Le prescrizioni del Garante privacy relative al trattamento di particolare categorie di dati nei rapporti di lavoro

Garante per la protezione dei dati personali: provvedimento n. 146 del 5 giugno 2019

Premessa

L’art. 21 del recente decreto legislativo n. 101/2018, dando attuazione a quanto previsto dalle disposizioni del Regolamento europeo sulla protezione dei dati personali, dopo aver abrogato le autorizzazioni generali che erano già state adottate in precedenza dal Garante privacy, ha affidato al Garante privacy il compito di individuare, con proprio provvedimento di carattere generale, le prescrizioni contenute in dette autorizzazioni generali relative alle situazioni di trattamento dei dati necessari per adempiere un obbligo legale al quale è soggetto il titolare del trattamento e quelli necessari per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento nonché di trattamento dei dati necessari per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale e dei dati genetici, biometrici o relativi alla salute ed infine i trattamenti di cui al Capo IX del Regolamento europeo (cioè i trattamenti effettuati a scopi giornalistici o di espressione accademica, artistica o letteraria; i trattamenti per l’accesso ai documenti amministrativi; i trattamenti del numero di identificazione nazionale; il trattamento dei dati nell’ambito dei rapporti di lavoro; i trattamenti a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici).

Al fine di dare concreta applicazione al suddetto articolo, il Garante privacy ha adottato il provvedimento in esame, il quale reca appunto le prescrizioni relative alle situazioni di trattamento di cui si è appena detto.

In particolare, oggetto del presente commento sono le prescrizioni relative al trattamento di categorie particolari di dati nei rapporti di lavoro (già oggetto della autorizzazione generale del garante privacy n. 1/2016), i quali vengono in rilievo – ai sensi della nuova disciplina interna e comunitaria in materia di privacy – sia se sono effettuati da datori di lavoro pubblici, sia se sono effettuati da datori di lavoro privati.

Ambito di applicazione  

Il primo aspetto preso in considerazione dal provvedimento del Garante riguarda l’ambito di applicazione delle prescrizioni ivi contenute.

In particolare, è prevista l’applicazione delle prescrizioni contenute nel provvedimento a tutti i soggetti che, siano essi titolari o responsabili del trattamento, pongano in essere un trattamento con la finalità di instaurare, gestire o estinguere un rapporto di lavoro. Dopodiché nel provvedimento vengono elencati (a parere di chi scrive, a mero titolo esemplificativo) alcuni di tali soggetti, fra i quali:

1. Le agenzie per il lavoro e, in generale, coloro i quali svolgono attività di intermediazione, ricerca e selezione del personale nell’interesse di soggetti terzi oppure svolgono attività di supporto alla ricollocazione professionale;
2. i soggetti (siano esse imprese, enti, associazioni, organismi, persone fisiche) che sono parte di un rapporto di lavoro o che comunque utilizzano delle prestazioni lavorative (anche se parziale o temporanee o atipiche) ed i soggetti che conferiscono incarichi professionali a consulenti, liberi professionisti, agenti, rappresentanti e mandatari oppure a soggetti che svolgono collaborazioni organizzate o altri lavori autonomi in rapporto di collaborazione;
3. gli organismi paritetici o che gestiscono osservatori in materia di lavoro;
4. il rappresentante dei lavoratori per la sicurezza;
5. i consulenti del lavoro e in generali i soggetti che curano gli adempimenti in materia di lavoro, di previdenza e assistenza sociale e fiscale per conto di altri soggetti che sono parte di un rapporto di lavoro dipendente o autonomo;
6. le associazioni, le organizzazioni, le federazioni e le confederazioni rappresentative di categorie di datori di lavoro (tali soggetti, però, al solo fine di perseguire gli scopi individuati dai relativi statuti o dai contratti collettivi);
7. il medico competente in materia di salute e sicurezza sul lavoro.

Gli interessati 

Il secondo aspetto preso in considerazione dal provvedimento del Garante riguarda i soggetti che sono interessati dai trattamenti e quindi ai quali i dati si riferiscono.

In particolare, viene previsto che le prescrizioni del provvedimento debbano applicarsi ai dati personali, appartenenti alle categorie particolari di cui al regolamento europeo, che siano acquisiti di regola direttamente dall’interessato e che si riferiscano ai seguenti soggetti:

1. i candidati all’instaurazione dei rapporti di lavoro (anche nel caso in cui il curriculum sia stato spontaneamente trasmesso dall’interessato al potenziale datore di lavoro);
2. i lavoratori subordinati, qualunque sia il tipo di rapporto contrattuale instaurato con il datore di lavoro (contratto di apprendistato, di formazione, a termine, di lavoro intermittente, di lavoro occasionale), i praticanti per l’abilitazione professionale, i prestatori di lavoro nell’ambito di un contratto di somministrazione di lavoro o di rapporto di tirocinio o che siano associati;
3. i consulenti e i liberi professionisti, gli agenti, i rappresentanti e mandatari;
4. i soggetti che svolgono collaborazioni organizzate dal committente o altri lavoratori autonomi in rapporto di collaborazione;
5. persone fisiche che ricoprono cariche sociali o altri incarichi all’interno di persone giuridiche, di enti, di associazioni o di organismi;
6. i terzi danneggiati nell’esercizio dell’attività lavorativa o professionale;
7. i familiari e i conviventi dei lavoratori subordinati, dei praticanti, dei prestatori di lavoro nell’ambito dei contratti di somministrazione di lavoro o di tirocinio nonché dei soggetti che svolgono collaborazioni, per il rilascio di agevolazioni o permessi.

Le finalità del trattamento 

Il terzo aspetto preso in considerazione dal provvedimento del Garante riguarda le finalità del trattamento e viene previsto, in particolare, che le categorie particolari di dati possono essere trattate soltanto per:

1. adempiere o esigere l’adempimento degli specifici obblighi o eseguire specifici compiti previsti dalla normativa dell’unione europea, da leggi, del regolamento da contratti collettivi anche aziendali, finalizzati all’instaurazione di una gestione estinzione del rapporto di lavoro o del riconoscimento di agevolazioni o erogazione di contributi o connessi all’applicazione della normativa in materia di previdenza o di igiene e sicurezza del lavoro o in materia fiscale sindacale;
2. adempiere o esigere l’adempimento di specifici obblighi o eseguire i compiti previsti in conformità alla legge ai fini della tenuta della contabilità o della corresponsione di stipendi, assegni, premi o altri emolumenti liberalità;
3. perseguire finalità di salvaguardia della vita dell’incolumità fisica del lavoratore di un terzo;
4. far valere o difendere un diritto in sede giudiziaria o amministrativa o arbitrale di conciliazione, anche qualora il diritto appartenga ad un terzo;
5. adempiere obblighi derivanti da contratti di assicurazione finalizzati alla copertura dei rischi connessi alla responsabilità del datore di lavoro in materia di sicurezza e salute nonché per i danni cagionati a terzi nell’esercizio dell’attività lavorativa professionale;
6. garantire le pari opportunità nel lavoro;
7. perseguire scopi determinati e illegittimi previsti dagli statuti di associazioni, organizzazioni, federazioni e confederazioni rappresentative di categorie del datore di lavoro, oppure dai contratti collettivi, in materia di assistenza sindacale ai datori di lavoro.

I trattamenti effettuati nella fase preliminare alle assunzioni

Per quanto riguarda le prescrizioni specifiche previste dal provvedimento del Garante con riferimento alle categorie particolari di dati trattati nei rapporti di lavoro, esse si rivolgono in primo luogo alla fase preliminare alle assunzioni.

In particolare, viene previsto che le agenzie per il lavoro e gli altri soggetti che svolgono attività di intermediazione, ricerca e selezione del personale possono trattare i dati idonei a rivelare lo stato di salute e l’origine razziale ed etnica dei candidati all’instaurazione di un rapporto di lavoro o di collaborazione, soltanto se la loro raccolta sia giustificata da scopi determinati e legittimi e sia necessaria per instaurare tale rapporto di lavoro o di collaborazione. In secondo luogo, viene previsto che il trattamento delle categorie particolari di dati che viene effettuato ai fini dell’instaurazione del rapporto di lavoro (anche qualora i candidati forniscano i dati di propria iniziativa), deve avere ad oggetto soltanto i dati strettamente pertinenti e limitati a quanto necessario a tali finalità. Mentre, nel caso in cui all’interno del curriculum inviato dal candidato siano presenti dei dati che non appaiono pertinenti rispetto alla finalità di instaurazione del rapporto di lavoro, le agenzie per il lavoro o i datori di lavoro che effettuano la selezione devono astenersi dall’utilizzare tali dati. Infine, è previsto che non possono essere trattati i dati genetici per stabilire l’idoneità professionale all’impiego di un candidato (neanche nel caso in cui ci sia il suo consenso).

I trattamenti effettuati nel corso del rapporto di lavoro

Per quanto riguarda le prescrizioni specifiche previste dal provvedimento del Garante con riferimento alle categorie particolari di dati trattati nel corso del rapporto di lavoro, viene in primo luogo previsto che i dati che rivelano le convinzioni religiose o filosofiche ovvero l’adesione ad associazioni od organizzazioni a carattere religioso o filosofico del lavoratore possono essere trattati dal datore di lavoro soltanto se il lavoratore fruisce di permessi in occasione di festività religiose o per erogare i servizi di mensa o per l’esercizio dell’obiezione di coscienza. Per quanto riguarda, invece, i dati che rivelano le opinioni politiche o l’appartenenza sindacale, o l’esercizio di funzioni pubbliche e incarichi politici, di attività o di incarichi sindacali possono essere trattati dal datore di lavoro soltanto per fruire di permessi o di periodi di aspettativa riconosciuti dalla legge o dai contratti collettivi nonché per consentire l’esercizio dei diritti sindacali. Infine, i dati genetici non possono essere trattati dal datore di lavoro al fine di stabilire l’idoneità professionale di un dipendente neppure se c’è il suo consenso.

Volume consigliato