NOR19011 – Oggetto: Privacy. Prescrizioni contenute nelle autorizzazioni generali compatibili con il GDPR. Provvedimento del Garante per la privacy.

Roma, 7 Gennaio 2019

NOR19011
SM

Oggetto: Privacy. Prescrizioni contenute nelle autorizzazioni generali compatibili con il GDPR. Provvedimento del Garante per la privacy.

Il Garante per la protezione dei dati personali, con provvedimento n. 497 del 13 dicembre scorso, ha individuato le prescrizioni contenute nelle autorizzazioni generali dei dati adottate nel 2016, ancora compatibili con il nuovo Regolamento europeo in materia (GDPR) e con la recente riforma del Codice della privacy. 

In particolare, delle 9 autorizzazioni esistenti, 5 hanno superato il vaglio del Garante tra cui l’autorizzazione n 1/2016 (sul trattamento dei dati sensibili nei rapporti di lavoro) e la n. 3/2016 (sul trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni). Il Garante ha inoltre deciso di avviare una consultazione pubblica sulle prescrizioni contenute nelle autorizzazioni oggetto del provvedimento in esame, aggiornate alla luce delle nuove disposizioni sulla privacy, che avrà una durata di 60 gg dalla pubblicazione dell’avviso in Gazzetta Ufficiale (per maggiori informazioni, cliccare sul link https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9068965).

Per quanto riguarda i contenuti delle due autorizzazioni prima citate, si evidenzia quanto segue:

• l’autorizzazione 1/2016 (trattamento dei dati sensibili nei rapporti di lavoro), si applica nei confronti di tutti coloro che, a vario titolo, effettuano trattamenti per finalità d'instaurazione, gestione ed estinzione del rapporto di lavoro, come: 
  • agenzie per il lavoro e altri soggetti che svolgono attività di intermediazione; 
  • persone fisiche e giuridiche, imprese, anche sociali, enti, associazioni e organismi che sono parte di un rapporto di lavoro o che utilizzano prestazioni lavorative anche atipiche; 
  • rappresentante dei lavoratori per la sicurezza, anche territoriale e di sito; 
  • soggetti che curano gli adempimenti in materia di lavoro, previdenza ed assistenza sociale e fiscale nell’interesse di altri soggetti che sono parte di un rapporto di lavoro dipendente o autonomo; 
  • associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro, al solo fine di perseguire scopi determinati e legittimi individuati dagli statuti di associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro o dai contratti collettivi in materia di assistenza sindacale ai datori di lavoro; 
  • medico competente in materia di salute e sicurezza sul lavoro, che opera in qualità di libero professionista o di dipendente del datore di lavoro o di strutture convenzionate. 

Il provvedimento approfondisce le prescrizioni specifiche sul trattamento dati:

• forniti in vista di una potenziale assunzione (sia tramite questionari inviati anche per via telematica, sia mediante curricula recapitati dai candidati di propria iniziativa), che deve riguardare soltanto le informazioni strettamente pertinenti, anche tenuto conto delle particolari mansioni e/o delle specificità dei profili professionali richiesti. Inoltre, quando nei curricula siano presenti dati non pertinenti, sarà necessario astenersi dall’utilizzo di queste informazioni. I dati genetici non possono essere trattati al fine di stabilire l'idoneità professionale;
• durante il rapporto di lavoro, nel corso del quale il datore:

a) può trattare dati che rivelano le convinzioni religiose o filosofiche esclusivamente in caso di fruizione di permessi in occasione di festività religiose o per le modalità di erogazione dei servizi di mensa o per l'esercizio dell'obiezione di coscienza; 
b) può trattare dati che rivelano le opinioni politiche o l'appartenenza sindacale, o l'esercizio di funzioni pubbliche e incarichi politici, solo per la fruizione di permessi o di periodi di aspettativa riconosciuti dalla legge o, eventualmente, dai contratti collettivi anche aziendali nonché per consentire l'esercizio dei diritti sindacali; 
c) non può trattare dati che rivelino le opinioni politiche nell'ambito della documentazione da presentare al fine del riconoscimento di benefici di legge, in caso di partecipazione di dipendenti ad operazioni elettorali; 
d) non può trattare dati genetici al fine di stabilire l'idoneità professionale di un dipendente, neppure con il consenso dell'interessato. 

Quanto alle modalità di trattamento, le informazioni devono essere raccolte, di regola, presso l'interessato. Le comunicazioni contenenti particolari categorie di dati vanno indirizzate in formato elettronico al diretto interessato o a un suo delegato, anche attraverso personale autorizzato; in caso di trasmissione cartacea, l’invio dovrà avvenire – di regola – con plico chiuso salva la necessità di acquisire, anche mediante la sottoscrizione per ricevuta, la prova della ricezione dell'atto. 

Inoltre, il Garante specifica che i documenti contenenti particolari categorie di dati del lavoratore, qualora vengano trasmessi ad altri uffici sulla base delle rispettive competenze, devono riportare solo le informazioni strettamente necessarie allo svolgimento della funzione senza allegare, se non strettamente indispensabile, documentazione integrale o riportare stralci all'interno del testo. Infine quando, per ragioni di organizzazione del lavoro e nell'ambito della predisposizione di turni di servizio, le informazioni relative a presenze e assenze dal servizio vengano messe a disposizione di altri colleghi, il datore di lavoro non deve rendere note le causali delle assenze idonee a rivelare particolari categorie di dati personali quali, ad esempio, permessi sindacali o dati sanitari, neanche attraverso sigle o acronimi. 

• l’autorizzazione 3/2016 (trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni), riprende a grandi linee il testo del 2016, con alcune modifiche ed integrazioni che hanno interessato le prescrizioni specifiche.  In particolare, il testo precisa che i dati personali riferiti agli associati/aderenti possono essere comunicati ad altri associati anche in assenza del consenso degli interessati, a condizione che la predetta comunicazione sia prevista dall'atto costitutivo o dallo statuto per il perseguimento di scopi determinati e legittimi e che le modalità di utilizzo dei dati siano rese note agli interessati in sede di rilascio dell'informativa ai sensi dell'art. 13 del Regolamento (UE) 2016/679. La comunicazione dei dati personali degli associati/aderenti all'esterno dell'associazione e la loro diffusione possono sempre effettuarsi con il consenso degli interessati, sempre previa informativa a questi ultimi circa la tipologia di destinatari e gli scopi della trasmissione e purché questi dati siano strettamente pertinenti alle finalità ed agli scopi perseguiti. Infine, si rileva che dati particolari possono essere comunicati alle autorità competenti per finalità di prevenzione, accertamento o repressione dei reati, con l'osservanza delle norme che regolano la materia. 

Da ultimo occorre ricordare che il comma 5, dell'art. 21 del d.lgs. n. 101/2018 stabilisce che le violazioni delle prescrizioni contenute nelle autorizzazioni generali sono soggette alla sanzione amministrativa di cui all'articolo 83, paragrafo 5, del Regolamento (UE) 2016/679 (fino a 20.000.000 euro o per le imprese fino al 4 per cento del fatturato). 

Cordiali saluti