14 giugno 2024
Aggiornato 07:00
Privacy

Protezione e trattamento dei dati personali nel rapporto di lavoro privato

Le varie misure che deve adottare il datore di lavoro

Il Garante della privacy ha inviato perentorie istruzioni ai datori di lavoro per tutelare la privacy dei propri dipendenti in particolare su come devono essere trattati i dati personali nella raccolta tramite sistemi di rilevazione biometrica, sul corretto utilizzo dell’intranet aziendale, sulle modalità di diffusione e comunicazione di dati personali, sui cartellini identificativi, sulle misure di sicurezza sui dati sanitari, sulle informazioni sullo stato di salute ed assenze per ragioni di salute, sulla denuncia all'Inail, sulle comunicazioni all'Inps, sulle misure fisiche ed organizzative, sul diritto di accesso, sul riscontro del datore di lavoro, sulle relativa tempestività e sulle modalità dello stesso, sui dati personali e sulla documentazione, ecc.
A tal riguardo il Garante ha ricordato che il Codice della Privacy ha lo scopo di limitare l’utilizzo dei dati di cui sopra al datore di lavoro che non deve essere infatti incompatibile con le finalità per le quali i medesimi sono stati raccolti.

Raccolta di dati tramite sistemi di rilevazione biometrica.
Per prima cosa è illecito o l'uso generalizzato e incontrollato di dati biometrici, ricavati dalle impronte digitali.
I titolari del trattamento interessati dovranno adottare tutte le misure e gli accorgimenti per il trattamento di dati biometrici ai sensi degli articoli 17, 154, comma 1, lettera c) e 167, comma 2, del Codice in materia di protezione dei dati personali.
Tale utilizzo di dati biometrici può essere giustificato solo in casi particolari, tenuto conto delle finalità e del contesto in cui essi sono trattati e, in relazione ai luoghi di lavoro, per presidiare accessi ad «aree sensibili», considerata la natura delle attività ivi svolte, come ad esempio, a processi produttivi pericolosi o sottoposti a segreti di varia natura, o al fatto che particolari locali siano destinati alla custodia di beni, documenti segreti o riservati o oggetti di valore.
Nei casi in cui l'uso dei dati biometrici è consentito, la centralizzazione in una banca dati delle informazioni personali trattate nell'ambito del descritto procedimento di riconoscimento biometrico risulta di regola sproporzionata e non necessaria e quindi i sistemi informativi devono ridurre al minimo l'utilizzo di dati personali ed escluderne il trattamento, quando le finalità perseguite possono essere realizzate con modalità tali da permettere di identificare l'interessato solo in caso di necessità.
Invece di modalità centralizzate di trattamento dei dati biometrici, è sufficiente avvalersi di sistemi efficaci di verifica e di identificazione biometrica che siano basati sulla lettura delle impronte digitali memorizzate, su un supporto posto nell'esclusiva disponibilità dell'interessato (una smart card o un dispositivo analogo) e privo di indicazioni nominative riferibili a quest'ultimo.
Il Garante raccomanda che il riconoscimento effettuato con le modalità suddette garantisce che possano accedere all'area riservata solo coloro che, autorizzati preventivamente ed il confronto delle impronte digitali con il modello memorizzato sulla carta o sul dispositivo può essere realizzato ricorrendo a comuni procedure di confronto sulla carta o dispositivo stesso, evitando così la costituzione di un archivio di delicati dati biometrici.

Comunicazione dei dati personali
Solo se l’interessato vi acconsente, la conoscenza dei dati personali relativi ad un lavoratore da parte di terzi è ammessa.
Qualora il datore di lavoro non possa avvalersi correttamente di uno degli altri presupposti del trattamento equipollenti al consenso non può prescindersi dal consenso stesso per comunicare dati personali.
Ad esempio, inerenti alla circostanza di un’avvenuta assunzione, allo status o alla qualifica ricoperta, alla ìirrogazione di sanzioni disciplinari o a trasferimenti del lavoratore.

Responsabili dei trattamenti
Resta salva la facoltà del datore di lavoro di disciplinare le modalità del proprio trattamento designando i soggetti, interni o esterni, incaricati o responsabili del trattamento, che possono acquisire conoscenza dei dati inerenti alla gestione del rapporto di lavoro, in relazione alle funzioni svolte e a idonee istruzioni scritte alle quali attenersi .

Comunicazione anonima a terzi
Resta salva anche la facoltà del datore di lavoro di comunicare a terzi in forma realmente anonima dati ricavati dalle informazioni relative a singoli o gruppi di lavoratori, come per esempio il numero complessivo di ore di lavoro straordinario prestate o di ore non lavorate a livello aziendale o all’interno di singole unità produttive, agli importi di premi aziendali di risultato individuati per fasce, o qualifiche/livelli professionali, anche nell’ambito di singole funzioni o unità organizzative.

Intranet aziendale
Perché sia lecito pubblicare informazioni personali allo stesso riferite (quali fotografia, informazioni anagrafiche o curricula) nella intranet aziendale (e a maggior ragione in Internet), il consenso del lavoratore è necessario, anzi indispensabile.

Diffusione di dati personali
I dati personali possono essere diffusi solo se necessari per dare esecuzione a obblighi derivanti dal contratto di lavoro, come ad esempio, dell’affissione nella bacheca aziendale di ordini di servizio, di turni lavorativi o feriali, oltre che di disposizioni riguardanti l’organizzazione del lavoro e l’individuazione delle mansioni cui sono deputati i singoli dipendenti.
Non è invece lecito diffondere informazioni personali riferite a singoli lavoratori, anche attraverso la loro pubblicazione in bacheche aziendali o in comunicazioni interne destinate alla collettività dei lavoratori, specie se non correlate all’esecuzione di obblighi lavorativi e la loro relativa diffusione viola i principi di finalità e pertinenza, come nelle ipotesi di: - affissione relativa ad emolumenti percepiti o che fanno riferimento a particolari condizioni personali - sanzioni disciplinari irrogate o informazioni relative a controversie giudiziarie; - assenze dal lavoro per malattia; - iscrizione e/o adesione dei singoli lavoratori ad associazioni.

Cartellini identificativi.
Lìobbligo di portare in modo visibile un cartellino identificativo (appuntato ad esempio sull’abito o sulla divisa del lavoratore allo scopo di migliorare il rapporto fra operatori ed utenti o clienti) può trovare fondamento in alcune prescrizioni contenute in accordi sindacali aziendali, il cui rispetto può essere ricondotto alle prescrizioni del contratto di lavoro.
Nel rapporto con il pubblico, il Garante ha ravvisato una sproporzione dell’indicazione sul cartellino di dati personali identificativi (generalità o dati anagrafici), potendo spesso risultare sufficienti altre informazioni (quali codici identificativi, il solo nome o il ruolo professionale svolto).

Dati sanitari
Il Garante ha raccomandato l’osservanza di cautele particolari nel trattamento dei dati sensibili del lavoratore e di quelli idonei a rivelarne lo stato di salute, come l’informazione relativa all’assenza dal servizio per malattia, indipendentemente dalla circostanza della contestuale enunciazione della diagnosi.
Per tali informazioni, l’ordinamento appresta anche fuori della disciplina di protezione dei dati personali particolari accorgimenti per contenere, nei limiti dell’indispensabile, i dati dei quali il datore di lavoro può venire a conoscenza per dare esecuzione al contratto.

Assenze per ragioni di salute.
Il Garante ha raccomandato l’osservanza di cautele per quanto attiene al trattamento di dati idonei a rivelare lo stato di salute dei lavoratori.
La normativa di settore e le disposizioni contenute nei contratti collettivi giustificano il trattamento dei dati relativi ai casi di infermità (e talora a quelli inerenti all’esecuzione di visite specialistiche o di accertamenti clinici) che determini una incapacità lavorativa (temporanea o definitiva, con la conseguente sospensione o risoluzione del contratto).

Privacy categorie protette
Il datore di lavoro può trattare dati relativi a invalidità o all’appartenenza a categorie protette, nei modi e per le finalità prescritte dalla vigente normativa in materia.
Il datore di lavoro e l’ente previdenziale al riguardo hanno la duplice possibilità da una parte di controllare la certificazione della condizione di malattia perché sia giustificato il trattamento normativo ed economico spettante al lavoratore, ma anche di verificare le reali condizioni di salute del lavoratore, tramite una apposita modulistica, consistente in un attestato di malattia da consegnare al datore di lavoro con la sola indicazione dell’inizio e della durata presunta dell’infermità: c.d. «prognosi» e in un certificato di diagnosi da consegnare, a cura del lavoratore stesso, all’Inps o alla struttura pubblica indicata dallo stesso Istituto dì intesa con la regione, se il lavoratore ha diritto a ricevere l’indennità di malattia a carico dell’ente previdenziale.

Denuncia all’Inail
La denuncia all’Inail per eventuali infortuni e malattie professionali occorsi ai lavoratori deve essere corredata da specifica certificazione medica, ma, pur essendo legittima la conoscenza della diagnosi da parte del datore di lavoro, resta fermo a suo carico l’obbligo di limitarsi a comunicare all’ente assistenziale esclusivamente le informazioni sanitarie relative o collegate alla patologia denunciata e non anche dati sulla salute relativi ad altre assenze che si siano verificate nel corso del rapporto di lavoro.

Comunicazioni all’Inps.
Il datore di lavoro deve comunicare solo le informazioni indispensabili a rivelare lo stato di salute dei lavoratori ai soggetti pubblici (enti previdenziali e assistenziali) tenuti a erogare le prescritte indennità.
In particolare, il datore di lavoro può comunicare all’Inps i dati del dipendente assente, anche per un solo giorno, al fine di farne controllare lo stato di malattia e a tal fine deve tenere a disposizione e produrre, a richiesta, all’Inps, la documentazione in suo possesso.
Le eventuali visite di controllo sullo stato di infermità del lavoratore, ai sensi dell’art. 5 della legge 20 maggio 1970, n. 300, o su richiesta dell’Inps o della struttura sanitaria pubblica da esso indicata, sono effettuate dai medici dei servizi sanitari indicati dalle regioni (art. 2, l. n. 33/1980 cit.).

Informativa al lavoratore del responsabile del trattamento
Il datore di lavoro è tenuto a dare al lavoratore, prima di procedere al trattamento dei dati personali che lo riguardano una informativa individualizzata sulla persona responsabile del trattamento.

Misure di sicurezza sui Dati sanitari.
Il datore di lavoro titolare del trattamento è tenuto ad adottare ogni misura di sicurezza, anche minima, prescritta dal Codice a protezione dei dati personali dei dipendenti comunque trattati nell’ambito del rapporto di lavoro, ponendo particolare attenzione alla eventuale natura sensibile dei medesimi.
L’archiviazione nell’ambito aziendale di tali informazioni deve essere effettuata in modo separato da ogni altro dato personale dell’interessato, anche con riferimento ai fascicoli personali cartacei dei dipendenti ad esempio, utilizzando sezioni appositamente dedicate alla custodia dei dati sensibili, inclusi quelli idonei a rivelare lo stato di salute del lavoratore, da conservare separatamente o in modo da non consentirne una indistinta consultazione nel corso delle ordinarie attività amministrative.
Allorché i lavoratori presentino spontaneamente certificati medici su modulistica diversa da quella sopradescritta il datore di lavoro non può, comunque, utilizzare ulteriormente tali informazioni e deve adottare gli opportuni accorgimenti per non rendere visibili le diagnosi contenute nei certificati, ad esempio, prescrivendone la circolazione in busta chiusa previo oscuramento di tali informazioni e ciò, al fine di impedire ogni accesso abusivo a tali dati da parte di soggetti non previamente designati come incaricati o responsabili.

Incaricati
Resta fermo l’obbligo del datore di lavoro di preporre alla custodia dei dati personali dei lavoratori apposito personale, specificamente incaricato del trattamento, che «deve avere cognizioni in materia di protezione dei dati personali e ricevere una formazione adeguata.
In assenza di una adeguata formazione degli addetti al trattamento dei dati personali il rispetto della riservatezza dei lavoratori sul luogo di lavoro non potrà mai essere garantito.

Misure fisiche ed organizzative.
Il datore di lavoro deve adottare, tra l’altro misure organizzative e fisiche idonee a garantire che: - i luoghi ove si svolge il trattamento di dati personali dei lavoratori siano opportunamente protetti da indebite intrusioni; - le comunicazioni personali riferibili esclusivamente a singoli lavoratori avvengano con modalità tali da escluderne l’indebita presa di conoscenza da parte di terzi o di soggetti non designati quali incaricati; - siano impartite chiare istruzioni agli incaricati in ordine alla scrupolosa osservanza del segreto d’ufficio, anche con riguardo a dipendenti del medesimo datore di lavoro che non abbiano titolo per venire a conoscenza di particolari informazioni personali; - sia prevenuta l’acquisizione e riproduzione di dati personali trattati elettronicamente, in assenza di adeguati sistemi di autenticazione o autorizzazione e/o di documenti contenenti informazioni personali da parte di soggetti non autorizzati 33; - sia prevenuta la involontaria acquisizione di informazioni personali da parte di terzi o di altri dipendenti: opportuni accorgimenti, ad esempio, devono essere presi in presenza di una particolare conformazione o dislocazione degli uffici, in assenza di misure idonee volte a prevenire la diffusione delle informazioni.

Diritto di accesso ai dati da parte del lavoratore
I lavoratori interessati possono esercitare nei confronti del datore di lavoro i diritti previsti dall’art. 7 del Codice tra cui il diritto di accedere ai dati che li riguardano di ottenerne l’aggiornamento, la rettificazione, l’integrazione, la cancellazione, la trasformazione in forma anonima o il blocco se trattati in violazione di legge, di opporsi al trattamento per motivi legittimi.
La richiesta di accesso che non faccia riferimento ad un particolare trattamento o a specifici dati o categorie di dati, deve ritenersi riferita a tutti i dati personali che riguardano il lavoratore comunque trattati dall’amministrazione e può riguardare anche informazioni di tipo valutativo.
Non rientrano tra queste notizie di carattere contrattuale o professionale che non hanno natura di dati personali in qualche modo riferibili a persone identificate o identificabili.

Riscontro del datore di lavoro.
Il datore di lavoro destinatario della richiesta è tenuto a fornire un riscontro completo alla richiesta del lavoratore interessato, senza limitarsi alla sola elencazione delle tipologie di dati detenuti, ma comunicando in modo chiaro e intelligibile tutte le informazioni in suo possesso.
Il riscontro deve essere fornito nel termine di 15 giorni dal ricevimento dell’istanza dell’ìnteressato; il termine piuì lungo, pari a 30 giorni, può essere osservato, dandone comunicazione all’ìinteressato, solo se le operazioni necessarie per un integrale riscontro sono di particolare complessità o se ricorre altro giustificato motivo.
Pertanto il datore di lavoro, specie nelle realtà produttive di grande dimensione deve pertanto predisporre procedure organizzative adeguate per dare piena attuazione alle disposizioni del Codice in materia di accesso ai dati e all’ esercizio degli altri diritti, anche attraverso l’impiego di appositi programmi finalizzati ad una accurata selezione dei dati relativi a singoli lavoratori, nonchè alla semplificazione delle modalità e alla compressione dei tempi per il riscontro.
Il riscontro può essere fornito anche oralmente; tuttavia, in presenza di una specifica istanza, il datore di lavoro è tenuto a trasporre i dati su supporto cartaceo o informatico o a trasmetterli all’interessato per via telematica.

Dati personali e documentazione.
L’esercizio del diritto di accesso consente di ottenere solo la comunicazione dei dati personali relativi al richiedente detenuti dal titolare del trattamento e da estrarre da atti e documenti; non permette invece di richiedere a quest’ultimo il diretto e illimitato accesso a documenti e ad intere tipologie di atti, o la creazione di documenti allo stato inesistenti negli archivi, o la loro innovativa aggregazione secondo specifiche modalità prospettate dall’interessato o, ancora, di ottenere, sempre e necessariamente, copia dei documenti detenuti, ovvero di pretendere particolari modalità di riscontro.