Con il Provvedimento n. 497 del 13 dicembre 2018, attualmente sottoposto a consultazione pubblica, il Garante per la protezione dei dati personali ha individuato le prescrizioni, già contenute nella autorizzazione generale n. 1/2016, relative al trattamento di categorie particolari di dati (i “vecchi” dati sensibili) nei rapporti di lavoro, pubblici e privati, che risultano compatibili con il GDPR (Regolamento UR n. 679/2016) e con il D. Lgs. N. 101/2018 di adeguamento del Codice della Privacy. Per “categorie particolari di dati” si intendono, a norma dell’art. 9 del GDPR, i dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.
Ambito di applicazione
Il Provvedimento n. 497 del 2018 si applica nei confronti di tutti coloro che, a vario titolo (titolare/responsabile), effettuano trattamenti per finalità di instaurazione, gestione ed estinzione del rapporto di lavoro. In particolare, il provvedimento di applica a datori di lavoro, agenzie per il lavoro ed altri soggetti che svolgono attività di intermediazione, ricerca e selezione del personale o supporto alla ricollocazione professionale, organismi paritetici o che gestiscono osservatori in materia di lavoro, rappresentati dei lavoratori per la sicurezza, soggetti che curano gli adempimenti in materia di lavoro, di previdenza ed assistenza sociale e fiscale, medico competente in materia di salute e sicurezza sul lavoro interno o esterno all’azienda.
Interessati ai quali i dati si riferiscono
Il Provvedimento n. 497 si applica ai trattamenti di categorie particolari di dati personali, acquisiti di regola direttamente presso l’interessato, riferiti a: candidati all’instaurazione dei rapporti di lavoro, lavoratori subordinati, consulenti e liberi professionisti, agenti, rappresentanti e mandatari, lavoratori autonomi, persone fisiche che ricoprono cariche sociali o altri incarichi in persone giuridiche, enti, associazioni e organismi. Sono “interessati” anche i terzi danneggiati nell’esercizio dell’attività lavorativa o professionale dei soggetti interessati e i familiari o conviventi di questi per il rilascio di agevolazioni o permessi. Il Provvedimento n. 497 si applica ai trattamenti di categorie particolari di dati personali, acquisiti di regola direttamente presso l’interessato, riferiti a: candidati all’instaurazione dei rapporti di lavoro, lavoratori subordinati, consulenti e liberi professionisti, agenti, rappresentanti e mandatari, lavoratori autonomi, persone fisiche che ricoprono cariche sociali o altri incarichi in persone giuridiche, enti, associazioni e organismi. Sono “interessati” anche i terzi danneggiati nell’esercizio dell’attività lavorativa o professionale dei soggetti interessati e i familiari o conviventi di questi per il rilascio di agevolazioni o permessi.
Finalità del Trattamento
Il trattamento delle categorie particolari di dati deve essere effettuato solo se necessario:
– per adempiere o esigere l’adempimento di specifici obblighi di legge, in particolare ai fini dell’instaurazione, della gestione e della estinzione del rapporto di lavoro, nonché del riconoscimento di agevolazioni o dell’erogazione di contributi, dell’applicazione della normativa di previdenza ed assistenza, o in materia di igiene e sicurezza del lavoro e in materia fiscale e sindacale;
– per la tenuta della contabilità, della corresponsione di stipendi, assegni, altri emolumenti, liberalità o benefici accessori;
– per perseguire finalità di salvaguardia della vita e dell’incolumità fisica dei lavoratori o di terzi;
– per far valere o difendere un diritto in sede giudiziaria, amministrativa, in arbitrati e conciliazioni;
– per adempiere agli obblighi derivanti da contratti di assicurazione; – per garantire le pari opportunità nel lavoro;
– per perseguire scopi determinati e legittimi individuati dagli statuti di associazioni, organizzazioni, federazione o confederazioni rappresentative di categorie di datori di lavoro o dai contratti collettivi, in materia di assistenza sindacale ai datori di lavoro.
Trattamento dei dai prima dell’assunzione
Prima dell’assunzione, le agenzie per il lavoro e altri soggetti che svolgono attività di intermediazione, ricerca e selezione del personale o supporto alla ricollocazione professionale possono trattare i dati idonei a rivelare lo stato di salute e l’origine raziale ed etnica dei candidati, solo se la loro raccolta sia giustificata da scopi determinati e legittimi e sia necessaria ad instaurare il rapporto di lavoro. I dati raccolti ai fini dell’instaurazione del rapporto di lavoro, attraverso questionari inviati per via telematica e attraverso l’invio di curricula da parte dei candidati, devono limitarsi alle sole informazioni strettamente pertinenti e limitate a quanto necessario a tela finalità, tenuto conto delle particolari mansioni e degli specifici profili professionali richiesti. Se ne curricula inviati dai candidati vi sono dati non pertinenti rispetto alla finalità perseguita, i soggetti che effettuano il trattamento dovranno astenersi dall’utilizzare tali informazioni. I dati genetici non possono essere trattati al fine di stabilire l’idoneità professionale di un candidato, neppure con il consenso di quest’ultimo.
Prima dell’assunzione, le agenzie per il lavoro e altri soggetti che svolgono attività di intermediazione, ricerca e selezione del personale o supporto alla ricollocazione professionale possono trattare i dati idonei a rivelare lo stato di salute e l’origine raziale ed etnica dei candidati, solo se la loro raccolta sia giustificata da scopi determinati e legittimi e sia necessaria ad instaurare il rapporto di lavoro. I dati raccolti ai fini dell’instaurazione del rapporto di lavoro, attraverso questionari inviati per via telematica e attraverso l’invio di curricula da parte dei candidati, devono limitarsi alle sole informazioni strettamente pertinenti e limitate a quanto necessario a tela finalità, tenuto conto delle particolari mansioni e degli specifici profili professionali richiesti. Se ne curricula inviati dai candidati vi sono dati non pertinenti rispetto alla finalità perseguita, i soggetti che effettuano il trattamento dovranno astenersi dall’utilizzare tali informazioni. I dati genetici non possono essere trattati al fine di stabilire l’idoneità professionale di un candidato, neppure con il consenso di quest’ultimo.
Trattamento nel corso del rapporto di lavoro
I dati relativi alla convinzione religiosa o filosofiche o l’adesione ad associazioni od organizzazioni di carattere religioso o filosofico, possono essere trattati esclusivamente in caso di fruizione di permessi in occasione di festività religiose e per le modalità di erogazione dei servizi di mensa o per l’esercizio dell’obiezione di coscienza. Parimenti, i dati che rivelano le opinioni politiche, l’appartenenza sindacale, l’esercizio di funzioni pubbliche e incarichi politici o sindacali possono essere trattati esclusivamente ai fini della fruizione di permessi o periodi di aspettativa riconosciuti dalla legge o dai contratti collettivi e per consentire l’esercizio dei diritti sindacali. In caso di partecipazione del dipendente ad operazioni elettorali in qualità di rappresentante di lista, il datore di lavoro non deve trattare ,nell’ambito della documentazione da presentare ai fini del riconoscimento dei benefici di legge, dati che rivelino le opinioni politiche del lavoratore.
Modalità di trattamento
I dati devono, di regola, essere raccolti presso l’interessato. Le forme di comunicazione, anche elettronica, devono essere individualizzate. Nel caso in cui si proceda alla trasmissione di un documento cartaceo, questo dovrà essere trasmesso in plico chiuso, salva la necessità di acquisire la prova dell’avvenuta ricezione, attraverso la sottoscrizione per ricevuta. Nel caso in cui vengano scambiati documenti tra diversi uffici, le informazioni ivi contenute devono essere esclusivamente quelle necessarie allo svolgimento della funzione. Non deve essere allegata documentazione integrale o stralci dell’intero testo dei documenti. Non devono essere fatte circolare notizie, nemmeno attraverso acronimi o sigle, su causali di assenze dalle quali sia possibile evincere la conoscibilità di categorie particolari di dati personali (ad esempio, permessi sindacali o dati sanitari).
I dati devono, di regola, essere raccolti presso l’interessato. Le forme di comunicazione, anche elettronica, devono essere individualizzate. Nel caso in cui si proceda alla trasmissione di un documento cartaceo, questo dovrà essere trasmesso in plico chiuso, salva la necessità di acquisire la prova dell’avvenuta ricezione, attraverso la sottoscrizione per ricevuta. Nel caso in cui vengano scambiati documenti tra diversi uffici, le informazioni ivi contenute devono essere esclusivamente quelle necessarie allo svolgimento della funzione. Non deve essere allegata documentazione integrale o stralci dell’intero testo dei documenti. Non devono essere fatte circolare notizie, nemmeno attraverso acronimi o sigle, su causali di assenze dalle quali sia possibile evincere la conoscibilità di categorie particolari di dati personali (ad esempio, permessi sindacali o dati sanitari).
Il provvedimento, sottoposto a consultazione pubblica, sarà adottato entro 60 giorni dal relativo esito. I dati trattati in violazione delle prescrizioni indicate dal Provvedimento non possono essere utilizzati. La violazione delle prescrizioni contenute in autorizzazioni generali e in provvedimenti generali sono soggette a sanzioni amministrative, fino a 20 milioni di Euro o del 4% del fatturato per le imprese, ai senti dell’art. 83 del GDPR e dell’art. 21 del D. Lgs. 101/2018.
https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9068972