A cura di Damiana Lesce, Valeria De Lucia e Paola Lonigro
Maggio 2018 è sempre più vicino e, da settembre, le aziende e le pubbliche amministrazioni, se non già fatto, dovranno lavorare alacremente per mettersi in regola con il Regolamento sulla Privacy.
Ci congediamo, quindi, prima delle ferie estive, segnalando un documento dei Garanti europei della privacy riuniti nel Gruppo “Articolo 29” (WP29) che, tenendo conto sia della normativa vigente sia delle novità introdotte dal Regolamento UE 2016/679, definisce un quadro dei principi fondamentali per il corretto trattamento dei dati in ambito professionale (Opinion on data processing at work 2/17- 8 June 2017 - Article 29 Data Protection Working Party).
■ Diritto al rispetto della vita privata, della libertà e dignità del lavoratore. Principio fondamentale è quello per cui ogni lavoratore, indipendentemente dal tipo di contratto a lui applicato, ha diritto al rispetto della vita privata, della sua libertà e dignità; ogni lavoratore deve essere adeguatamente informato sulle modalità di trattamento dei dati personali in maniera chiara, semplice ed esaustiva, soprattutto qualora siano previste forme di controllo del lavoratore, che comunque dovranno essere rispettose anche delle norme nazionali.
■ Proporzione tra controllo e finalità. Ogni trattamento deve essere proporzionato alla finalità perseguita e deve essere limitato quanto più possibile l’uso dei dati personali.
In applicazione del predetto principio, con riguardo agli strumenti di geolocalizzazione, ad esempio, i Garanti europei segnalano che possono essere utilizzati per finalità strettamente aziendali e al lavoratore deve essere lasciata la possibilità di disattivare, se necessario, il localizzatore (come i gps).
■ Controlli della posta elettronica e internet. E’ legittimo introdurre strumenti e tecnologie per ridurre i rischi di attacchi informatici e la diffusione di informazioni riservate, ma non si può spiare la posta dei dipendenti o la loro navigazione internet. Anche in questo caso devono essere privilegiate misure preventive, assolutamente trasparenti, che segnalino ad esempio ai dipendenti la violazione che potrebbero stare per commettere.
■ Social network. L’eventuale consultazione o il monitoraggio dei social network devono essere limitati ai soli profili professionali, escludendo la vita privata di dipendenti o candidati all’assunzione.
■ offerta di spazi privati su computer aziendali e servizi cloud. Per favorire il corretto utilizzo degli strumenti e delle policy aziendali nel rispetto della privacy dei lavoratori, i Garanti invitano i datori di lavoro a offrire, ad esempio, connessioni WIFI dedicate e a definire spazi riservati, su computer e smartphone, su cloud e posta elettronica, dove possono essere conservati documenti o inviate comunicazioni personali, non accessibili al datore di lavoro se non in casi assolutamente eccezionali.
■ il consenso dei lavoratori non è sufficiente per legittimare il trattamento. Il consenso al trattamento, per essere considerato valido, deve essere libero. Partendo da tale assunto, i Garanti hanno evidenziato che, stante la disparità di potere tra le due parti del contratto di lavoro (datore di lavoro e dipendente) per le aziende ed enti pubblici non sarà sufficiente acquisire il consenso dei dipendenti per il trattamento dei loro dati. I Garanti suggeriscono, quindi, di valutare, quale base legale del trattamento, il ricorso a disposizioni normative o contrattuali oppure di far valere il proprio “legittimo interesse” (esempio: diritto alla sicurezza), in un rapporto comunque di bilanciamento con i diritti e le libertà dei lavoratori alla luce dei principi di necessità e proporzionalità.
Oltre che libero, il consenso dovrà, naturalmente, essere informato.
Ancora una volta, quindi, sono e saranno importanti le policy aziendali.