Provvedimento n. 497 del Garante

Il Garante per la protezione dei dati personali, in attuazione dell'art. 21 del d.lgs. n. 101/2018, con provvedimento n. 497 del 13 dicembre scorso, pubblicato sul sito web (www.gpdp.it), ha individuato le prescrizioni contenute nelle autorizzazioni generali dei dati adottate nel 2016, ancora compatibili con il nuovo Regolamento europeo in materia (GDPR) e con la recente riforma del Codice della privacy.

In base all'analisi effettuata, su nove autorizzazioni generali al trattamento dei dati precedentemente esistenti solo cinque sono risultate compatibili con il nuovo assetto normativo.

Dalla verifica di compatibilità hanno, pertanto, cessato di produrre effetti giuridici, in quanto prive delle specifiche prescrizioni, le seguenti autorizzazioni generali: nn. 2/2016, 4/2016 e 5/2016 rispettivamente: sui dati  idonei a rivelare lo stato di salute e la vita sessuale, sui i dati sensibili da parte dei liberi professionisti e sui dati sensibili da parte di diverse categorie di titolari. Inoltre, anche l'autorizzazione generale al trattamento dei dati giudiziari da parte di privati, di enti pubblici economici e di soggetti pubblici n. 7/2016, ha precisato il Garante, ha cessato di produrre effetti giuridici non rientrando tra quelle richiamate dall'art. 21, comma 1, d.lgs. n. 101/2018.

La verifica di compatibilità effettuata dal Garante ha, invece, portato a ritenere efficaci una serie di prescrizioni relative: al trattamento dei dati sensibili nei rapporti di lavoro (n. 1/2016); al trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni n. (n. 3/2016); al trattamento dei dati sensibili da parte degli investigatori privati (n. 6/2016) ; al trattamento dei dati genetici (n. 8/2016); al trattamento dei dati personali effettuato per scopi di ricerca scientifica (n. 9/2016).

Nel provvedimento adottato dal Garante privacy vengono, quindi, riportate tutte le prescrizioni, aggiornate alla luce delle nuove disposizioni in materia di privacy, che dovranno continuare ad essere rispettate da ogni soggetto che tratta dati personali per le finalità indicate. In considerazione dell'impatto che tali misure possono avere su PA e imprese, nel rispetto delle disposizioni previste dal decreto di revisione del Codice privacy, il testo sarà sottoposto a consultazione pubblica prima della sua approvazione definitiva.

Si evidenzia, infatti, che il Garante ha deliberato di avviare una consultazione pubblica sul provvedimento in oggetto, della durata di 60 giorni decorrenti dalla data di pubblicazione dell'avviso pubblico sulla Gazzetta Ufficiale, volta ad acquisire osservazioni e proposte riguardo alle prescrizioni individuate nell'allegato 1.

Il Garante specifica che i contributi dovranno pervenire, all'indirizzo del Garante di Piazza Venezia n. 11, 00187 – Roma, ovvero all'indirizzo di posta elettronica consultazione.prescrizioni@gpdp.it, indicando nell´oggetto il tema di riferimento.

Nell'allegato 1 del provvedimento in oggetto il Garante ha riportato una serie di prescrizioni sui provvedimenti ritenuti compatibili (dati nei rapporti di lavoro (aut. gen. n. 1/2016);dati da parte degli organismi di tipo associativo, delle fondazioni, delle chiese e associazioni o comunità religiose (aut. gen. n. 3/2016); dati da parte degli investigatori privati (aut. gen. n. 6/2016); i dati genetici (aut. gen. n. 8/2016); dati personali effettuato per scopi di ricerca scientifica (aut. gen. n. 9/2016)).

In riferimento alle prescrizioni relative al trattamento di categorie particolari di dati nei rapporti di lavoro (aut. gen n. 1/2016), il Garante specifica che, alla luce del quadro normativo delineato dal regolamento 2016/679, le stesse si applicano anche al settore pubblico.

Il provvedimento in esame chiarisce che il provvedimento si applica nei confronti di tutti coloro che, a vario titolo, effettuano trattamenti per finalità d'instaurazione, gestione ed estinzione del rapporto di lavoro in particolare:

• agenzie per il lavoro e altri soggetti che svolgono attività di intermediazione;
• persone fisiche e giuridiche, imprese, anche sociali, enti, associazioni e organismi che sono parte di un rapporto di lavoro o che utilizzano prestazioni lavorative anche atipiche;
• rappresentante dei lavoratori per la sicurezza, anche territoriale e di sito;
• soggetti che curano gli adempimenti in materia di lavoro, di previdenza ed assistenza sociale e fiscale nell´interesse di altri soggetti che sono parte di un rapporto di lavoro dipendente o autonomo, ai sensi della legge 11 gennaio 1979, n. 12, che disciplina la professione di consulente del lavoro;
• associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro, al solo fine di perseguire scopi determinati e legittimi individuati dagli statuti di associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro o dai contratti collettivi in materia di assistenza sindacale ai datori di lavoro;
• medico competente in materia di salute e sicurezza sul lavoro, che opera in qualità di libero professionista o di dipendente del datore di lavoro o di strutture convenzionate.

Il provvedimento ricomprende nei destinatari non solo i lavoratori e collaboratori, consulenti e liberi professionisti, agenti, rappresentanti e mandatari, i terzi danneggiati nell'esercizio dell'attività lavorativa o professionale, ma anche i terzi familiari o conviventi dei soggetti per il rilascio di agevolazioni e permessi.

Il provvedimento approfondisce il profilo delle finalità del trattamento inserendo tra le finalità quelle relative a far valere o difendere un diritto, anche da parte di un terzo, in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di conciliazione, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento e che il trattamento di dati personali effettuato per tali finalità deve riferirsi a contenziosi in atto o a situazioni precontenziose.

Tra le finalità viene eliminata la parte relativa al diritto di accesso ai dati e ai documenti amministrativi; per il resto viene confermata  la precedente versione del provvedimento di autorizzazione.

Il provvedimento approfondisce, poi, il profilo delle prescrizioni specifiche relative al trattamento dei dati effettuati nella fase preliminare alle assunzioni e nel corso del rapporto di lavoro.

In particolare il testo precisa che le agenzie per il lavoro che svolgono attività di intermediazione, ricerca e selezione del personale o supporto alla ricollocazione professionale possono trattare i dati idonei a rivelare lo stato di salute e l'origine razziale ed etnica dei candidati all'instaurazione di un rapporto di lavoro o di collaborazione, solo se la loro raccolta sia giustificata da scopi determinati e legittimi e sia necessaria per instaurare tale rapporto.

Relativamente ai curricula, il provvedimento specifica che il trattamento effettuato ai fini dell'instaurazione del rapporto di lavoro, sia attraverso questionari inviati anche per via telematica sulla base di modelli predefiniti, sia nel caso in cui i candidati forniscano dati di propria iniziativa, in particolare attraverso l'invio di curricula, deve riguardare, nei limiti stabiliti dalle disposizioni richiamate dall'art. 113 del Codice, le sole informazioni strettamente pertinenti e limitate a quanto necessario a tali finalità, anche tenuto conto delle particolari mansioni e/o delle specificità dei profili professionali richiesti. Inoltre, nel caso in cui nei curricula inviati siano presenti dati non pertinenti  sarà necessario astenersi dall'utilizzare tali informazioni. Infine, si rileva che i dati genetici non possono essere trattati al fine di stabilire l'idoneità professionale.

Tra i trattamenti effettuati nel corso del rapporto di lavoro il provvedimento specifica che il datore di lavoro:

• può trattare dati che rivelano le convinzioni religiose o filosofiche esclusivamente in caso di fruizione di permessi in occasione di festività religiose o per le modalità di erogazione dei servizi di mensa o per l'esercizio dell'obiezione di coscienza;
• può trattare dati che rivelano le opinioni politiche o l'appartenenza sindacale, o l'esercizio di funzioni pubbliche e incarichi politici, solo per la fruizione di permessi o di periodi di aspettativa riconosciuti dalla legge o, eventualmente, dai contratti collettivi anche aziendali nonché per consentire l'esercizio dei diritti sindacali;
• non può trattare dati che rivelino le opinioni politiche nell'ambito della documentazione da presentare al fine del riconoscimento di benefici di legge, in caso di partecipazione di dipendenti ad operazioni elettorali;
• non può trattare dati genetici al fine di stabilire l'idoneità professionale di un dipendente, neppure con il consenso dell'interessato.

Sotto il profilo delle modalità di trattamento, il provvedimento in esame prevede che i dati debbano essere raccolti, di regola, presso l'interessato. Inoltre, in tutte le comunicazioni all'interessato che contengono categorie particolari di dati devono essere utilizzate forme di comunicazione, anche elettroniche, individualizzate nei confronti di quest'ultimo o di un suo delegato, anche per il tramite di personale autorizzato. Nel caso in cui si proceda alla trasmissione del documento cartaceo, questo dovrà essere trasmesso, di regola, in plico chiuso, salva la necessità di acquisire, anche mediante la sottoscrizione per ricevuta, la prova della ricezione dell'atto.

Il Garante specifica, inoltre, che i documenti che contengono categorie particolari di dati, ove debbano essere trasmesse ad altri uffici o funzioni in ragione delle rispettive competenze, devono contenere esclusivamente le informazioni necessarie allo svolgimento della funzione senza allegare, ove non strettamente indispensabile, documentazione integrale o riportare stralci all'interno del testo.

L'Autorità sottolinea che quando per ragioni di organizzazione del lavoro e nell'ambito della predisposizione di turni di servizio si proceda a mettere a disposizione a soggetti diversi dall'interessato (altri colleghi) dati relativi a presenze ed assenze dal servizio, il datore di lavoro non deve esplicitare le causali dell'assenza dalle quali sia possibile evincere la conoscibilità di particolari categorie di dati personali  quali, ad esempio, permessi sindacali o dati sanitari.

Il Garante, al punto 2) dell'allegato I del provvedimento, specifica anche alcune prescrizioni relative al trattamento di categorie particolari di dati da parte degli organismi di tipo associativo, delle Fondazioni, delle Chiese e Associazioni o Comunità religiose (aut. gen. n. 3/2016).

Nell'individuare l'ambito di applicazione, il provvedimento in esame risulta maggiormente puntuale rispetto al precedente in quanto precisa che lo stesso trova applicazione anche alle Chiese, alle Associazioni o alle Comunità religiose, oltre a quanto già previsto dalla precedente autorizzazioni, e cioè alle Associazioni anche non riconosciute, ai Partiti e ai movimenti politici,  alle Fondazioni, ai comitati e ad ogni altro ente, consorzio od organismo senza scopo di lucro, dotati o meno di personalità giuridica, ivi comprese le organizzazioni non lucrative di utilità sociale (Onlus), alle cooperative sociali e alle società di mutuo soccorso agli istituti scolastici, limitatamente al trattamento dei dati che rivelino le convinzioni religiose.

Nell'individuare gli interessati ai quali i dati si riferiscono, il provvedimento riprende a grandi linee il testo del 2016.

l provvedimento di ricognizione viene, però, modificato e integrato con una parte relativa alle prescrizioni specifiche. In particolare, il testo precisa che i dati personali riferiti agli associati/aderenti possono essere comunicati agli altri associati anche in assenza del consenso degli interessati a condizione che la predetta comunicazione sia prevista dall'atto costitutivo o dallo statuto per il perseguimento di scopi determinati e legittimi e che le modalità di utilizzo dei dati siano rese note agli interessati in sede di rilascio dell'informativa ai sensi dell'art. 13 del Regolamento (UE) 2016/679.

Il Garante precisa che laddove vengano in considerazione profili esclusivamente personali riferiti agli associati è necessario utilizzare forme di consultazione individualizzata con gli stessi, adottando ogni misura opportuna volta a prevenire un'indebita comunicazione di dati personali a soggetti diversi dal destinatario.

Sul punto il provvedimento ricorda che la comunicazione dei dati personali relativi agli associati/aderenti all'esterno dell'associazione e la loro diffusione possono sempre essere effettuate con il consenso degli interessati, sempre previa informativa agli stessi in ordine alla tipologia di destinatari e alle finalità della trasmissione e purché i dati siano strettamente pertinenti alle finalità ed agli scopi perseguiti. Infine, si rileva che dati particolari possono essere comunicati alle autorità competenti per finalità di prevenzione, accertamento o repressione dei reati, con l'osservanza delle norme che regolano la materia.

Da ultimo occorre ricordare che il comma 5, dell'art. 21 del d.lgs. n. 101/2018 stabilisce che le violazioni delle prescrizioni contenute nelle autorizzazioni generali sono soggette alla sanzione amministrativa di cui all'articolo 83, paragrafo 5, del Regolamento (UE) 2016/679(fino a 20.000.000 euro o per le imprese fino al 4 per cento del fatturato).

Scarica la circolare (formato PDF - 63 KB)