Nei controlli sul trattamento dei dati in ambito lavorativo c’è un documento che viene chiesto prima di tutti gli altri, e che molto spesso o non esiste o risale all’assunzione del primo dipendente: l’informativa ai dipendenti. Non è un modulo da far firmare, è l’atto con cui il datore di lavoro dice al proprio personale quali dati tratta, perché, per quanto tempo e a chi li comunica. Quando manca, o quando dice troppo poco, tutte le altre difese dell’azienda diventano più fragili.
Che cosa deve contenere l’informativa ai dipendenti
L’articolo 13 del GDPR elenca ciò che va comunicato all’interessato nel momento in cui i dati sono raccolti presso di lui: identità e dati di contatto del titolare e, se designato, del responsabile della protezione dei dati; le finalità del trattamento e la base giuridica; l’eventuale legittimo interesse perseguito; i destinatari o le categorie di destinatari; l’eventuale intenzione di trasferire i dati verso un paese terzo e le relative garanzie. A questi si aggiungono il periodo di conservazione o i criteri per determinarlo, i diritti riconosciuti all’interessato, il diritto di proporre reclamo all’autorità di controllo, l’indicazione se il conferimento sia obbligatorio e le conseguenze del rifiuto, nonché l’esistenza di processi decisionali automatizzati.
Le informazioni devono essere fornite in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. È proprio su questo requisito che molte informative aziendali mostrano la corda: un documento che riproduce gli articoli del Regolamento non informa nessuno.
Il punto dolente: il rapporto di lavoro genera trattamenti che nessuno ha censito
Un’azienda tratta i dati del personale molto più di quanto l’informativa racconti. Oltre alla gestione amministrativa e contabile, ci sono i sistemi che registrano accessi e presenze, gli strumenti informatici con i relativi log, la posta elettronica aziendale, gli impianti di videosorveglianza, i dispositivi di geolocalizzazione sui veicoli, i gestionali dei fornitori di servizi.
Ciascuno di questi trattamenti ha una disciplina propria — basti pensare ai limiti indicati dal Garante per il trattamento dei metadati della posta elettronica, alle contestazioni sulla geolocalizzazione dei veicoli aziendali o a quelle sulla videosorveglianza sul luogo di lavoro — e ciascuno va riflesso nell’informativa. Quando nell’istruttoria emerge un trattamento che il personale non conosceva, la contestazione sulla trasparenza si somma a quella sulla base giuridica.
L’informativa non è il consenso
Un equivoco tenace merita di essere sciolto: far firmare l’informativa non equivale a raccogliere un consenso, e nel rapporto di lavoro il consenso è una base giuridica fragile, perché lo squilibrio fra le parti ne mette in discussione la libertà. La maggior parte dei trattamenti connessi al rapporto si fonda su altre basi — l’esecuzione del contratto, l’adempimento di obblighi di legge, il legittimo interesse — e l’informativa serve a dichiararle, non a sostituirle.
Quanto si rischia
Le violazioni degli obblighi di informazione e dei diritti degli interessati rientrano nella fascia più severa dell’articolo 83, paragrafo 5, del GDPR: fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Nella pratica la contestazione sulla trasparenza raramente arriva da sola: emerge in occasione di un reclamo di un lavoratore, di una verifica ispettiva o di una richiesta di accesso, e pesa sulla valutazione complessiva della condotta del titolare.
Da dove conviene partire
Rifare l’informativa senza prima sapere quali trattamenti esistono davvero significa riscriverla fra sei mesi. Il percorso utile è l’inverso: mappare i trattamenti del personale, allineare il registro dei trattamenti, sistemare la posizione dei fornitori e solo allora scrivere un’informativa che corrisponda alla realtà aziendale.
Lo studio segue aziende, studi professionali ed enti pubblici in tutta Italia, con sede a Napoli: il perimetro dell’attività è descritto nel servizio di consulenza privacy e nei pacchetti disponibili; per il contenzioso in materia di pubblico impiego e di procedimenti amministrativi si può consultare il sito dello studio legale.
Per sottoporre l’informativa in uso a un esame preliminare, i riferimenti sono nella pagina dei contatti.
Avv. Elio Errichiello
