legati alla salute, alle opinioni politiche, all’etnia, all’orientamento sessuale. Le prescrizioni riguardano anche le scuole.
Dati nei rapporti di lavoro
Il provvedimento si applica nei confronti di tutti coloro che, a vario titolo (titolare/responsabile del trattamento), effettuano trattamenti per finalità d’instaurazione, gestione ed estinzione del rapporto di lavoro.
Si tratta di dati riferiti, tra gli altri, a:
- candidati, anche in caso di curricula spontaneamente trasmessi dagli interessati;
- lavoratori subordinati, anche se parti di un contratto a termine, di lavoro occasionale ecc.;
- consulenti e liberi professionisti;
- soggetti che svolgono collaborazioni o lavoratori autonomi;
- terzi danneggiati nell’esercizio dell’attività lavorativa o professionale;
- terzi familiari o conviventi per il rilascio di agevolazioni e permessi.
Tra le varie prescrizioni contenute nel provvedimento, segnaliamo:
- il trattamento effettuato ai fini dell’instaurazione del rapporto di lavoro deve riguardare le sole informazioni strettamente pertinenti e limitate a quanto necessario;
- qualora nei curricula inviati dai candidati siano presenti dati non pertinenti rispetto alla finalità perseguita i datori di lavoro che effettuano la selezione devono astenersi dall’utilizzare tali informazioni;
- i dati genetici non possono essere trattati al fine di stabilire l’idoneità professionale di un candidato all’impiego, neppure con il consenso dell’interessato;
- il datore di lavoro tratta dati che rivelano le convinzioni religiose o filosofiche ovvero l’adesione ad associazioni od organizzazioni a carattere religioso o filosofico esclusivamente in caso di fruizione di permessi in occasione di festività religiose o per le modalità di erogazione dei servizi di mensa;
- il datore di lavoro tratta dati che rivelano le opinioni politiche o l’appartenenza sindacale, o l’esercizio di funzioni pubbliche e incarichi politici, di attività o di incarichi sindacali esclusivamente ai fini della fruizione di permessi o di periodi di aspettativa riconosciuti nonché per consentire l’esercizio dei diritti sindacali compreso il trattamento dei dati inerenti alle trattenute per il versamento delle quote di iscrizione ad associazioni od organizzazioni sindacali;
- il datore di lavoro in caso di partecipazione di dipendenti ad operazioni elettorali in qualità di rappresentanti di lista non deve trattare nell’ambito della documentazione da presentare al fine del riconoscimento di benefici di legge, dati che rivelino le opinioni politiche (ad esempio, non deve essere richiesto il documento che designa il rappresentate di lista essendo allo scopo sufficiente la certificazione del presidente di seggio).
Con riferimento alle modalità di trattamento, il Garante prescrive che:
- i dati debbano essere raccolti, di regola, presso l’interessato;
- in tutte le comunicazioni all’interessato contenenti categorie particolari di dati devono essere utilizzate forme di comunicazione anche elettroniche individualizzate nei confronti di quest’ultimo o di un suo delegato. Nel caso in cui si proceda alla trasmissione del documento cartaceo, questo dovrà essere trasmesso, di regola, in plico chiuso;
- i documenti che contengono categorie particolari di dati, ove debbano essere trasmessi ad altri uffici, devono contenere esclusivamente le informazioni necessarie allo svolgimento della funzione;
- quando per ragioni di organizzazione del lavoro, e nell’ambito della predisposizione di turni di servizio, si proceda a mettere a disposizione a soggetti diversi dall’interessato (ad esempio, altri colleghi) dati relativi a presenze e assenze dal servizio, il datore di lavoro non deve esplicitare, nemmeno attraverso acronimi o sigle, le causali dell’assenza dalle quali sia possibile evincere la conoscibilità di particolari categorie di dati personali (es. permessi sindacali o dati sanitari).
