GDPR. Provvedimento Garante Privacy per le categorie particolari di dati

Il Garante Privacy ha pubblicato sul proprio sito istituzionale il Provvedimento¹ ricognitivo delle prescrizioni contenute nelle previgenti autorizzazioni generali per il trattamento dei dati sensibili, vale a dire i dati che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale di una persona².

Il provvedimento, adottato in base al decreto legislativo n. 101 del 2018 che ha adeguato la normativa nazionale al Regolamento UE, si occupa del trattamento delle categorie particolari di dati:

• nei rapporti di lavoro (allegato 1 al provvedimento);
• da parte degli organismi di tipo associativo, delle fondazioni, delle chiese e associazioni o comunità religiose (allegato 2 al provvedimento);
• da parte degli investigatori privati (allegato 3 al provvedimento);
• relativamente ai dati genetici (allegato 4 al provvedimento);
• per scopi di ricerca scientifica (allegato 5 al provvedimento).

Cessano di produrre effetti² le autorizzazioni generali relative al trattamento:

• dei dati idonei a rivelare lo stato di salute e la vita sessuale (autorizzazione n. 2);
• dei dati sensibili da parte dei liberi professionisti (autorizzazione n. 4);
• dei dati sensibili da parte di diverse categorie di titolari (autorizzazione n. 5);
• dei dati giudiziari da parte di privati, enti pubblici economici e soggetti pubblici (autorizzazione n. 7). 

Inoltre, il provvedimento specifica che la violazione delle prescrizioni in esso contenute è soggetta alla sanzione amministrativa pecuniaria fino a 20.000.000 di euro o fino al 4% del fatturato mondiale annuo⁴.

Di seguito, una sintesi delle disposizioni per il trattamento di categorie particolari di dati personali nei rapporti di lavoro (allegato n. 1 al provvedimento).

Prescrizioni relative al trattamento di categorie particolari di dati personali nei rapporti di lavoro

Le disposizioni sui trattamenti di particolari categorie di dati in ambito lavoristico si applicano a tutti coloro che, a vario titolo (titolare o responsabile del trattamento), trattano dati per finalità di instaurazione, gestione ed estinzione del rapporto di lavoro.

In particolare, esse riguardano:

• i soggetti che svolgono, nell’interesse di terzi, attività di intermediazione, ricerca e selezione del personale o supporto alla ricollocazione professionale;
• tutti i soggetti che sono parte di un rapporto di lavoro o che utilizzano prestazioni lavorative anche atipiche, parziali o temporanee;
• organismi paritetici o che gestiscono osservatori in materia di lavoro, previsti dalla normativa dell’Unione europea, dalle leggi, dai regolamenti o dai contratti collettivi anche aziendali;
• rappresentante dei lavoratori per la sicurezza, anche territoriale e di sito;
• consulenti del lavoro;
• associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro, al solo fine di perseguire scopi determinati e legittimi individuati dagli statuti di associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro o dai contratti collettivi in materia di assistenza sindacale ai datori di lavoro;

• medico competente in materia di salute e sicurezza sul lavoro, che opera in qualità di libero professionista o di dipendente del datore di lavoro o di strutture convenzionate.

Quanto agli interessati, vale a dire le persone fisiche sui si riferiscono i dati personali, il provvedimento copre:

• i candidati all’instaurazione dei rapporti di lavoro, anche in caso di CV spontaneamente inviati;
• i lavoratori, i collaboratori, i familiari o i loro conviventi;
• i consulenti e i liberi professionisti, gli agenti, i rappresentanti e i mandatari;
• le persone fisiche che ricoprono cariche sociali o altri incarichi;
• i terzi danneggiati nell’esercizio dell’attività lavorativa o professionale;

Quanto alle finalità, il provvedimento considera i trattamenti effettuati:

• per adempiere o per esigere l’adempimento di specifici obblighi o per eseguire specifici compiti previsti dalla normativa dell’UE, da leggi, da regolamenti o da contratti collettivi anche aziendali, in particolare ai fini dell’instaurazione, gestione ed estinzione del rapporto di lavoro, nonché del riconoscimento di agevolazioni ovvero dell’erogazione di contributi, dell’applicazione della normativa in materia di previdenza e assistenza anche integrativa, o in materia di igiene e sicurezza del lavoro, nonché in materia fiscale e sindacale;
• in conformità alla legge e per scopi determinati e legittimi, ai fini della tenuta della contabilità o della corresponsione di stipendi, assegni, premi, altri emolumenti, liberalità o benefici accessori;
• per perseguire finalità di salvaguardia della vita o dell’incolumità fisica del lavoratore o di un terzo;
• per far valere o difendere un diritto, anche da parte di un terzo, in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di conciliazione. Sul punto, viene precisato che la finalità di tutela dei propri diritti in giudizio deve riferirsi a contenziosi in atto ovvero a situazioni precontenziose;
• per adempiere a obblighi derivanti da contratti di assicurazione finalizzati alla copertura dei rischi connessi alla responsabilità del datore di lavoro in materia di salute e sicurezza del lavoro e di malattie professionali o per i danni cagionati a terzi nell’esercizio dell’attività lavorativa o professionale;
• per garantire le pari opportunità nel lavoro;
• per perseguire scopi determinati e legittimi individuati dagli statuti di associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro o dai contratti collettivi, in materia di assistenza sindacale ai datori di lavoro.

Il provvedimento, poi, detta alcune regole per il trattamento di categorie particolari di dati personali nella fase preliminare all’assunzione e nel corso del rapporto di lavoro.
Quanto alla fase preassuntiva, il provvedimento specifica che i dati idonei a rivelare lo stato di salute e l’origine razziale ed etnica dei candidati possono essere trattati solo se pertinenti e necessari rispetto alla
finalità di assunzione, tenuto conto delle particolari mansioni e/o delle specificità dei profili professionali richiesti. Tale principio vale sia per i dati raccolti dal datore di lavoro, che per quelli contenuti nei CV
spontaneamente inviati dai candidati. A tale ultimo riguardo, il provvedimento precisa che qualora nei CV inviati dai candidati siano presenti dati non pertinenti rispetto alla finalità perseguita i soggetti che effettuano la selezione devono astenersi dall’utilizzare tali informazioni. 

Quanto ai trattamenti di particolari categorie di dati personali in costanza di rapporto di lavoro, il provvedimento specifica che il datore di lavoro:

• tratta dati che rivelano le convinzioni religiose o filosofiche ovvero l’adesione ad associazioni od organizzazioni a carattere religioso o filosofico esclusivamente in caso di fruizione di permessi in occasione di festività religiose o per le modalità di erogazione dei servizi di mensa o, nei casi previsti dalla legge, per l’esercizio dell’obiezione di coscienza;
• tratta dati che rivelano le opinioni politiche o l’appartenenza sindacale, o l’esercizio di funzioni pubbliche e incarichi politici, di attività o di incarichi sindacali esclusivamente ai fini della fruizione di permessi o di periodi di aspettativa riconosciuti dalla legge o, eventualmente, dai contratti collettivi anche aziendali nonché per consentire l’esercizio dei diritti sindacali compreso il trattamento dei dati inerenti alle trattenute per il versamento delle quote di iscrizione ad associazioni od organizzazioni sindacali;
• in caso di partecipazione di dipendenti a operazioni elettorali in qualità di rappresentanti di lista, non deve trattare dati che rivelino le opinioni politiche.

Infine, il provvedimento specifica che:

• non possono essere trattati dati genetici, neppure con il consenso dell’interessato, stabilire l’idoneità professionale di un dipendente;
• per le comunicazioni all’interessato contenenti categorie particolari di dati devono essere utilizzate forme di trasmissione individualizzate nei suoi confronti;
• quando per ragioni di organizzazione del lavoro e nell’ambito della predisposizione di turni di servizio si proceda a mettere a disposizione a soggetti diversi dall’interessato (es. altri colleghi) dati relativi a presenze e assenze dal servizio, il datore di lavoro non deve esplicitare, nemmeno attraverso acronimi o sigle, le causali dell’assenza dalle quali sia possibile evincere la conoscibilità di particolari categorie di dati personali (es. permessi sindacali o dati sanitari).

Note

1. Provvedimento del Garante Privacy n. 146 del 5 giugno 2019 recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101 [9124510].
2. Art. 9 del Regolemanto (UE) 679/2016.
3. In quanto non compatibili con l'art. 21, comma 1, del DLgs 101/2018.
4. Art. 83, paragrafo 5 del Regolamento (UE) 679/2016.

Contatti

Ulteriori informazioni e chiarimenti possono essere richiesti al Settore Fisco e Diritto d'Impresa, tel. 0258370.267/308, e-mail fisc@assolombarda.it