I datori di lavoro possono trattare i dati personali dei lavoratori dipendenti solo se strettamente indispensabili all'esecuzione del rapporto di lavoro, così come il trattamento degli stessi può avvenire solo a cura del personale incaricato assicurando idonee misure di sicurezza per proteggerli da intrusioni o divulgazioni illecite: queste alcune delle indicazioni fornite dal Garante per la privacy nel vademecum che traccia le linee guida in materia di trattamento dei dati dei lavoratori. Il vademecum riepiloga anche le norme in materia di privacy in ambito lavorativo emanate nel tempo dall'Autorità garante.
l Garante della Privacy pubblica un nuovo vademecum con le linee guida da rispettare da parte del datore di lavoro nei confronti dei dipendenti: regole generali e casi specifici.
Ci sono disposizioni di carattere generale e altre invece relative a strumenti precisi (cartellino presenze, bacheche aziendali e via dicendo) nel Vademecum su Privacy e lavoro messo a punto dal Garante per la protezione dei dati personali. Innanzitutto, è stabilito che il datore di lavoro possa trattare informazioni personali solo se strettamente indispensabili all’esecuzione del rapporto di lavoro.
Non solo: i dati possono essere trattati solo da personale incaricato e devono essere rispettate idonee misure di sicurezza. Sul luogo di lavoro vanno assicurate la tutela di diritti, libertà fondamentali, dignità delle persone, garantendo la sfera della riservatezza nelle relazioni personali e professionali. In generale, il trattamento dei dati personali deve rispettare il principio di necessità, per cui sistemi e programmi devono essere configurati riducendo la minimo le informazioni personali e i dati identificativi. Vanno poi rispettati i principi di correttezza, per cui le caratteristiche generali del trattamento vanno rese note ai collaboratori, di pertinenza e non eccedenza (le finalità devono essere esplicite e legittime).
Da sottolineare che il trattamento dei dati sensibili è lecito se finalizzato a obblighi di legge, o derivanti dal regolamento o dal contratto. Entrando nello specifico delle regole:
cartellino identificativo: è lecito utilizzarlo, senza necessariamente riportare tutti i dati anagrafici e le generalità complete del dipendente. Possono bastare codice identificativo, nome, ruolo professionale;
comunicazioni: nel privato per comunicare informazioni sul lavoratore ad associazioni di datori di lavoro, ex dipendenti o conoscenti è necessario il consenso dell’interessato. Nel pubblico, ci vuole un’apposita norma di legge;
bacheche aziendali: si possono affiggere ordini di servizio e turni, non si possono invece inserire documenti relativi a emolumenti, sanzioni disciplinari, motivazioni assenze, adesione a sindacati;
pubblicazione dati: qualsiasi dato personale del lavoratore (foto, curriculum) non può essere pubblicato su siti o intranet aziendali senza il consenso del lavoratore. E’ sempre vietato pubblicare qualsiasi informazione da cui si possa desumere patologie, o uno stato di malattia, disabilità, invalidità. Nel pubblico, per pubblico dati personali è necessaria apposita normativa di settore;
dati sanitari: vanno sempre conservati in fascicoli separati. In caso di assenza per malattia, il certificato riporta solo la data di inizio e fine, non l’indicazione della patologia. Il datore di lavoro non può mai accedere alle cartelle sanitarie, nemmeno in caso di accertamento del medico del lavoro. In caso di denuncia di malattie professionali, il datore di lavoro deve limitarsi a comunicare all’INAIL le informazioni connesse alla patologia. Anche qui, il vademecum sottolinea l’assoluto divieto di diffondere dati idonei a rivelare lo stato di salute del lavoratore;
dati biometrici: sono previste una serie di limitazioni, su cui il Garante ha pubblicato documenti specifici. Ad esempio, le impronte digitali o altre caratteristiche possono essere utilizzate solo per l’accesso a particolari aree sensibili o a macchinari pericolosi. Non sono ammesse banche dati centralizzate, vanno preferibilmente utilizzati altri strumenti, come le smart card ad esclusivo utilizzo del dipendente;
posta elettronica: il datore di lavoro garantisce sicurezza e integrità dei dati, e informa dettagliatamente il dipendente su modalità di utilizzo degli strumenti, controlli, e via dicendo, ad esempio con un disciplinare interno;
controllo a distanza: è vietato.
Sul luogo di lavoro va assicurata la tutela dei diritti, delle libertà fondamentali e della dignità delle persone garantendo la sfera della riservatezza nelle relazioni personali e professionali. Le informazioni personali trattate possono riguardare, oltre all’attività lavorativa, la sfera personale e la vita privata dei lavoratori (ad esempio i dati sulla residenza e i recapiti telefonici) e dei terzi (ad esempio dati relativi al nucleo familiare per garantire determinate provvidenze).
I trattamenti di dati personali devono rispettare il principio di necessità, secondo cui i sistemi informativi e i programmi informatici devono essere configurati riducendo al minimo l’utilizzo di informazioni personali e identificative.
Si deve inoltre rispettare il principio di correttezza, secondo cui le caratteristiche essenziali dei trattamenti devono essere rese note ai lavoratori. I trattamenti devono essere effettuati per finalità determinate, esplicite e legittime in base ai principi di pertinenza e non eccedenza.
Nella bacheca aziendale possono essere affissi ordini di servizio, turni lavorativi o feriali. Non si possono invece affiggere documenti contenenti gli emolumenti percepiti, le sanzioni disciplinari, le motivazioni delle assenze (malattie, permessi ecc.), l’eventuale adesione a sindacati o altre associazioni.
Uso di internet/intranet e della posta elettronica aziendale. Spetta al datore di lavoro adottare idonee misure di sicurezza per assicurare la disponibilità e l’integrità dei sistemi informativi e dei dati, anche per prevenire utilizzi indebiti. I controlli per motivi organizzativi o di sicurezza sono leciti solo se sono rispettati i principi di pertinenza e non eccedenza.
I sistemi software devono essere programmati e configurati in modo da cancellare periodicamente ed automaticamente i dati personali relativi agli accessi ad internet e al traffico telematico, la cui conservazione non sia necessaria.
Va specificato con chiarezza se la navigazione in Internet o la gestione di file nella rete interna autorizzi o meno specifici comportamenti come il download di software o di file musicali o l’uso dei servizi di rete con finalità ludiche o estranee all’attività lavorativa.
