PRIVACY E RAPPORTO DI LAVORO – GLI ERRORI DA EVITARE

Sono numerosi, e anche più comuni di quanto si possa pensare, gli errori
che i datori di lavoro commettono quando si parla di privacy nei rapporti di
lavoro. Analizziamoli per imparare le giuste regole di accountability.

È abbastanza frequente, nella gestione dei rapporti di lavoro da
parte delle aziende, commettere errori in termini di privacy che
potrebbero comportare violazioni e sanzioni della normativa privacy.
Analizziamo in dettaglio i vari ambiti in cui è più comune riscontrare errori
per apprendere le necessarie regole di ACCOUNTABILITY

Autorizzazione privacy
nei curriculum

La vecchia prassi di inserire in fondo al curriculum vitae la frasetta di autorizzazione al trattamento dei dati personali, è ormai noto, non è più necessaria. A quanto pare a richiederla talvolta sono proprio i recruiter (pochi fortunatamente) di alcune aziende.

L’autorizzazione in calce ai CV che siamo abituati a vedere è infatti
superflua già dal lontano 2011.

Lo prevedeva espressamente già il vecchio Codice Privacy (D.lgs. 196/2003)
all’art 24, comma 1 per i dati personali e all’art 26, comma 3, lett. b-bis,
per i dati particolari eventualmente contenuti nel CV.

Tale semplificazione derivava da un decreto-legge del 2011, poi convertito
in Legge 70/2011, che aveva introdotto anche un’altra importante
semplificazione in tema di informativa da rilasciare in occasione della
ricezione di curricula spontaneamente trasmessi dagli interessati: Un’
“INFORMATIVA BREVE” che è tenuto a fornire all’interessato, anche oralmente, al
momento del primo contatto successivo all’invio del curriculum.

Anche il Garante Privacy nel vademecum del 2013 affermava che “……. è
assolutamente superfluo richiedere al candidato il consenso al trattamento dei
dati personali contenuti nel curriculum”.

Informativa privacy
mancante

Il datore di lavoro deve fornire una informativa privacy al candidato e al
lavoratore contestualmente all’acquisizione dei suoi dati personali.

Capita, invece, di trovare moduli per candidatura senza informativa
privacy, di leggere contratti di lavoro con generiche clausole sul trattamento
dei dati personali e nessuna informativa.

Dunque appare quanto meno deficitario il principio di una trasparenza
concreta che dovrebbe caratterizzare il buon inizio di un rapporto di lavoro.

La carenza o l’assenza totale di informativa privacy, magari rilasciata anni a dietro, potrebbero inibire l’uso di foto del dipendente, ed in casi estremi l’impossibilità di trasmettere dati a soggetti terzi, seppur per esigenza di servizio.

Consenso nei rapporti
di lavoro – Base Giuridica del Trattamento

Il consenso, secondo quanto statuito all’art. 4
del Regolamento Europeo Privacy, deve rappresentarsi come una “manifestazione di
volontà libera, specifica, informata e inequivocabile dell’interessato” e deve
essere “liberamente revocabile” dallo stesso.

Pertanto, come anche ribadito dalla Opinion 2/2017 del WP29 (WP249), la esplicita
espressione di consenso nei rapporti di lavoro – diventa del tutto superflua –
ne, tampoco, valutando la circostanza che: il diniego “potrebbe causare allo
stesso (lavoratore n.d.r) un pregiudizio reale o potenziale”.

 Medesimo discorso varrà per la
eventuale libertà nel revocare un consenso, eventualmente concesso, la quale
fattispecie potrebbe generare inevitabili preclusioni e conseguenze, anche
spiacevoli, nel rapporto di lavoro.

Il consenso non può e non deve essere una valida base giuridica nei
rapporti di lavoro, diventa indispensabile stabilire un’alternativa base
giuridica ai sensi del GDPR (art 6).

Videosorveglianza

Sembra assurdo ma ancora oggi, a distanza di molti anni dalla regolamentazione della materia, tantissimi datori di lavoro installano istallano impianti di videosorveglianza senza tener conto dei necessari passaggi che la normativa richiede.

Nelle violazioni c’è un po’ di tutto: mancano gli accordi sindacali o i
passaggi dalla Direzione Territoriale del Lavoro, talvolta mancano le
informative (ad esempio: i cartelli), le immagini sono archiviate per troppi
giorni, l’angolo di inquadratura è orientato sulle postazioni di lavoro e via
dicendo.

Le violazioni coinvolgono per lo più le piccole e medie imprese che
talvolta non dispongono del necessario supporto di professionisti che li
guidino nel favoloso mondo delle leggi e della burocrazia italiana.

Rapporti di lavoro ed errori privacy: c’è tanto da fare

Purtroppo, parlando di rapporti di lavoro ed errori privacy, c’è anche
tanto altro e così da una veloce analisi delle principali cause di negoziazione
dei Data Processing Agreement (susseguenti alla nomina ex art.28
GDPR)  tra Titolare e Responsabile del
trattamento ci si accorge , spesso, di rilevanti imprecisoni.

1. Una madornale
   carenza di procedure di data breach: per esempio si pensa che sia
   sufficiente notificare al Garante Privacy una violazione dei dati entro 72 ore
   da quando il Titolare del Trattamento ne ha conoscenza dal Responsabile, anche
   se tale data è successiva di giorni o mesi rispetto all’evento.
2. Spesso un
   importante vulnus si annida nell’adozione del Provvedimento sugli Amministratori
   di Sistema (Autorità Garante 27 novembre 2008), che in vero, andrebbe – quanto
   meno riformato. Conviviamo, quindi, con non conformità agli audit, manca
   all’identificazione dei requisiti di esperienza, capacità e affidabilità,
   carenza di nomine specifiche, approssimazione sulla identificazione e
   valutazione di gestionali che trattano dati dei lavoratori).
3. Un discorso ad
   hoc merita il tema della formazione, una componente essenziale per chi
   desidera mitigare efficacemente i rischi privacy. Troppe volte si pensa che sia
   sufficiente un modulo e-learning uguale per tutti invece, soprattutto nelle
   realtà più grandi, la formazione andrebbe diversificata fra i dipendenti in
   relazione alla tipologia di trattamenti e secondo criteri valoriali.

Le violazioni possono essere realmente tante e il rischio di una sanzione
privacy è elevato se le aziende non dispongono di professionisti e competenze
adeguate.

Un consiglio? Pagate la competenza, Kotler docet: “Molti imprenditori,
amministratori si preoccupano di quanto può essere costoso fare….pochi valutano
quanto sia costoso non fare….” Non fare bene, direi Io…..

Affidatevi ad un consulente bravo e che abbia soprattutto un’esperienza
valida e multidisciplinare, un esperto di Modelli di Gestione che sappia
garantire un tangibile valore aggiunto alla vostra Impresa.

Federico Bergaminelli

Avv.Federico
Bergaminelli

Esperto di diritto delle nuove tecnologie ICT, TLC, energie rinnovabili e reti intelligenti; proprietà intellettuale e industria; procedimenti innanzi alle autorità amministrative indipendenti e altro contenzioso in materia di privacy nelle comunicazioni.

A latere delle
attività di consulenza e con l’entrata in vigore della Legge 190 del 6 novembre
2012 (Disposizioni per la prevenzione e la repressione della corruzione e
dell’illegalità nella pubblica amministrazione), ai cui lavori preparatori ha
partecipato direttamente, promuove la costituzione dell’Istituto Italiano per l’Anticorruzione,
organizzazione nazionale che gode dell’Alto Patronato del Presidente della
Repubblica. Sin dall’inizio, ne è il Presidente.

Professore associato presso
l’Università degli Studi di Pisa (Facoltà di Giurisprudenza, titolare del corso
su “Responsabilità civile per illecito trattamento dei dati personali”),
docente a contratto presso l’Università degli Studi di Cassino (membro del
comitato didattico del master in “Innovazione e management nelle Pubbliche
Amministrazioni”), presso l’Università “Magna Graecia” di
Catanzaro (membro del comitato didattico del master in “Medicina delle
biotecnologie”) e presso l’Università degli Studi di Napoli (Facoltà di
Scienze Infermieristiche ).

E’ team leader e master
trainer di schema ISO 37001:2016 per il gruppo internazionale DNV-GL
ed opera quale formatore accreditato in materia di Prevenzione della Corruzione
ed in materia di Privacy presso Enti Pubblici ed Enti Nazionali di Formazione.
Consulente di Federsanità-ANCI, coordina l’Osservatorio Nazionale sul Fascicolo
Sanitario Elettronico presso l’Università “Carlo Bò” di Urbino. E’
socio di vari Istituti nazionali ed internazionali di diritto pubblico. E’
autore di pubblicazioni scientifiche e di commento ed annovera numerose
partecipazioni ad eventi formativi e convegni, anche di rilievo internazionale.