Privacy Dipendenti: Trattamento Dei Dati Giudiziari In Azienda
Il Garante Privacy, con parere del 24 giugno 2021, ha fornito nuove indicazioni in merito al trattamento dei dati giudiziari in azienda. Questi ultimi, sulla base dello schema di regolamento del Ministero della Giustizia in materia di trattamento dei dati personali, devono rispettare alcuni principi di fondo.
La base legale per il trattamento dei dati giudiziari era limitata alla sola previsione di legge e questa circostanza, insieme al mancato rinnovo dell’autorizzazione generale in materia, ostacolava le imprese nella corretta gestione dei dati giudiziari di candidati e dipendenti.
I datori di lavoro, secondo il parere del Garante, dovranno verificare (anche con una semplice attività di auto valutazione) i propri processi aziendali e che le parti interessate siano in grado di garantire il rispetto di questi principi.
La verifica periodica dell’esattezza e aggiornamento dei dati, deve limitarsi ai soli dati necessari per realizzare le finalità previste, sempre che non possano essere soddisfatte, caso per caso, mediante il trattamento di dati anonimizzati o di dati personali di natura diversa. Inoltre i dati non adeguati, non pertinenti o non più necessari dovranno essere cancellati.
Per quanto concerne la conservazione dei dati giudiziari, il regolamento del Ministero individua in 2 anni dalla cessazione del rapporto di lavoro, il termine per la conservazione dei dati, fatta salva naturalmente l’esigenza di ulteriore conservazione ai fini della tutela giurisdizionale dei diritti. Tale termine potrebbe ritenersi proporzionato in ragione delle peculiarità del contesto.
Il Garante sottolinea anche che, in via generale, tale previsione astratta di un termine fisso, potrebbe risultare secondo i casi eccessivamente rigido o, per converso, troppo esteso. Il consiglio è dunque quello di collegare i tempi di conservazione allo scopo sotteso al trattamento, terminato il quale si dovrebbe procedere alla cancellazione. L’impresa dovrà analizzare e individuare le ragioni per le quali richiede i dati giudiziari ai propri dipendenti o aspiranti tali e poi valutare, in relazione a dette finalità, se debba conservarli e per quanto tempo. Verificata l’assenza di condizioni ostative, il titolare del trattamento, una volta assunto il dipendente, dovrebbe procedere alla cancellazione dei dati giudiziari.
Il consenso non è una base giuridica valida nell’ambito dei trattamenti svolti per la gestione del rapporto di lavoro, di conseguenza il presupposto di base del trattamento dei dati giudiziari può essere eseguito soltanto sulla base di una legge o di un regolamento.
L’Autorità ricorda che in questi casi il consenso subisce una forte attenuazione del requisito della libertà in ragione dell’asimmetria del rapporto fra titolare e interessato in simili contesti. Risulta necessaria, di conseguenza, una informativa adeguata e ben chiara da fornire al dipendente/interessato che gli spieghi in modo semplice e chiaro le ragioni per cui gli viene richiesto di fornire i dati giudiziari.
Qualora l’impresa si rivolga a soggetti esterni, dovranno essere predisposti tutti i necessari processi, procedure e garanzie tali da tutelare l’interessato.
Tra le garanzie ulteriori, ai fini dei trattamenti in ambito lavoristico, lo svolgimento di una valutazione d’impatto sulla protezione dei dati (DPIA), che individui segnatamente le categorie di personale o le specifiche posizioni per le quali si rende necessario trattare dati giudiziari.
Le ipotesi che giustificano il trattamento prolungato dei dati giudiziari da parte del titolare al fine di verificare la permanenza dei su richiamati requisiti soggettivi sono molteplici ma sebbene l’indicazione di porre in essere un DPIA sia indicata dal Garante solo nel caso di ipotesi particolari, è opportuno comunque procedere a tale valutazione di impatto per una maggiore aderenza alla legge.
Con il parere del Garante e con il Regolamento del Ministero della Giustizia anche le imprese possono trattare i dati giudiziari sulla base di specifiche indicazione e basi giuridiche. Questo, però, richiede che il titolare del trattamento ponga in essere, in concreto, tutte quelle misure tecniche ed organizzative tali da garantire al meglio i diritti degli interessati.
Il titolare del trattamento deve adottare e documentare procedure e misure organizzative necessarie nel rispetto del principio di accountability (responsabilità e responsabilizzazione). L’impresa deve essere in grado di dimostrare e giustificare le ragioni per cui ha inteso trattare i dati giudiziari nonché i criteri e le garanzie predisposte.