ASSOCIAZIONE DEGLI INDUSTRIALI DELLA PROVINCIA DI VICENZA
Vicenza, 26 Ottobre 2004
Profili attuativi del Codice della privacy in
azienda: il trattamento dei dati dei
lavoratori, videosorveglianza e controlli a
distanza, le policies aziendali.
Avv. Alessandro del Ninno
Responsabile del Dipartimento di Information & Communication Technology
STUDIO LEGALE TONUCCI
www.tonucci.it
[email protected]
D.lgs. 30 Giugno 2003 n. 196
Codice della privacy
Il Codice della privacy - in vigore dal 1° gennaio 2004 riunisce in un Testo Unico la nota legge 675/1996 - ora
abrogata - e gli altri decreti legislativi disciplinanti
trattamenti di dati personali in particolari settori,
regolamenti e codici deontologici che si sono succeduti in
questi anni, e contiene altresì rilevanti innovazioni
tenendo conto dei più importanti provvedimenti e
decisioni adottati dall’Autorità Garante per la protezione
dei dati personali e della direttiva UE 2000/58 sulla
riservatezza nelle comunicazioni elettroniche.
Struttura del Codice della Privacy
Il Codice è diviso in tre parti:
la prima (artt. 1-45) dedicata alle disposizioni
generali, riordinate in modo tale da trattare tutti
gli adempimenti e le regole del trattamento con
riferimento ai settori pubblico e privato.
la seconda (artt. 46- 140) è la parte speciale dedicata
a specifici settori: questa sezione, oltre a
disciplinare aspetti in parte inediti (informazione
giuridica, notificazioni di atti giudiziari, dati sui
comportamenti debitori), completa anche la
disciplina attesa da tempo per il settore degli
organismi sanitari e quella dei controlli sui
lavoratori.
Struttura del Codice della Privacy
la terza (artt. 141-186) affronta la materia delle tutele
amministrative
e
giurisdizionali
con
il
consolidamento delle sanzioni amministrative e
penali e con le disposizioni relative all'Ufficio del
Garante.
Principali Adempimenti
Notificazione del trattamento al Garante
Il principio di base è oggi quello in base al quale la
notificazione non è mai obbligatoria, eccettuati i casi di
trattamenti previsti dall’articolo 37 del Codice della Privacy.
L’articolo 37 ha introdotto un elenco dei casi (residuali) in cui –
salvo il principio normativo generale della non obbligatorietà
della notifica – tale adempimento amministrativo è comunque
richiesto a fronte di ipotesi in cui le modalità del trattamento o
la natura dei dati personali che ne sono oggetto sono ritenuti
comportare il rischio di un trattamento suscettibile di recare
pregiudizio ai diritti ed alle libertà dell’interessato
Tra i casi di maggiore interesse per le aziende relativamente ad ipotesi in cui
la notificazione resta obbligatoria si ricordano:
1. dati trattati con l'ausilio di strumenti elettronici volti a definire il profilo o la
personalità dell'interessato, o ad analizzare abitudini o scelte di consumo, ovvero a
monitorare l'utilizzo di servizi di comunicazione elettronica con esclusione dei
trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti (tale
caso fa riferimento alla cosiddetta "profilazione" dell'utente ed al caso di utilizzo di
sistemi di tracciatura della navigazione web tramite raccolta di dati personali);
2. dati sensibili registrati in banche di dati a fini di selezione del personale per conto
terzi, nonché dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e
altre ricerche campiona-rie;
3. dati registrati in apposite banche di dati gestite con strumenti elettronici e relative
al rischio sulla solvibilità economica (le cosiddette "centrali rischi"), alla situazione
patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o
fraudolenti.
Il Garante è intervenuto con tre distinti provvedimenti di interpretazione e
chiarimento esplicativo del nuovo regime introdotto dall’articolo 37 del Codice della
privacy.
Un primo provvedimento di carattere generale (Provv. n. 1/2004 del 31 marzo
2004, pubblicato sulla Gazzetta ufficiale 6 aprile 2004, n. 81 e sul sito web
www.garanteprivacy.it) ha chiarito la portata dell’articolo 37 del Codice della privacy,
escludendo, anche attraverso appositi esempi, la notificazione per alcuni trattamenti
di dati personali astrattamente rientranti nell’elenco dei casi obbligatori di notifica.
Con il secondo provvedimento del 23 Aprile 2004 l’Ufficio del Garante ha fornito
ulteriori chiarimenti per il settore privato (imprese, banche, assicurazioni,
professionisti, enti no-profit) su altri trattamenti che non devono essere notificati in
base ad una corretta interpretazione delle disposizioni del Codice sulla privacy.
Con il terzo provvedimento del 26 Aprile 2004 l’Ufficio del Garante per la
protezione dei dati personali ha fornito specifiche precisazioni relative ai
trattamenti in ambito sanitario che non devono essere notificati in base ad una
corretta interpretazione delle disposizioni vigenti.
CONCLUSIONI SUL NUOVE REGIME DELLA NOTIFICAZIONE
Le indicazioni interpretative dell’articolo 37 del Codice fornite dal Garante con i tre
provvedimenti sopra citati hanno delimitano ulteriormente i casi di obbligo di
notificazione preventiva dei trattamenti elencati dall’articolo 37, chiarendo agli operatori
interessati quali ipotesi specifiche, che pure sembrerebbero rientrare nei casi dell’articolo
37 non sono comunque soggette alla notificazione preventiva.
Accanto a tale elenco tassativo di casi di deroga al nuovo principio generale di
assenza dell’obbligo di notifica, lo stesso articolo 37 prevede che il Garante:
1. possa individuare con proprio provvedimento altri trattamenti da sottoporre ad
obbligo di notifica, ancorché non elencati all’articolo 37 del Codice della privacy, in
quanto suscettibili di recare pregiudizio ai diritti e alle libertà dell’interessato, in ragione
delle relative modalità o della natura dei dati personali.
2. possa individuare, anche fra gli stessi casi elencati all’articolo 37, eventuali
trattamenti non suscettibili, in concreto, di recare pregiudizio agli interessati e
quindi sottratti all'obbligo di notificazione previsto dalla norma: in sostanza si tratta di
un principio di segno contrario rispetto a quello appena sopra esaminato.
INFORMATIVA AGLI INTERESSATI E RICHIESTA DEL CONSENSO AL
TRATTAMENTO DEI DATI PERSONALI
Volendo riepilogare le principali regole operative, si ricordi che:
1. L’informativa, redatta ai sensi dell’articolo 13 del Codice della privacy, è sempre
obbligatoria, anche quando non è necessario richiedere il consenso al trattamento da
parte dell’interessato;
2. Il trattamento di dati ordinari da parte di soggetti privati o enti pubblici economici è
ammesso solo con il consenso (espresso ed informato, anche prestato oralmente ma
documentato per iscritto, mai presunto, acquisito prima dell’inizio del trattamento)
dell’interessato, ad eccezione dei casi previsti dall’articolo 24 del Codice della privacy,
per i quali non è necessario acquisire il consenso;
3. Il trattamento di dati “sensibili” è ammesso solo con il consenso scritto
dell’interessato e previa l’autorizzazione del Garante;
4. Il trattamento dei dati giudiziari da parte di privati ed enti pubblici economici è
consentito soltanto se autorizzato da espressa disposizione di legge o provvedimento
del Garante che specifichino le rilevanti finalità di interesse pubblico del trattamento, i
tipi di dati trattati e le operazioni eseguibili dunque non serve, alla presenza di tali
presupposti, il consenso dell’interessato).
CASI DI DEROGA ALL’OBBLIGO DI RICHIEDERE IL CONSENSO AL
TRATTAMENTO
Per quanto riguarda il trattamento dei dati ordinari, non è necessario acquisire il
consenso (ma è obbligatorio rendere l’informativa) tra l’altro nei seguenti casi di
maggiore interesse per le imprese, e cioè quando il trattamento:
1. è necessario per adempiere ad un obbligo previsto dalla legge, da un
regolamento o dalla normativa comunitaria;
2. è necessario per eseguire obblighi derivanti da un contratto del quale è parte
l'interessato o per adempiere, prima della conclusione del contratto, a specifiche
richieste dell'interessato;
3. riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili
da chiunque, fermi restando i limiti e le modalità che le leggi, i regolamenti o la
normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati;
4. riguarda dati relativi allo svolgimento di attività economiche, trattati nel rispetto della
vigente normativa in materia di segreto aziendale e industriale;
5. con esclusione della diffusione, è necessario per far valere o difendere un diritto in
sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il
periodo strettamente necessario al loro perseguimento, nel rispetto della vigente
normativa in materia di segreto aziendale e industriale;
6. con esclusione della diffusione, è necessario, nei casi individuati dal Garante sulla
base dei principi sanciti dalla legge, per perseguire un legittimo interesse del titolare o
di un terzo destinatario dei dati, anche in riferimento all'attività di gruppi bancari e di
società controllate o collegate, qualora non prevalgano i diritti e le libertà fondamentali,
la dignità o un legittimo interesse dell'interessato;
7. con esclusione della comunicazione all'esterno e della diffusione, è effettuato da
associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, in
riferimento a soggetti che hanno con essi contatti regolari o ad aderenti, per il
perseguimento di scopi determinati e legittimi individuati dall'atto costitutivo, dallo
statuto o dal contratto collettivo, e con modalità di utilizzo previste dall’informativa.
CASI DI DEROGA ALL’OBBLIGO DI RICHIEDERE IL CONSENSO AL
TRATTAMENTO
Per quanto riguarda il trattamento dei dati sensibili, non è necessario acquisire il
consenso scritto (ma è obbligatorio rendere l’informativa) tra l’altro nei seguenti casi di
maggiore interesse per le imprese:
1. quando il trattamento è necessario per adempiere a specifici obblighi o compiti
previsti dalla legge, da un regolamento o dalla normativa comunitaria per la gestione
del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e della
popolazione e di previdenza e assistenza, nei limiti previsti dall'autorizzazione del
Garante e ferme restando le disposizioni del futuro codice di deontologia e di buona
condotta in ambito lavoristico (in tal caso non è necessario richiedere il consenso, ma
occorre rispettare l’Autorizzazione generale applicabile ed il codice deontologico);
2. nel caso di trattamento dei dati riguardanti l'adesione di associazioni od
organizzazioni a carattere sindacale o di categoria ad altre associazioni, organizzazioni
o confederazioni a carattere sindacale o di categoria (in tal caso non solo non è
necessario il consenso, ma neanche conformarsi all’autorizzazione del Garante).
LE REGOLE PER LA VIDEOSORVEGLIANZA
L’acquisizione di immagini effettuata con l’ausilio di sistemi di videosorveglianza,
rientra nell’ambito di applicazione della normativa a tutela della privacy nella misura
in cui tali immagini, consentendo direttamente o indirettamente l’individuazione dei
soggetti interessati, si configurino quali dati personali a tutti gli effetti.
L’utilizzo di sistemi di videosorveglianza aziendali per ragioni di prevenzione e tutela
della sicurezza è regolato dall’articolo 134 del Codice della Privacy (che si limita a
rinviare all’adozione di un futuro codice di deontologia e buona condotta) e
soprattutto dalle indicazioni operative contenute nel recente Provvedimento
Generale sulla Videosorveglianza emanato dall’Autorità Garante il 29 Aprile 2004 (in
aggiornamento del precedente Decalogo sulla Videosorveglianza del 29.11.2000).
LE REGOLE PER LA VIDEOSORVEGLIANZA
Assenza dell’obbligo di richiedere il consenso e rispetto del
principio di necessità
Il Garante, nel Provvedimento citato, ha svincolato dal presupposto del consenso
preventivo dell’interessato l’acquisizione di immagini a mezzo di sistemi di
videosorveglianza quando chi intende rilevare le immagini persegue un interesse
legittimo a fini di tutela di persone e beni rispetto a possibili aggressioni, furti, rapine,
danneggiamenti, atti di vandalismo, prevenzione incendi, sicurezza del lavoro.
La prima regola operativa è quella del cosiddetto “principio di necessità”, inteso
come prerequisito essenziale, nel senso che l'acquisizione attraverso sistemi di
videosorveglianza di immagini che rendano identificabile la persona interessata è
lecita laddove le finalità perseguite mediante tale trattamento non possano essere
realizzate con l'impiego di dati anonimi od altri sistemi meno invasivi.
LE REGOLE PER LA VIDEOSORVEGLIANZA
Distinzione tra sistemi di rilevazione e sistemi di registrazione
delle immagini
Altra importante regola pratica da seguire fa riferimento alla distinzione tra
impianti di registrazione delle immagini ed impianti di rilevazione delle
immagini. A fronte della maggiore invasività dei dispositivi di registrazione delle
immagini rispetto a quelli di semplice rilevazione, il Garante ha segnalato che le
vere e proprie registrazioni effettuate a tutela della proprietà e del patrimonio
aziendale sono legittime soltanto in presenza di concrete ed effettive situazioni di
rischio. Dunque, in assenza di tali concrete situazioni di rischio (comprovate ad
esempio da furti od atti lesivi della proprietà in passato subiti dal Titolare oppure
dalla vicinanza a zone urbane ritenute “pericolose”), un sistema di
videosorveglianza dovrebbe essere tarato in modo tale da non consentire la
registrazione e conservazione delle immagini.
LE REGOLE PER LA VIDEOSORVEGLIANZA
Dislocazione delle videocamere e modalità di ripresa in base al
principio di proporzionalità.
Il Garante ha ritenuto lecita l’installazione di apparati di videosorveglianza laddove
l’adozione di altre misure di sicurezza si riveli insufficiente o inattuabile (il che
rappresenta un ulteriore prerequisito di liceità dell’attivazione di impianti di
videosorveglianza, nel senso che detta attivazione deve seguire una specifica
analisi in base alla quale si sia verificato che altri sistemi di sicurezza sono in
concreto – per la situazione specifica della sicurezza aziendale – insufficienti), ma
ha dichiarato l’illegittimità dell’acquisizione di immagini in aree per le quali
non ricorre un’effettiva esigenza di deterrenza in quanto non soggette a
concreti pericoli.
In tal senso, nella generale politica della sicurezza adottata dal Titolare del
trattamento, si deve tenere conto non solo delle effettive situazioni di rischio, ma a
seguito della relativa analisi ne deve discendere una conseguente dislocazione dei
sistemi di ripresa (non installati in via generale all’interno o all’esterno dei locali
aziendali, ma semmai esclusivamente nelle aree dove gli stessi siano realmente
necessari e proporzionati alle esigenze di sicurezza preventiva). Una volta dislocati i
sistemi di ripresa in base alle considerazioni appena sopra formulate, il titolare
dovrà altresì curare che l’angolo visuale delle riprese e la tipologia fissa o
mobile dei dispositivi per l’acquisizione di immagini siano tali da evitare
indebite interferenze nell’altrui sfera di riservatezza.
In ogni caso, nell’uso delle apparecchiature volte a riprendere, per i legittimi
interessi indicati, aree esterne ad edifici e immobili (perimetrali, adibite a
parcheggi o a carico/scarico merci, accessi, uscite di emergenza), il
trattamento deve essere effettuato con modalità tali da limitare l’angolo visuale
all’area effettivamente da proteggere, evitando la ripresa di luoghi circostanti
e di particolari non rilevanti (vie, edifici, esercizi commerciali, istituzioni ecc.).
LE REGOLE PER LA VIDEOSORVEGLIANZA
Adempimenti nei confronti dei terzi (visitatori e addetti).
Le finalità perseguite dal titolare del trattamento mediante l’apparato di
videosorveglianza devono essere esplicitate e rese conoscibili al pubblico. Per tale
motivo doverosa è l’indicazione di tali finalità nell’informativa che deve essere resa a
quanti accedono o si trovano all’interno di un area videosorvegliata . E’ possibile
utilizzare una informativa estremamente semplificata, redatta dalla stessa Autorità
Garante. Tale informativa semplificata può essere utilizzata nelle aree esterne e
deve essere collocata nelle immediate vicinanze dei luoghi ripresi. Il supporto
recante l’informativa, inoltre, deve essere chiaramente visibile per formato e
posizionamento.
Per gli apparati di videosorveglianza collocati in luoghi diversi dalle aree esterne il
Garante prescrive l’adozione di un’informativa più circostanziata recante le
indicazioni di cui all’art. 13 del Codice della Privacy. Tale diversa informativa tiene
conto del fatto che i sistemi di ripresa potrebbero rilevare immagini non di visitatori
occasionali ma di lavoratori ed impiegati del Titolare del trattamento. Tale seconda,
diversa informativa è da collocarsi nelle aree interne in prossimità delle telecamere,
anch’essa con formato e posizionamento tale da essere chiaramente visibile.
Sempre con riferimento a riprese interne che implichino eventualmente rilevazione o
registrazione di immagini relative a dipendenti o allo svolgimento di attività
lavorative, va tenuto presente che nelle attività di sorveglianza occorre
rispettare il divieto di controllo a distanza dell’attività lavorativa. Vanno poi
osservate le garanzie previste in materia di lavoro quando la videosorveglianza è
impiegata per esigenze organizzative e dei processi produttivi, ovvero è richiesta
per la sicurezza del lavoro (art. 4 legge n. 300/1970; art. 2 d.lgs. n. 165/2001).
Queste garanzie vanno osservate sia all’interno degli edifici, sia in altri luoghi di
prestazione di lavoro. E’ inammissibile l’installazione di sistemi di
videosorveglianza in luoghi riservati esclusivamente ai lavoratori o non
destinati all’attività lavorativa (ad es. bagni, spogliatoi, docce, armadietti e
luoghi ricreativi).
Eventuali riprese televisive sui luoghi di lavoro per documentare attività od
operazioni solo per scopi divulgativi o di comunicazione istituzionale o aziendale, e
che vedano coinvolto il personale dipendente, possono essere assimilati ai
trattamenti temporanei finalizzati alla pubblicazione occasionale di articoli, saggi ed
altre manifestazioni del pensiero. In tal caso, alle stesse si applicano le disposizioni
sull’attività giornalistica contenute nel Codice, fermi restando, comunque, i limiti al
diritto di cronaca posti a tutela della riservatezza, nonché l’osservanza del codice
deontologico per l’attività giornalistica ed il diritto del lavoratore a tutelare la propria
immagine opponendosi anche, per motivi legittimi, alla sua diffusione.
LE REGOLE PER LA VIDEOSORVEGLIANZA
Conservazione delle immagini registrate.
Oltre alla distinzione più sopra rilevata tra registrazione e rilevazione delle immagini
va osservato che nel caso in cui il titolare del trattamento abbia preliminarmente
verificato l’esistenza di concrete ed effettive situazioni di rischio (che in
sostanza autorizzano non solo la rilevazione ma anche la registrazione delle
immagini), in ogni caso, in applicazione del principio di proporzionalità, il tempo di
conservazione delle immagini acquisite non deve eccedere quello strettamente
necessario al raggiungimento della finalità perseguita dal titolare del trattamento
mediante l’adozione dell’apparato di videosorveglianza. In tal senso, il Garante
limita il tempo massimo di conservazione delle immagini acquisite alle
ventiquattro ore successive alla rilevazione.
Un tempo di conservazione più ampio, comunque non superiore ad una
settimana dalla rilevazione, viene ammesso a fronte di peculiari esigenze tecniche
o della particolare rischiosità dell’attività svolta dal titolare del trattamento.
Un eventuale allungamento dei tempi di conservazione deve essere valutato come
eccezionale e comunque in relazione alla necessità derivante da un evento già
accaduto o realmente incombente, oppure alla necessità di custodire o consegnare
una copia specificamente richiesta dall’autorità giudiziaria o di polizia giudiziaria in
relazione ad un’attività investigativa in corso.
Il sistema impiegato deve essere programmato in modo da operare al momento
prefissato - ove tecnicamente possibile - la cancellazione automatica da ogni
supporto, anche mediante sovra-registrazione, con modalità tali da rendere
non riutilizzabili i dati cancellati.
LE REGOLE PER LA VIDEOSORVEGLIANZA
Soggetti incaricati del trattamento e misure di sicurezza.
Le persone fisiche incaricate del trattamento (cioè, ai sensi dell’articolo 30
del Codice della Privacy e, le persone fisiche autorizzate a compiere
operazioni di trattamento dal titolare o dal responsabile che operano sotto
la diretta autorità del titolare o del responsabile, attenendosi alle istruzioni
impartite), cioè gli addetti del Titolare del trattamento autorizzati ad
utilizzare e gestire gli impianti di videosorveglianza e a visionare le
immagini acquisite nei casi in cui ciò sia indispensabile, devono essere
designate per iscritto (oppure deve essere preliminarmente definito per
iscritto l’ambito dei trattamenti consentiti all’Unità Produttiva cui sono
addetti gli Incaricati).
Deve trattarsi di un numero molto ristretto di soggetti, in particolare quando
ci si avvale di una collaborazione esterna (ad esempio, servizi esterni di
sicurezza, eventualmente da nominare Responsabili del trattamento).
In materia di misure di sicurezza il Provvedimento prescrive la regolamentazione
dell’accessibilità alle immagini acquisite al fine di ridurre al minimo i rischi di perdita,
deterioramento, distruzione, accesso non autorizzato e trattamento non consentito
delle immagini medesime.
A tal proposito, adeguata e conforme a tale prescrizione appare la custodia delle
apparecchiature di videoregistrazione all’interno di locali chiusi e la limitazione
dell’accesso ai suddetti locali ai soli incaricati del trattamento. Parimenti adeguata e
doverosa deve ritenersi la conservazione dei supporti contenenti le immagini
registrate all’interno di appositi archivi chiusi a chiave ed anch’essi accessibili
esclusivamente agli incaricati del trattamento.
Quando i dati vengono conservati - naturalmente per un tempo limitato in
applicazione del principio di proporzionalità - devono essere previsti diversi livelli
di accesso al sistema e di utilizzo delle informazioni, avendo riguardo anche
ad eventuali interventi per esigenze di manutenzione.
Occorre infine:
1. prevenire possibili abusi attraverso opportune misure di sicurezza basate in
particolare su una “doppia chiave” fisica o logica che consentano una immediata ed
integrale visione delle immagini solo in caso di necessità (da parte di addetti alla
manutenzione o per l’estrazione dei dati ai fini della difesa di un diritto o del riscontro
ad una istanza di accesso, oppure per assistere la competente autorità giudiziaria o
di polizia giudiziaria). Va infatti tenuto conto che l’accessibilità regolamentata alle
immagini registrate da parte degli addetti è fattore di sicurezza;
2. subordinare la visione delle immagini registrate alla sussistenza della sola ipotesi
di svolgimento di indagini da parte dell’autorità giudiziaria e comunque previa
autorizzazione del responsabile del servizio logistico, contemperando tale procedura
con il legittimo esercizio del diritto di accesso ai dati che li riguardano attribuito
dall’art. 7 del Codice ai soggetti identificabili attraverso le immagini registrate quali
diretti interessati al trattamento.
3. Organizzare iniziative periodiche di formazione degli incaricati sui doveri, sulle
garanzie e sulle responsabilità, sia all’atto dell’introduzione del sistema di
videosorveglianza, sia in sede di modifiche delle modalità di utilizzo.
CONCLUSIONI SULLA VIDEOSORVEGLIANZA
Documento interno del Titolare del trattamento sulle scelte
relative al sistema di videosorveglianza.
Le ragioni delle scelte relative alla attivazione ed implementazione del
sistema di videosorveglianza interna del Titolare del trattamento
devono essere adeguatamente documentate in un atto autonomo
conservato presso la sede aziendale a cura del titolare o del
responsabile del trattamento, e ciò anche ai fini dell’eventuale
esibizione in occasione di visite ispettive, oppure dell’esercizio dei
diritti dell’interessato o di contenzioso.
IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI
Le regole operative sono contenute nella Autorizzazione Generale del Garante
1/2004 al trattamento dei dati sensibili nei rapporti di lavoro.
L’autorizzazione è rilasciata alle persone fisiche e giuridiche, alle imprese, agli
enti, alle associazioni e agli organismi che sono parte di un rapporto di lavoro o
che utilizzano prestazioni lavorative anche atipiche, parziali o temporanee, o
che comunque conferiscono un incarico professionale a consulenti, liberi
professionisti, agenti, rappresentanti e mandatari, soggetti che effettuano
prestazioni coordinate e continuative o ad altri lavoratori autonomi in rapporto
di collaborazione con i soggetti appena elencati;
L’autorizzazione riguarda anche l'attività svolta dal medico competente in
materia di igiene e di sicurezza del lavoro (tenuto altresì al rispetto anche
dell’Autorizzazione generale 4/2004), in qualità di libero professionista o di
dipendente dei soggetti di cui sopra o di strutture convenzionate e da
associazioni, organizzazioni, federazioni o confederazioni rappresentative di
categorie di datori di lavoro, al solo fine di perseguire scopi determinati e
legittimi individuati dagli statuti o dai contratti collettivi.
IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI
Interessati ai quali i dati si riferiscono
Il trattamento può riguardare i dati sensibili attinenti:
1. a lavoratori dipendenti, anche se prestatori di lavoro temporaneo o in
rapporto di tirocinio, apprendistato e formazione e lavoro, ovvero ad associati
anche in compartecipazione e, se necessario, ai relativi familiari e conviventi;
2. a consulenti e a liberi professionisti, ad agenti, rappresentanti e mandatari;
3. a soggetti che effettuano prestazioni coordinate e continuative o ad altri
lavoratori autonomi in rapporto di collaborazione con i Titolari del trattamento;
3. a candidati all'instaurazione dei rapporti di lavoro di cui ai numeri precedenti;
4. a persone fisiche che ricoprono cariche sociali o altri incarichi nelle persone
giuridiche, negli enti, nelle associazioni e negli organismi autorizzati dal garante
al trattamento;
5. a terzi danneggiati nell'esercizio dell'attività lavorativa o professionale dai
soggetti di cui ai precedenti numeri.
IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI
Finalità del trattamento
Il trattamento dei dati sensibili deve essere indispensabile:
a) per adempiere o per esigere l'adempimento di specifici obblighi o per eseguire
specifici compiti previsti dalla normativa comunitaria, da leggi, da regolamenti o
da contratti collettivi anche aziendali, in particolare ai fini dell'instaurazione,
gestione ed estinzione del rapporto di lavoro, nonché dell'applicazione della
normativa in materia di previdenza ed assistenza anche integrativa, o in materia
di igiene e sicurezza del lavoro o della popolazione, nonché in materia fiscale,
sindacale, di tutela della salute, dell'ordine e della sicurezza pubblica;
b) anche fuori dei casi di cui alla lettera a), in conformità alla legge e per scopi
determinati e legittimi, ai fini della tenuta della contabilità o della corresponsione
di stipendi, assegni, premi, altri emolumenti, liberalità o benefici accessori;
c) per perseguire finalità di salvaguardia della vita o dell'incolumità fisica
dell'interessato o di un terzo;
d) per far valere o difendere un diritto anche da parte di un terzo in sede
giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di
conciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dai
regolamenti o dai contratti collettivi, sempre che i dati siano trattati
esclusivamente per tali finalità e per il periodo strettamente necessario al loro
perseguimento. Qualora i dati siano idonei a rivelare lo stato di salute e la vita
sessuale, il diritto da far valere o difendere deve essere di rango pari a quello
dell'interessato, ovvero consistente in un diritto della personalità o in un altro
diritto o libertà fondamentale e inviolabile;
e) per esercitare il diritto di accesso ai documenti amministrativi, nel rispetto di
quanto stabilito dalle leggi e dai regolamenti in materia;
f) per adempiere ad obblighi derivanti da contratti di assicurazione finalizzati
alla copertura dei rischi connessi alla responsabilità del datore di lavoro in
materia di igiene e di sicurezza del lavoro e di malattie professionali o per i
danni cagionati a terzi nell'esercizio dell'attività lavorativa o professionale;
g) per garantire le pari opportunità;
h) per perseguire scopi determinati e legittimi individuati dagli statuti di
associazioni, organizzazioni, federazioni o confederazioni, etc.
IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI
Categorie dei dati
Il trattamento può avere per oggetto i dati strettamente pertinenti ai sopra
indicati obblighi, compiti o finalità che non possano essere adempiuti o
realizzati, caso per caso, mediante il trattamento di dati anonimi o di dati
personali di natura diversa, e in particolare:
a) nell'ambito dei dati idonei a rivelare le convinzioni religiose, filosofiche o di
altro genere, ovvero l'adesione ad associazioni od organizzazioni a carattere
religioso o filosofico, i dati concernenti la fruizione di permessi e festività religiose
o di servizi di mensa, nonché la manifestazione, nei casi previsti dalla legge,
dell'obiezione di coscienza;
b) nell'ambito dei dati idonei a rivelare le opinioni politiche, l'adesione a partiti,
sindacati, associazioni od organizzazioni a carattere politico o sindacale, i dati
concernenti l'esercizio di funzioni pubbliche e di incarichi politici, di attività o di
incarichi sindacali (sempre che il trattamento sia effettuato ai fini della fruizione
di permessi o di periodi di aspettativa riconosciuti dalla legge o, eventualmente,
dai contratti collettivi anche aziendali), ovvero l'organizzazione di pubbliche
iniziative, nonché i dati inerenti alle trattenute per il versamento delle quote di
servizio sindacale o delle quote di iscrizione ad associazioni od organizzazioni
politiche o sindacali;
c) nell'ambito dei dati idonei a rivelare lo stato di salute, i dati raccolti e
ulteriormente trattati in riferimento a invalidità, infermità, gravidanza, puerperio
o allattamento, ad infortuni, ad esposizioni a fattori di rischio, all'idoneità psicofisica a svolgere determinate mansioni, all'appartenenza a determinate
categorie protette, nonché i dati contenuti nella certificazione sanitaria
attestante lo stato di malattia, anche professionale dell'interessato, o comunque
relativi anche all'indicazione della malattia come specifica causa di assenza del
lavoratore.
IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI
Modalità del trattamento
Fermi restando gli obblighi previsti dagli articoli 11, 14 e 31 e ss. del Codice, il
trattamento dei dati sensibili deve essere effettuato unicamente con operazioni,
nonché con logiche e mediante forme di organizzazione dei dati strettamente
indispensabili in rapporto ai sopra indicati obblighi, compiti o finalità.
I dati sono raccolti, di regola, presso l'interessato.
La comunicazione di dati all'interessato deve avvenire di regola direttamente a
quest'ultimo o a un suo delegato (fermo restando quanto previsto dall'art. 84,
comma 1, del Codice per la comunicazione all’interessato dei suoi dati inerenti a
rivelare lo stato di salute, che possono essere comunicati solo per il tramite di un
medico designato dal titolare o dall’interessato), in plico chiuso o con altro mezzo
idoneo a prevenire la conoscenza da parte di soggetti non autorizzati, anche
attraverso la previsione di distanze di cortesia.
Restano inoltre fermi gli obblighi di informare l'interessato e, ove necessario, di
acquisirne il consenso scritto, in conformità a quanto previsto dagli articoli 13, 23
e 26 del Codice.
IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI
Conservazione dei dati
Nel quadro del rispetto dell'obbligo di conservare i dati che consentono
l’identificazione dell’interessato per un periodo di tempo non superiore a quello
necessario a perseguire gli scopi per i quali i dati sono stati originariamente
raccolti e trattati, i dati sensibili possono essere conservati per un periodo non
superiore a quello necessario per adempiere agli obblighi o ai compiti illustrati
nella slide relativa alle finalità del trattamento. A tal fine, anche mediante controlli
periodici, deve essere verificata costantemente la stretta pertinenza, non
eccedenza e indispensabilità dei dati rispetto al rapporto, alla prestazione o
all'incarico in corso, da instaurare o cessati, anche con riferimento ai dati che
l'interessato fornisce di propria iniziativa. I dati che, anche a seguito delle
verifiche, risultano eccedenti o non pertinenti o non indispensabili non possono
essere utilizzati, salvo che per l'eventuale conservazione, a norma di legge,
dell'atto o del documento che li contiene. Specifica attenzione è prestata per
l'indispensabilità dei dati riferiti a soggetti diversi da quelli cui si riferiscono
direttamente le prestazioni e gli adempimenti.
IL TRATTAMENTO DEI DATI SENSIBILI DEI LAVORATORI
Comunicazione e diffusione dei dati
I dati sensibili possono essere comunicati e, ove necessario diffusi, nei limiti
strettamente pertinenti agli obblighi, ai compiti o alle finalità del trattamento, a
soggetti pubblici o privati, ivi compresi organismi sanitari, casse e fondi di
previdenza ed assistenza sanitaria integrativa anche aziendale, istituti di patronato
e di assistenza sociale, centri di assistenza fiscale, agenzie per il lavoro,
associazioni ed organizzazioni sindacali di datori di lavoro e di prestatori di lavoro,
liberi professionisti, società esterne titolari di un autonomo trattamento di dati e
familiari dell'interessato.
Tra i dati sensibili, quelli idonei a rivelare lo stato di salute non possono mai
essere diffusi.
CONCLUSIONI: RAPPORTI TRA L’AUTORIZZAZIONE 1/2004 E LE
ALTRE NORMATIVE LAVORISTICHE APPLICABILI
Restano fermi gli obblighi previsti da norme di legge o di regolamento, ovvero
dalla normativa comunitaria, che stabiliscono divieti o limiti in materia di
trattamento di dati personali e, in particolare, dalle disposizioni contenute:
a) nell'art. 8 della legge 20 maggio 1970, n. 300, che vieta al datore di lavoro ai
fini dell'assunzione e nello svolgimento del rapporto di lavoro, di effettuare
indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del
lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell'attitudine
professionale del lavoratore;
b) nell'art. 6 della legge 5 giugno 1990, n. 135, che vieta ai datori di lavoro lo
svolgimento di indagini volte ad accertare, nei dipendenti o in persone prese in
considerazione per l'instaurazione di un rapporto di lavoro, l'esistenza di uno
stato di sieropositività;
c) nelle norme in materia di pari opportunità o volte a prevenire
discriminazioni;
d) fermo restando quanto disposto dall'art. 8 della legge 20 maggio
1970, n. 300, nell'art. 10 del d.lg. 10 settembre 2003, n. 276, che vieta alle
agenzie per il lavoro e agli altri soggetti privati autorizzati o accreditati di
effettuare qualsivoglia indagine o comunque trattamento di dati ovvero di
preselezione di lavoratori, anche con il loro consenso, in base alle convinzioni
personali, alla affiliazione sindacale o politica, al credo religioso, al sesso,
all'orientamento sessuale, allo stato matrimoniale o di famiglia o di
gravidanza, alla età, all'handicap, alla razza, all'origine etnica, al colore, alla
ascendenza, all'origine nazionale, al gruppo linguistico, allo stato di salute e
ad eventuali controversie con i precedenti datori di lavoro, nonché di trattare
dati personali dei lavoratori che non siano strettamente attinenti alle loro
attitudini professionali e al loro inserimento lavorativo.
IL CASO PARTICOLARE DEL TRATTAMENTO DI DATI SENSIBILI PER
ATTIVITA’ DI SELEZIONE DEL PERSONALE (GESTIONE CURRICULA VITAE)
Le regole operative sono contenute sia nell’Autorizzazione Generale 5/2004 che
nel Provvedimento 10 gennaio 2002 “Informativa negli annunci relativi ad offerte
di lavoro”.
Con riferimento al Provvedimento 10.1.2002, il Garante segnala:
1. gli annunci di lavoro devono contenere una chiara informativa, che evidenzi
l'insieme degli elementi necessari per un conferimento consapevole dei dati da
parte del candidato e, ove necessario, per l'acquisizione di un consenso
informato e specifico (consenso che è peraltro superfluo ove i dati da inserire
nel curriculum non abbiano natura sensibile o non siano comunicati a terzi)
2. L’informativa può essere fornita anche attraverso messaggi brevi e in stile
colloquiale (omettendo superflue "assicurazioni" circa il rispetto della normativa
sulla privacy), che permettano ai candidati interessati di comprendere i seguenti
aspetti:
A) l'identità del/i titolare/i del trattamento dei dati riportati nei curricula e le finalità e
modalità del medesimo trattamento, specificando se vi siano ulteriori finalità oltre
quelle connesse alla specifica ricerca di personale, o particolari modalità di
organizzazione, di raffronto o di elaborazione dei dati. Devono essere indicati
altresì i tempi della conservazione (anche per permettere agli interessati di poter
eventualmente aggiornare ed integrare i dati), i quali devono risultare brevi e
proporzionati rispetto alle finalità e modalità del trattamento;
B) l'eventualità che i dati siano divulgati a terzi, individuati almeno per categorie;
C) la circostanza che il conferimento dei dati è facoltativo e che la mancata
indicazione di alcuni di essi può avere determinate conseguenze, invitando ad
omettere dati non pertinenti in relazione all'offerta di lavoro e a manifestare per
scritto il consenso al trattamento di dati sensibili (ad esempio, per quanto riguarda
l'appartenenza a particolari categorie protette);
D) una descrizione dei diritti riconosciuti al candidato interessato ai sensi dell'art. 7
del Codice della Privacy;
E) i dati identificativi di almeno un responsabile del trattamento, ove questi sia
designato (preferibilmente indicato nel soggetto preposto ai rapporti con gli
interessati ai sensi dell'art. 7 del Codice della privacy).
INDICAZIONI OPERATIVE DEL GARANTE SUL MODELLO DI
INFORMATIVA PER LA RACCOLTA DI CV
L’Autorità suggerisce un possibile schema di informativa - riproducibile anche
in parte nell'annuncio, a seconda dello spazio disponibile e della complessa
utilizzazione dei dati - di seguito indicato a titolo meramente esemplificativo:
a) "Nel curriculum vanno indicati i dati necessari a valutare il profilo del
candidato. Saranno utilizzati con modalità strettamente riferite a questa
selezione di personale. Potranno essere comunicati all'azienda ns. cliente (o
ad altre società nel/i settore/i … e/o che ne facciano richiesta per valutare
un'eventuale assunzione …). In caso di esito negativo saranno cancellati
dopo .… E' possibile rivolgersi al servizio ... per verificare i propri dati e farli
integrare, aggiornare o rettificare e/o per esercitare gli altri diritti previsti
dall'art. 7 del Codice della privacy".
INDICAZIONI OPERATIVE DEL GARANTE SUL MODELLO DI
INFORMATIVA PER LA RACCOLTA DI CV
Si potrebbero poi inserire altre formule-tipo eventualmente necessarie del
tipo:
"Si prega di non indicare dati sensibili (relativi, in particolare, a salute,
convinzioni religiose e opinioni politiche)".
"Eventuali dati sensibili indicati (relativi, in particolare, a salute,
convinzioni religiose e opinioni politiche) saranno immediatamente
cancellati in mancanza di una dichiarazione scritta di consenso
dell'interessato al loro trattamento da parte della nostra società (e
dell'azienda nostra cliente)".
CURRICULA INVIATI SPONTANEMANTE
Risulta in parte diversa l'ipotesi dei curricula che i soggetti in cerca di occupazione
inviano spontaneamente ad aziende senza rispondere ad annunci o ad avvisi.
In questa ipotesi, la raccolta dei dati conseguente alla ricezione del curriculum non
avviene su iniziativa del titolare del trattamento, che, in questo caso, si trova
nell'impossibilità di fornire una previa informativa, né può acquisire in anticipo il
consenso eventualmente necessario alla luce dell'inclusione nel curriculum di
alcuni dati sensibili (come, ad esempio, l'appartenenza a particolari categorie
protette).
Per i casi in cui l'interessato provvede all'invio del curriculum di propria iniziativa, il
problema potrà essere risolto anche attraverso le specifiche disposizioni del codice
di deontologia relativo al trattamento dei dati necessari per finalità previdenziali o
per la gestione del rapporto di lavoro. In questa prospettiva, tuttavia, il Garante ha
indicato agli operatori interessati la necessità di adempiere comunque, senza
ritardo, agli obblighi dell'informativa — e di richiesta dell'eventuale consenso — in
caso di successivo trattamento dei dati contenuti nei curricula ricevuti.
IL CASO PARTICOLARE DEL TRATTAMENTO DI DATI SENSIBILI PER
ATTIVITA’ DI SELEZIONE DEL PERSONALE (GESTIONE CURRICULA
VITAE)
Trattamento dei dati sensibili tramite raccolta di curricula vitae
Con riferimento alle regole operative contenute nell’Autorizzazione Generale
5/2004 sul trattamento dei dati sensibili nell’ambito della gestione dei curricula
vitae, si segnala quanto segue.
Nel Capo IV - Attività di selezione del personale - dell’Autorizzazione 5/2004
si individuano i Titolari del trattamento nelle imprese, società, istituti e altri
organismi o soggetti privati, titolari autonomi di attività svolta anche di propria
iniziativa nell'interesse di terzi, ai soli fini della ricerca o della selezione del
personale.
Per quel che riguarda gli interessati cui si riferiscono i dati, il trattamento può
riguardare i dati idonei a rivelare lo stato di salute e l'origine razziale ed etnica
dei candidati all'instaurazione di un rapporto di lavoro o di collaborazione, solo
se la loro raccolta è giustificata da scopi determinati e legittimi ed è
strettamente indispensabile per instaurare tale rapporto.
IL CASO PARTICOLARE DEL TRATTAMENTO DI DATI SENSIBILI PER
ATTIVITA’ DI SELEZIONE DEL PERSONALE (GESTIONE CURRICULA
VITAE)
Trattamento dei dati sensibili tramite raccolta di curricula vitae
Il trattamento dei dati idonei a rivelare lo stato di salute dei familiari o dei
conviventi dei candidati è consentito con il consenso scritto degli interessati e
qualora sia finalizzato al riconoscimento di uno specifico beneficio in favore
dei candidati, in particolare ai fini di un'assunzione obbligatoria o del
riconoscimento di un titolo derivante da invalidità o infermità, da eventi bellici
o da ragioni di servizio.
Qualora il consenso sia richiesto nei confronti di distinti titolari di trattamenti,
la manifestazione di volontà deve riferirsi specificamente a ciascuno di essi.
Il trattamento deve riguardare le sole informazioni strettamente pertinenti a
tale finalità, sia in caso di risposta a questionari inviati anche per via
telematica, sia nel caso in cui i candidati forniscano dati di propria iniziativa, in
particolare attraverso l'invio di curricula.
IL CASO PARTICOLARE DEL TRATTAMENTO DI DATI SENSIBILI PER
ATTIVITA’ DI SELEZIONE DEL PERSONALE (GESTIONE CURRICULA
VITAE)
Trattamento dei dati sensibili tramite raccolta di curricula vitae
Non è consentito il trattamento dei dati:
a) idonei a rivelare le convinzioni religiose, filosofiche o di altro genere, le
opinioni politiche, l'adesione a partiti, sindacati, associazioni a carattere
religioso, filosofico, politico o sindacale, l'origine razziale ed etnica, e la vita
sessuale;
b) inerenti a fatti non rilevanti ai fini della valutazione dell'attitudine professionale
del lavoratore;
c) in violazione delle norme in materia di pari opportunità o volte a prevenire
discriminazioni.
I dati idonei a rivelare lo stato di salute e l'origine razziale ed etnica possono
essere comunicati nei limiti strettamente pertinenti al perseguimento delle
finalità descritte, a soggetti pubblici o privati che siano specificamente
menzionati nella dichiarazione di consenso dell'interessato.
I dati sensibili non possono essere diffusi.
Recenti decisioni del garante in materia di trattamenti di
dati personali svolti da datori di lavoro
Il fascicolo del dipendente è riservato e i dati sensibili devono essere
conservati (nel fascicolo) separatamente dalle altre informazioni. Le linee
guida della tutela della riservatezza dei dipendenti sono state definite dal
Garante in un provvedimento con il quale ha accolto il ricorso di una
lavoratrice (ne da notizia la newsletter n. 230 del 17 ottobre 2004 dell'Autorità
garante) che aveva contestato di avere trovato sulla scrivania di un collega la
fotocopia di una sua lettera inviata all'ufficio personale dell'azienda nella quale
erano contenuti dati sensibili propri e anche della figlia minore.
L'azienda non ha saputo spiegare le ragioni per le quali la fotocopia non fosse
idoneamente custodita, anzi ha avviato indagini interne per accertare
eventuali negligenze e responsabilità. Il Garante ha ordinato alla società di
astenersi dall'ulteriore trattamento illecito dei dati personali dell'interessata.
Alla società è stato anche imposto di adottare tutte le misure di sicurezza
idonee a prevenire il ripetersi di eventi del genere. La società dovrà anche far
conoscere al Garante le misure di sicurezza adottate e le disposizioni
impartite al personale per una doverosa protezione dei dati.
Recenti decisioni del garante in materia di trattamenti di
dati personali svolti da datori di lavoro
Provvedimento 30 Settembre 2002 - Il lavoratore ha il diritto di ottenere
l'integrazione dei dati personali detenuti dal datore di lavoro con documenti
ulteriori, che attestino valutazioni di merito; in ogni caso, resta salva la
discrezionalità del datore circa le modalità di utilizzo di dette integrazioni.
Provvedimento 12 Giugno 2002 - Il titolare del trattamento deve fornire un
riscontro completo alla richiesta di accesso dell'interessato, senza limitarsi
alla sola elencazione delle tipologie dei dati detenuti, comunicando in modo
intellegibile tutte le informazioni in suo possesso (fattispecie relativa
all'accesso ai dati personali, di tipo sanitario e contributivo, detenuti da
istituti previdenziali).
Provvedimento 23 Aprile 2002 - Costituiscono dati personali, come tali
suscettibili di accesso da parte dell'interessato, sia le informazioni
contenute nel fascicolo personale del lavoratore, sia quelle conservate nelle
memorie dei computer aziendali ed inerenti all'attività lavorativa dal
medesimo espletata, ivi compresi i messaggi di posta elettronica.
Recenti decisioni del garante in materia di trattamenti di
dati personali svolti da datori di lavoro
Provvedimento 19 Febbraio 2002 - La dicitura "pignoramento"apposta sulla
busta-paga a motivazione di una ritenuta operata sullo stipendio contrasta
con i principi posti a tutela della riservatezza dei dati personali, in quanto
rende chiaramente conoscibile a terzi delicati aspetti della vita privata del
lavoratore. Le finalità di documentazione e trasparenza nel rapporto fra datore
di lavoro e dipendente possono essere soddisfatte mediante l'utilizzazione di
diverse dizioni o codici identificativi che rendano enucleabile la ritenuta senza
descriverla specificamente.
Provvedimento 7 Febbraio 2002 Anche il datore di lavoro ove l'interessato ha
prestato servizio deve comunicare all'ex dipendente, in modo analitico, i dati
personali ancora detenuti, senza limitarsi ad una mera elencazione delle loro
tipologie.
L’IMPIANTO SANZIONATORIO DEL CODICE DELLA PRIVACY: LE
VIOLAZIONI SANZIONATE IN VIA AMMINISTRATIVA
Art. 161 - Omessa o inidonea informativa all’interessato
La violazione delle disposizioni che obbligano il Titolare del trattamento a
rendere agli interessati idonea e preventiva Informativa (art. 13 del Codice) è
punita con la sanzione amministrativa del pagamento di una somma:
da tremila euro a diciottomila euro se il trattamento su cui non è stata
resa o è stata resa in maniera inidonea l’Informativa riguarda dati personali
comuni;
da cinquemila euro a trentamila euro se il trattamento su cui non è stata
resa o è stata resa in maniera inidonea l’Informativa riguarda:
1. dati sensibili o giudiziari;
2. è un trattamento di dati diversi da quelli sensibili e giudiziari che, in relazione
alla natura dei dati o alle modalità del trattamento o agli effetti che può
determinare, presenta rischi specifici o, comunque, di maggiore rilevanza del
pregiudizio per i diritti e le libertà fondamentali, nonché per la dignità
dell'interessato.
La somma può essere aumentata sino al triplo quando risulta inefficace in
ragione delle condizioni economiche del contravventore.
Art. 162 Violazione delle norme sulla cessione dei dati
L’articolo 16 del Codice della Privacy prevede che in caso di cessazione,
per qualsiasi causa, di un trattamento i dati sono:
a) distrutti;
b) ceduti ad altro titolare, purché destinati ad un trattamento in termini
compatibili agli scopi per i quali i dati sono raccolti;
c) conservati per fini esclusivamente personali e non destinati ad una
comunicazione sistematica o alla diffusione;
d) conservati o ceduti ad altro titolare, per scopi storici, statistici o
scientifici, in conformità alla legge, ai regolamenti, alla normativa
comunitaria e ai codici di deontologia e di buona condotta.
La cessione dei dati in violazione di quanto previsto dall'articolo 16,
comma 1, lettera b), o di altre disposizioni in materia di disciplina del
trattamento dei dati personali è punita con la sanzione amministrativa del
pagamento di una somma da cinque mila euro a trentamila euro.
Art. 163 Omessa o incompleta notificazione
Chiunque, essendovi tenuto:
a) non provvede tempestivamente alla notificazione ai sensi degli articoli
37 e 38 del Codice della Privacy;
b) ovvero indica in essa notizie incomplete;
è punito con:
1) la sanzione amministrativa del pagamento di una somma da diecimila
euro a sessantamila euro
2) la sanzione amministrativa accessoria della pubblicazione
dell'ordinanza-ingiunzione, per intero o per estratto, in uno o più giornali
indicati nel provvedimento che la applica.
Art. 164 Omessa informazione o esibizione al Garante
Chiunque omette di fornire le informazioni o di esibire i documenti
richiesti dal Garante:
1) in occasione della discussione di un ricorso davanti al Garante;
2) in occasione delle ordinarie attività di accertamento, ispezione e
controllo del Garante;
è punito con la sanzione amministrativa del pagamento di una somma da
quattromila euro a ventiquattro mila euro.
L’IMPIANTO SANZIONATORIO DEL CODICE DELLA PRIVACY: GLI
ILLECITI PENALI
Art. 167 Trattamento illecito di dati
Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per
sé o per altri profitto o di recare ad altri un danno, procede al trattamento
di dati personali in violazione:
A) delle norme del Codice (artt. 18 e 19) in materia di rispetto da parte dei
soggetti pubblici dei principi di liceità generale dei trattamenti di dati
comuni);
B) delle norme del Codice in materia di acquisizione del consenso (art.
23);
C) delle norme in materia di trattam,ento di dati nell’ambito di servizi di
comunicazione elettronica, con particolare riferimento a:
Art. 167 Trattamento illecito di dati
C.1) trattamento di dati relativi al traffico (art. 123);
C.2) trattamento dei dati relativi all’ubicazione (art. 126);
C.3) trattamento dei dati nell’ambito di elenchi di abbonati (art. 129);
C.4) trattamento dei dati a fini di comunicazioni elettroniche non
sollecitate (art. 130);
è punito, se dal fatto deriva nocumento, con la reclusione da sei a
diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con
la reclusione da sei a ventiquattro mesi.
Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per
sé o per altri profitto o di recare ad altri un danno, procede al trattamento
di dati personali in violazione:
A) delle norme del Codice in materia di trattamenti che presentano
particolari rischi per gli interessati (art. 17);
B) delle norme del Codice in materia di trattamenti di dati sensibili o
giudiziari svolti da soggetti pubblici (artt. 20, 21);
C) delle norme del Codice in materia di trattamenti di dati idonei a rivelare
lo stato di salute da soggetti pubblici in base ad espressa previsione
normativa (artt. 22, commi 8 e 11);
D) delle norme del Codice in materia di divieto di comunicazione o
diffusione dei dati personali (art. 25);
E) delle norme in materia di trattamento di dati sensibili o giudiziari svolti
da soggetti privati (artt. 26 e 27);
è punito, se dal fatto deriva nocumento, con la reclusione da uno a tre
anni.
Art. 169 Omessa adozione delle misure di sicurezza
Chiunque, essendovi tenuto, omette di adottare le misure minime di
sicurezza è punito con l'arresto sino a due anni o con l'ammenda da
diecimila euro a cinquantamila euro.
Procedimento del ravvedimento operoso:
All'autore del reato, all'atto dell'accertamento o, nei casi complessi, anche
con successivo atto del Garante, è impartita una prescrizione fissando un
termine per la regolarizzazione non eccedente il periodo di tempo
tecnicamente necessario, prorogabile in caso di particolare complessità o
per l'oggettiva difficoltà dell'adempimento e comunque non superiore a sei
mesi.
Nei sessanta giorni successivi allo scadere del termine, se risulta
l'adempimento alla prescrizione, l'autore del reato è ammesso dal Garante
a pagare una somma pari a 12.500 Euro. L'adempimento e il pagamento
estinguono il reato.
Art. 168 Falsità nelle dichiarazioni e notificazioni al Garante
Chiunque:
A) nella notificazione di cui all'articolo 37;
B) o in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un
procedimento dinanzi al Garante o nel corso di accertamenti;
dichiara o attesta falsamente notizie o circostanze o produce atti o
documenti falsi, è punito, salvo che il fatto costituisca più grave reato, con
la reclusione da sei mesi a tre anni
Dunque tale caso è diverso e più grave rispetto alla violazione
amministrativa consistente nella incompleta od omessa notificazione.
Altre fattispecie penalmente rilevanti (artt. 170, 171 e 172)
Chiunque, essendovi tenuto, non osserva le prescrizioni contenute:
A) nel sistema delle Autorizzazioni Generali sul trattamento dei dati
sensibili (art. 26, co. 2);;
B) nell’Autorizzazione sul trattamento di dati genetici e dei donatori di
midollo osseo (art. 90);
C) nel provvedimento con il quale il Garante, in occasione di un ricorso
presentato all’Autorità, dispone l’immediato blocco, la sospensione del
trattamento od ordina al Titolare la cessazione del comportamento
illegittimo
è punito con la reclusione da tre mesi a due anni.
Altre fattispecie penalmente rilevanti (artt. 170, 171 e 172)
Sono punite, salvo che il fatto non costituisca più grave reato, con
l'ammenda da Euro 51,16 ad Euro 516,00 o con l'arresto da 15 giorni ad un
anno le fattispecie di violazione delle norme della L. 300/1970 (Statuto dei
Lavoratori) di cui all’articolo 4 (Divieto di controllo a distanza dei
lavoratori) e articolo 8 (divieto di indagini sulle opinioni).
Nei casi più gravi le pene dell'arresto e dell'ammenda sono applicate
congiuntamente.
Quando, per le condizioni economiche del reo, l'ammenda può presumersi
inefficace anche se applicata nel massimo, il giudice ha facoltà di
aumentarla
fino
al
quintuplo.
L'autorità giudiziaria ordina la pubblicazione della sentenza penale di
condanna nei modi stabiliti dall'art. 36 del codice penale.
La condanna per uno dei delitti previsti dal Codice della Privacy importa la
pubblicazione della sentenza.
LE SANZIONI SUL PIANO CIVILISTICO: IL RISARCIMENTO DEL
DANNO DA TRATTAMENTO DI DATI PERSONALI (ART. 15)
Chiunque cagiona danno ad altri per effetto del trattamento di dati
personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice
civile.
Il danno non patrimoniale è risarcibile anche in caso di violazione delle
norme che stabiliscono i principi generali di liceità e correttezza dei
trattamenti e dei requisiti dei dati (art. 11).
IL POTERE DI ACCERTAMENTO E DI CONTROLLO DEL GARANTE
(ARTT. 157-160)
Per l'espletamento dei propri compiti il Garante può richiedere al titolare,
al responsabile, all'interessato o anche a terzi di fornire informazioni e di
esibire documenti (anche via facsimile o via e-mail).
Il Garante può disporre accessi a banche di dati, archivi o altre ispezioni e
verifiche nei luoghi ove si svolge il trattamento o nei quali occorre
effettuare rilevazioni comunque utili al controllo del rispetto della
disciplina in materia di trattamento dei dati personali. Il Garante si avvale
anche, ove necessario, della collaborazione di altri organi dello Stato.
Gli accertamenti, se svolti in un'abitazione o in un altro luogo di privata
dimora o nelle relative appartenenze, sono effettuati con l'assenso
informato del titolare o del responsabile, oppure previa autorizzazione del
presidente del tribunale competente per territorio in relazione al luogo
dell'accertamento, il quale provvede con decreto motivato senza ritardo, al
più tardi entro tre giorni dal ricevimento della richiesta del Garante quando
è documentata l'indifferibilità dell'accertamento.
IL POTERE DI ACCERTAMENTO E DI CONTROLLO DEL GARANTE
(ARTT. 157-160)
Nel procedere a rilievi e ad operazioni tecniche il personale del Garante
operante può altresì estrarre copia di ogni atto, dato e documento, anche a
campione e su supporto informatico o per via telematica. Degli
accertamenti è redatto sommario verbale nel quale sono annotate anche le
eventuali dichiarazioni dei presenti.
Ai soggetti presso i quali sono eseguiti gli accertamenti è consegnata
copia dell'autorizzazione del presidente del tribunale, ove rilasciata. I
medesimi soggetti sono tenuti a farli eseguire e a prestare la
collaborazione a tal fine necessaria. In caso di rifiuto gli accertamenti
sono comunque eseguiti e le spese in tal caso occorrenti sono poste a
carico del titolare con il provvedimento che definisce il procedimento, che
per questa parte costituisce titolo esecutivo ai sensi degli articoli 474 e
475 del codice di procedura civile.
Gli accertamenti, se effettuati presso il titolare o il responsabile, sono
eseguiti dandone informazione a quest'ultimo o, se questo è assente o
non è designato, agli incaricati. Agli accertamenti possono assistere
persone indicate dal titolare o dal responsabile.
IL POTERE DI ACCERTAMENTO E DI CONTROLLO DEL GARANTE
(ARTT. 157-160)
Se non è disposto diversamente nel decreto di autorizzazione del
presidente del tribunale, l'accertamento non può essere iniziato prima
delle ore sette e dopo le ore venti, e può essere eseguito anche con
preavviso quando ciò può facilitarne l'esecuzione.
Quando emergono indizi di reato il Garante segnala il caso alla
competente Procura della Repubblica.
Le norme del Codice sui rapporti di lavoro
Titolo VII - Lavoro e Previdenza sociale.
Capo I - Profili generali.
Art.111 Codice di deontologia e di buona condotta.
Art.112 Finalità di rilevante interesse pubblico.
Capo II - Annunci di lavoro e dati riguardanti prestatori di
lavoro.
Art.113 Raccolta di dati e pertinenza.
Capo III - Divieto di controllo a distanza e telelavoro.
Art.114 Controllo a distanza.
Art.115 Telelavoro e lavoro a domicilio.
Capo IV - Istituti di patronato e di assistenza sociale.
Art.116 conoscibilità di dati su mandato
dell'interessato.
Il Codice Deontologico sul trattamento di dati nei
rapporti di lavoro
Il d.lgs 467/2001 prevede, tra gli altri, l’adozione di un
codice deontologico relativo ai trattamenti di dati
personali effettuati per finalità previdenziali o per la
gestione del rapporto di lavoro, con previsione di
specifiche modalità per l’informativa all’interessato e
per
l’eventuale
prestazione
del
consenso
relativamente alla pubblicazione di annunci per
finalità di occupazione ed alla ricezione di curricula
vitae contenenti dati personali anche sensibili.
Il Codice Deontologico sul trattamento di dati nei
rapporti di lavoro
Entro il 30 Giugno 2004 è prevista l’adozione di due
codici: uno per le materie più specificamente
lavoristiche, l’altro per i profili inerenti la previdenza
sociale.
I
due
codici
deontologici
di
autoregolamentazione, alla cui stesura parteciperanno
le organizzazioni rappresentative dei lavoratori e dei
datori,
completeranno
l'architettura
generale
disegnata dal Codice della Privacy.
Il Codice Deontologico sul trattamento di dati nei
rapporti di lavoro
Saranno confermate le tutele già previste dallo Statuto
dei lavoratori in materia di riservatezza, potenziandole
attraverso la disciplina di ulteriori ed attuali
problematiche, quali ad esempio il trattamento dei dati
dei terzi e il rapporto tra privacy e tutela giudiziaria.
Principi del Codice deontologico
1.
obbligatoria
informativa
ai
dipendenti
sull’installazione di apparecchiature di controllo;
2. negli annunci di lavoro dovrà essere inserito un
facsimile per l'informativa e per la prestazione del
consenso, o in alternativa dovrà essere indicato un
sito Internet sul quale il facsimile sia agevolmente
conoscibile;
3. semplificazione per la individuazione dei dipendenti
come incaricati del trattamento
Controllo della e-mail dei lavoratori
Il lavoratore deve usare l’e-mail aziendale come
strumento per l’adempimento delle proprie mansioni e
non per usi personali.
I Garanti europei hanno segnalato l’opportunità di una
policy aziendale che preveda l’assegnazione al
lavoratore di due account di posta elettronica: uno
aziendale (che è possibile per il datore di lavoro
controllare) ed uno personale (con monitoraggio
vietato).
Monitoraggio uso di Internet ed intranet aziendali da
parte del lavoratore
Vale lo stesso principio: il lavoratore deve utilizzare le
dotazioni aziendali nell’ambito e per gli scopi inerenti
le proprie mansioni.
La policy aziendale può essere tarata sulle Linee
Guida Confindustria del 5 Luglio 2001.
Trattamento di dati personali per scopi commerciali
dell’azienda
Principi generali
L’indirizzo di posta elettronica è un dato personale
soggetto al Codice della Privacy.
Il Garante ha inoltre precisato che la pubblicità di
alcuni indirizzi di posta elettronica, resi conoscibili
attraverso i siti Internet, va collegata agli scopi per i
quali questi indirizzi vengono resi noti dagli utenti.
Trattamento di dati personali per scopi commerciali
dell’azienda
Principi generali
Gli indirizzi di posta elettronica non sono sottoposti
ad un regime giuridico di piena conoscibilità da parte
di chiunque. La circostanza che l’indirizzo e-mail sia
conoscibile di fatto, anche momentaneamente, da una
pluralità di soggetti non lo rende, infatti, liberamente
utilizzabile e non autorizza comunque l’invio di
informazioni, di qualunque genere senza un
preventivo consenso.
Trattamento di dati personali per scopi commerciali
dell’azienda
Comunicazioni commerciali non sollecitate via e-mail
(Consumatori - rapporti B2C)
L’azienda deve ottenere il consenso preventivo del
destinatario (sistema opt-in) inviando una prima email neutra in cui si chiede l’autorizzazione ad inviare
una seconda e-mail per la promozione di prodotti e/o
servizi aziendali.
Trattamento di dati personali per scopi commerciali
dell’azienda
Comunicazioni commerciali non sollecitate via e-mail
(Consumatori - rapporti B2C)
Se il destinatario dà il consenso, è possibile inviare
l’e-mail promozionale, salvo sempre il diritto del
destinatario di opporsi a successivi invii o di revocare
il consenso.
Riferimenti ulteriori: d.lgs 22 maggio 1999 n. 185 - art.
10.
Trattamento di dati personali per scopi commerciali
dell’azienda
Comunicazioni commerciali non sollecitate via e-mail
(Professionisti - rapporti B2B)
Se il destinatario dell’e-mail promozionale non è un
consumatore, non è necessario il consenso
preventivo, ma sarà il destinatario a dover comunicare
di non voler ricevere più messaggi promozionali
(sistema opt-out).
Riferimenti: d.lgs 14 Aprile 2003 n. 70 (recepimento
Direttiva sul Commercio Elettronico).
Comunicazioni commerciali indesiderate: art. 130
del Codice
L'uso di sistemi automatizzati di chiamata senza
l'intervento di un operatore per l'invio di materiale
pubblicitario o di vendita diretta o per il compimento
di ricerche di mercato è consentito con il consenso
dell'interessato.
Tale principio si applica anche alle comunicazioni
elettroniche effettuate mediante e-mail, telefax,
messaggi del tipo Mms o Sms o di altro tipo.
Comunicazioni commerciali indesiderate: art. 130
del Codice
Se il titolare del trattamento utilizza, a fini di vendita
diretta di propri prodotti o servizi, le coordinate di
posta elettronica fornite dall'interessato nel contesto
della vendita di un prodotto o di un servizio, può non
richiedere il consenso dell'interessato, sempre che si
tratti di servizi analoghi a quelli oggetto della vendita
e l'interessato, adeguatamente informato, non rifiuti
tale uso, inizialmente o in occasione di successive
comunicazioni.
Comunicazioni commerciali indesiderate: art. 130 del Codice
L'interessato, al momento della raccolta e in occasione
dell'invio di ogni comunicazione effettuata per le finalità
di cui al presente comma, è informato della possibilità di
opporsi in ogni momento al trattamento, in maniera
agevole e gratuitamente.
E' vietato in ogni caso l'invio di comunicazioni
commerciali o, comunque, a scopo promozionale,
effettuato camuffando o celando l'identità del mittente o
senza fornire un idoneo recapito presso il quale
l'interessato possa esercitare i diritti di cui all'articolo 7
del Codice della Privacy. La violazione dell’art. 130 è
sanzionata penalmente.
Uso dei Cookies su siti web aziendali
(art. 122)
I cookies sono file che registrano tutti i movimenti dell'utente su
Internet registrandone i movimenti corrispondenti ai siti
visitati. Altre modalità di “tracciatura” della navigazione web
(detta anche “clicktrail”) sono rappresentate dai cosiddetti
“web beacons”. Si tratta di immagini elettroniche presenti
all’interno di banner pubblicitari, messaggi di posta
elettronica in formato HTML, etc che registrano la
consultazione di determinate pagine web.
E’ vietato l'uso di una rete di comunicazione elettronica per
accedere a informazioni archiviate nell'apparecchio terminale
di un abbonato o di un utente, per archiviare informazioni o
per monitorare le operazioni dell'utente.
Uso dei Cookies : art. 122 del Codice della privacy
Il codice di deontologia sul trattamento dei dati su reti
di comunicazione elettronica individuerà i presupposti
e i limiti entro i quali è consentito l'uso della rete per
le finalità di cui alla precedente slide e per determinati
scopi legittimi relativi alla memorizzazione tecnica dei
dati per il tempo strettamente necessario alla
trasmissione della comunicazione, o a fornire uno
specifico
servizio
richiesto
dall'abbonato
o
dall'utente.
Uso dei Cookies : art. 122 del Codice della privacy
L’abbonato o l'utente devono comunque esprimere il
consenso sulla base di una previa informativa che
indichi analiticamente, in modo chiaro e preciso, le
finalità e la durata del trattamento finalizzato ad
accedere a informazioni archiviate nell'apparecchio
terminale, per archiviare informazioni o per
monitorare le operazioni dell'utente o dell’abbonato.
Avv. Alessandro del Ninno
Responsabile del Dipartimento di Information
& Communication Technology
Studio Legale Tonucci
Via Principessa Clotilde n. 7 00196 Roma
e-mail: [email protected]