venerdì 2 agosto 2019

Trattamento di dati personali particolari: le prescrizioni del Garante del 29 luglio 2019

Lo scorso 29 luglio 2019 il Garante per la protezione dei dati personali ha emanato un provvedimento recante alcune prescrizioni sul trattamento dei dati particolari / sensibili.

Il Garante si è focalizzato su quegli ambiti in cui la presenza di tali dati è giustificata dalle finalità per cui essi vengono raccolti e trattati quali, ad esempio, i rapporti di lavoro, le investigazioni private o le sperimentazioni cliniche.

I rapporti di lavoro: pertinenza e necessità

Il rispetto del principio di pertinenza del trattamento dei dati è sicuramente il precetto che con più forza emerge dal testo del provvedimento: il Garante impone infatti ai titolari di trattare esclusivamente quei dati personali strettamente necessari per le finalità per cui vengono raccolti e processati, fino a statuire un vero e proprio obbligo di astensione dall’utilizzare informazioni aggiuntive fornite dal dipendente stesso la cui conoscenza non è strettamente necessaria per adempiere alla propria prestazione lavorativa.

Il Garante due diversi momenti del trattamento da parte del datore di lavoro, fornendo alcuni consigli operativi per i datori di lavoro :

- La fase preliminare delle assunzioni

a) Le agenzie e gli altri soggetti che, in conformità alla legge, svolgono attività di ricerca, intermediazione e selezione del personale possono trattare dati sensibili solamente se la loro raccolta sia giustificatada scopi determinati e legittimi e sia necessaria per instaurare il rapporto;

b) il trattamento ai fini dell'instaurazione del rapporto deve riguardare solamente le informazioni strettamente pertinenti, anche in considerazione delle mansioni e/o difficoltà dei profili professionali richiesti;

c)qualore nei curricula inviati siano presenti dati non pertinenti alla finalità perseguita il datore di lavoro o i soggetti di cui al punto a) devono astenersi dall'utilizzarli;

d) i dati genetici non possono essere trattati al fine di stabilire l'idoneità professionale di un candidato all'impiego, neppure con il consenso dell'interessato. 

- Il rapporto di lavoro vero e proprio

a) i dati relativi alle convinzioni religiose o filosofiche, o all'adesione ad associazioni e organizzazioni a carattere religioso possono essere trattate solo in caso di fruizione di permessi in occasione delle festività o per l'erogazione dei servizi mensa, o per l'esercizio del diritto di obiezione di coscienza;

b) i dati relativi alle opinioni politiche o all'appartenenza sindacale possono essere trattati solo ai fini della fuizione di permessi o di periodi di aspettativa riconosciuti per legge, nonchè per consentire l'esercizio dei diritti sindacali;

c) in caso di partecipazione del dipendente ad operazioni elettorali in qualità di rappresentanti di lista, in applicazione del princio di necessità, non deve trattare nell'ambito della documentazione da presentare, al fine del riconoscimento di benefici di legge, dati che rivelino le opinioni politiche;

d) i dati genetici non possono essere trattati al fine di stabilire l'idoneità professionale di un candidato all'impiego, neppure con il consenso dell'interessato.

Quanto alle modalità di trattamento, il Garante fornisce alcuni consigli operativi per i datori di lavoro:

a) i dati devono essere raccolti, di regola, presso l’interessato;

b) nel caso in cui si proceda alla trasmissione di un documento cartaceo che contenga dati particolari, questo dovrà essere trasmesso, di regola, in plico chiuso;

c) i documenti che contengono categorie particolari di dati, ove trasmessi ad altri uffici devono contenere esclusivamente le informazioni necessarie allo svolgimento della funzione;

d)  nell’ambito della predisposizione di turni di servizio il datore di lavoro non deve esplicitare, nemmeno attraverso acronimi o sigle, le causali dell’assenza dalle quali sia possibile evincere la conoscibilità di particolari categorie di dati personali (es. permessi sindacali o dati sanitari).

Le investigazioni private: la difesa di un diritto come base giuridica

Il trattamento delle categorie particolari di dati personali può essere effettuato unicamente per l’espletamento dell’incarico ricevuto ed in particolare:

a) per permettere a chi conferisce uno specifico incarico, di fare accertare, esercitare o difendere un proprio diritto in sede giudiziaria che, quando concerne dati genetici, relativi alla salute, alla vita sessuale o all'orientamento sessuale della persona, deve essere di rango pari a quello del soggetto al quale si riferiscono i dati, ovvero consistere in un diritto della personalità o in un altro diritto o libertà fondamentale;

b) su incarico di un difensore in riferimento ad un procedimento penale, per ricercare e individuare elementi a favore del relativo assistito da utilizzare ai soli fini dell’esercizio del diritto alla prova.

Il Garante specifica inoltre che l’atto dell’incarico deve menzionare in maniera specifica il diritto che si intende esercitare in sede giudiziaria, ovvero il procedimento penale al quale l’investigazione è collegata, nonché i principali elementi di fatto che giustificano l’investigazione e il termine ragionevole entro cui questa deve essere conclusa.

Deve inoltre essere fornita all’interessato l’informativa, salvo che questa rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento.

L’Autorità specifica infine che i dati possono essere comunicati unicamente al soggetto che ha conferito l’incarico e non possono essere condivisi con un altro investigatore a meno che questi sia stato indicato nominativamente nell’atto del conferimento dell’incarico.

Una volta terminata l'attività difensiva, il trattamento deve cessare in ogni sua forma, fatta eccezione per l'immediata comunicazione al difensore o al soggetto che ha conferito l'incarico i quali possono acconsentire all'eventuale conservazione temporanea al solo fine di dimostrare la correttezza e la liceità del proprio operato. 

La ricerca scientifica: consenso e minimizzazione  

Il Garante pone l’attenzione sull’obbligo di rendere l’informativa agli interessati inclusi nella ricerca in tutti i casi in cui, nel corso dello studio, ciò sia possibile e, in particolare, laddove questi si rivolgano al centro di cura, anche per visite di controllo, anche al fine di consentire loro di esercitare i diritti previsti dal GDPR.

Negli altri casi i titolari del trattamento devono documentare, nel progetto di ricerca, la sussistenza delle ragioni, considerate del tutto particolari o eccezionali, per le quali informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca.

L’Autorità puntualizza inoltre che, in applicazione del principio di minimizzazione, il trattamento di dati personali per scopi di ricerca scientifica può riguardare i dati relativi alla salute degli interessati e, solo ove indispensabili per il raggiungimento delle finalità della ricerca, congiuntamente anche i dati relativi alla vita sessuale o all’orientamento sessuale, nonché all’origine razziale ed etnica.

I soggetti che agiscono in qualità di titolari del trattamento per le finalità in esame, anche unitamente ad altri titolari, possono comunicare tra loro i dati personali oggetto della presente autorizzazione nella misura in cui rivestano il ruolo di promotore, di centro coordinatore o di centro partecipante e l’operazione di comunicazione sia indispensabile per la conduzione dello studio.

In aggiunta al divieto di diffusione dei dati relativi alla salute degli interessati, non possono essere diffusi anche quelli relativi alla vita sessuale, all’orientamento sessuale e all’origine razziale ed etnica utilizzati per la conduzione dello studio.