I rapporti di lavoro con il GDPR dopo il Dlgs 101/2018

• Il punto di vista
• Venerdì, 12 Ottobre 2018 11:55

Adesso che si dispone, grazie agli adeguamenti apportati dal recentissimo decreto 101 del 4 luglio 2018, di un testo aggiornato del nostro Codice Privacy, possiamo dire cosa c’è di nuovo in tema di trattamenti nell’ambito dei rapporti di lavoro e controlli sui dipendenti. Ricordiamo che il Regolamento ha rinviato alla normazione nazionale la tematica (cons. 155 e art. 88). In particolare l’articolo 88 del Regolamento definisce in modo ampio gli ambiti e le finalità dei trattamenti in tema di rapporti di lavoro, che possono essere regolati mediante regole più precise “da legge o tramite contratti collettivi”.

Ossia: per finalità di assunzione, esecuzione del contratto di lavoro, compreso l'adempimento degli obblighi stabiliti dalla legge o da contratti collettivi, di gestione, pianificazione e organizzazione del lavoro, parità e diversità sul posto di lavoro, salute e sicurezza sul lavoro, protezione della proprietà del datore di lavoro o del cliente e ai fini dell'esercizio e del godimento, individuale o collettivo, dei diritti e dei vantaggi connessi al lavoro, nonché per finalità di cessazione del rapporto di lavoro. 

Ma ricorda anche che le norme devono prevedere “….misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati, in particolare per quanto riguarda la trasparenza del trattamento, il trasferimento di dati personali nell'ambito di un gruppo imprenditoriale o di un gruppo di imprese che svolge un'attività economica comune e i sistemi di monitoraggio sul posto di lavoro. “
Il Codice Privacy, così rivisitato dal decreto 101/2018, non dedica molto spazio specifico alla materia.

Pur tuttavia alcune non mancano le novità. Alcune interventi “tecnici” si sono resi necessari proprio tra le modifiche al Titolo VIII del Codice. Ci si riferisce al richiamo nell’art. 111 all’art.2 quater introdotto dal Decreto in tema di Codici deontologici per i “…soggetti pubblici e privati interessati al trattamento dei dati personali effettuato nell’ambito del rapporto di lavoro” ed alle finalità di cui all’art.88 del Regolamento. Mentre con l’art.111bis viene chiarito in modo inequivocabile che non è dovuto il consenso per il trattamento dei dati contenuti nei curricula, purchè il trattamento rimanga confinato alle finalità precontrattuali di cui all’art.6, co. 1 lett. b) del Regolamento.

Invece il trattamento di categorie particolari di dati personali necessari per motivi di interesse pubblico rilevante, effettuato da soggetti che svolgono compiti di interesse pubblico o connessi all’esercizio di pubblici poteri, che per la materia del lavoro e della previdenza, era in precedenza trattato, nell’ambito dell’art.112 de Codice, è stato accorpato in un unicum all’art. 2 sexies. E lì ritroviamo nell’elenco, ai fini della base giuridica del trattamento dei dati particolari di cui all’art.9 del Regolamento, sia il riferimento ai compiti in materia di instaurazione, gestione ed estinzione, di rapporti di lavoro di qualunque tipo, anche non retribuito o onorario, e di altre forme di impiego, materia sindacale, occupazione e collocamento obbligatorio, previdenza e assistenza, tutela delle minoranze e pari opportunità nell’ambito dei rapporti di lavoro oltre agli adempimenti degli obblighi retributivi, fiscali e contabili, igiene e sicurezza del lavoro, ma anche quelli relativi all’accertamento della responsabilità civile/disciplinare e attività ispettiva.

In sé nulla di nuovo rispetto a quanto già previsto dall’art.112, abrogato dal recente Decreto. Ma mentre la vecchia formulazione dell’art.112 si riferiva a soggetti pubblici, chi sono invece i soggetti che svolgono compiti di interesse pubblico? Sono sicuramenti i c.d. EIP (Enti di interesse pubblico) come indicati dal d.lgs n. 39/2010, art. 16 comma 1, in materia di revisione legale, tra cui vi rientrano le banche e società quotate, tanto per citarne alcuni, o le società concessionarie di servizi pubblici.

In altri termini l’accertamento disciplinare per questi soggetti rientra tra i motivi di pubblico interesse che rappresenterà la base giuridica del trattamento, pur nel rispetto del principio di proporzionalità, e che dovrà chiaramente essere indicata nell’informativa ai dipendenti.

Ciò che invece non si comprende è come mai il trattamento per fini disciplinari sia stato limitato a tali soggetti e non anche ai soggetti privati in generale.

Per comprendere meglio il rilievo alla riforma, è bene ricordare in primis che risultano abrogati dal decreto gli articoli 24 e 26 del Codice, che rispettivamente alla lett. f) del co.1 ed al co. 2 lett. c), consentivano i trattamenti di dati personali “comuni” e “dati sensibili”, senza il necessario consenso, quando ciò fosse stato finalizzato (e necessario) a far valere o difendere un diritto in giudizio.

Tali norme rappresentavano uno strumento chiave per verifiche di condotte fraudolente ed illeciti dei dipendenti.

Inoltre l’art. 2-octies del codice riformato dal recente decreto, circa i trattamenti di dati penali di cui all’art. 10 del Regolamento, a differenza di quanto previsto per i dati particolari, ha previsto tra le finalità di trattamento possibili alla lettera f) del co. 3 anche l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

Il Regolamento, per contro, avrebbe voluto che tale finalità dovesse essere contemplata espressamente dalle normative nazionali, quale eccezione al divieto di trattare “dati particolari” in assenza di consenso. Ce lo ricorda il Considerando 52 in tema di deroghe al trattamento di tali dati “…La deroga dovrebbe anche consentire di trattare tali dati personali se necessario per accertare, esercitare o difendere un diritto, che sia in sede giudiziale, amministrativa o stragiudiziale”.

Per i dati particolari, dunque, non rimane che fare riferimento alla lettera f) dell’art. 9 co.2 del Regolamento che prevede quale base giuridica di liceità, la necessità di perseguire legittimo interesse del titolare del trattamento o di terzi propria delle verifiche di condotte fraudolente o illecite, alle condizioni che vi sia un bilanciamento di interessi che dovranno essere ben chiarite nell’ambito delle policy aziendali di verifica.
In realtà il Regolamento in più punti richiama la finalità di accertare, esercitare o difendere un diritto, quale elemento che rende lecite una serie di operazioni tra le quali ricordiamo: i) la proroga dei termini di conservazione (Cons. 65); ii) in tema di trasferimento di dati all’estero (art.49 par.1 lett.f); iii) in materia di diritto all’Oblio (art.17, par. 3 lett. e).

Ciononostante l’assenza di chiarezza circa la utilizzabilità dei dati particolari per tali fini, potrebbe svuotare in parte di significato il senso dell’articolo 4 dello Statuto dei Lavoratori, in tema di controlli a distanza a cui, anche nella versione rinnovata, il Codice fa espresso richiamo all’art. 114.

Cosa accadrebbe, infatti se ne nel corso della verifica di un presunto illecito segnalato sul canale Whistleblowing ex l.179/2017 (peraltro espressamente richiamata dal Codice riformato), si dovesse rendere necessario l’utilizzo di file di log relativi ad accessi biometrici?

Va ricordato che la versione riformata dellart. 4 SL, a seguito dell’ultimo decreto attuativo del Jobs Act, vede nel terzo comma, una disposizione che fa da cerniera tra i controlli di natura preventiva e quelli di natura ispettiva finalizzati all’accertamento di fatti illeciti: “Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. 196.”

L’espresso rinvio alle norme in materia di trattamento e protezione di dati, sposta infatti l’alveo giuridico del controllo di tipo ispettivo, dallo Statuto dei Lavoratori al Codice Privacy e, pur in assenza di un richiamo espresso che sarebbe quanto mai opportuno, al quadro normativo comunitario ed al Regolamento in particolare.

Ricordiamo che i commi 1 e 2, disciplinano rispettivamente gli impianti aziendali e la videosorveglianza, che richiedono la concertazione con le rappresentanze sindacali o, in difetto, l’autorizzazione dell’Ufficio periferico o dell’Ispettorato Nazionale del lavoro, e l’utilizzo degli strumenti necessari al lavoratore per svolgere la prestazione lavorativa.

Ciò che appare dunque rilevante affichè l’acquisizione e l’utilizzazione dei dati di output per provare un fatto “illecito”, siano - mi si scusi il gioco di parole – “leciti”, oltre ai presupposti che rendano il controllo puntiforme e non di tipo massivo, è la corretta applicazione (a monte e durante) delle norme in tema di trattamento di dati che si esprime, in primis nella informativa da rendere ai dipendenti con un rinvio ad una policy o più policy articolate, di cui , in base al principio di accountability, deve esservi traccia della divulgazione e conoscenza da parte di tutti i destinatari.

Il mancato rispetto delle norme in tema di trattamenti, non solo renderebbe inutilizzabili i dati acquisiti ai sensi del nuovo art. 2 decies del Codice, ma nei casi più gravi potrebbe configurare il reato di illecito trattamento di dati ex art.167 dello stesso Codice.