Il Gdpr nel Diritto del Lavoro Avv. Savino Figurati Unione Industriale di Torino

Peculiarità del diritto del lavoro riconosciute dal gdpr Gli Stati nazionali possono intervenire tramite legge o contratti collettivi per gli aspetti di protezione dei dati connessi al diritto del lavoro (considerando 155 e art. 88) Cons. 155: “Il diritto degli Stati membri o i contratti collettivi, ivi compresi gli «accordi aziendali», possono prevedere norme specifiche per il trattamento dei dati personali dei dipendenti nell'ambito dei rapporti di lavoro, in particolare per quanto riguarda le condizioni alle quali i dati personali nei rapporti di lavoro possono essere trattati sulla base del consenso del dipendente, per finalità di assunzione, esecuzione del contratto di lavoro, compreso l'adempimento degli obblighi stabiliti dalla legge o da contratti collettivi, di gestione, pianificazione e organizzazione del lavoro, parità e diversità sul posto di lavoro, salute e sicurezza sul lavoro, e ai fini dell'esercizio e del godimento, individuale o collettivo, dei diritti e dei vantaggi connessi al lavoro, nonché per finalità di cessazione del rapporto di lavoro.”

Art. 9 Gdpr ammette Trattamento dati sensibili anche senza consenso quando… b)il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell'Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell'interessato; d) il trattamento è effettuato, nell'ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali,…

Bozza di decreto art. 7 Rientrerebbe nel trattamento di categorie particolari di dati personali necessario per motivi di interesse pubblico rilevante anche «u) instaurazione, gestione ed estinzione di rapporti di lavoro e di altre forme di impiego, materia sindacale, occupazione e collocamento obbligatorio, previdenza e assistenza, tutela delle minoranze e pari opportunità»

Tuttavia si osserva che, nella gran parte dei casi, nella gestione dei rapporti di lavoro si effettuano trattamenti di ogni genere, spesso non direttamente derivanti da obblighi legislativi o contrattuali. Pertanto rimane consigliabile chiedere il consenso ai dipendenti.

Principi applicabili: Liceità del trattamento Principio di necessità, privacy by default, minimizzazione Principio di correttezza dei dati Determinatezza, legittimità ed esplicitazione del fine Principio della conservazione dei dati solo per il tempo necessario a realizzare gli scopi del trattamento Trasparenza circa l’utilizzo dei dati raccolti (informative) Principio di sicurezza nella conservazione dei dati

Portabilità dei dati per i dipendenti? Diritto introdotto dall’art. 17 GDPR: L'interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti qualora: a) il trattamento si basi sul consenso ai sensi dell'articolo 6, paragrafo 1, lettera a), o dell'articolo 9, paragrafo 2, lettera a), o su un contratto ai sensi dell'articolo 6, paragrafo 1, lettera b); e b) il trattamento sia effettuato con mezzi automatizzati.

Diritti del lavoratore secondo il gdpr Diritti di accesso e portabilità: si estendono anche alle valutazioni? Solo se queste costituiscono mere elaborazioni di dati oggettivi. Il diritto del dipendente alla cancellazione dei propri dati: sussiste solo se sono venute meno le finalità del trattamento o l’interesse legittimo del datore di lavoro (Garante 22/12/2016, n. 547, in riferimento alle email aziendali).

Periodo di conservazione I dati possono essere «conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati» (art. 5, c. 1, lett. e GDPR). In particolare, in alcuni casi il periodo di conservazione deriva da limiti normativi (es. i dati necessari per la tenuta del libro unico del lavoro possono essere conservati per cinque anni dalla data dell’ultima registrazione ex art. 6 D.M. 9 luglio 2008) Anche il termine di prescrizione relativi al contenzioso rileva a questi fini Tuttavia, nel recente Provvedimento 53/2018, il Garante ha affermato che il contenzioso non deve essere meramente potenziale.

La recente giurisprudenza afferma che, dopo la riforma Fornero, la prescrizione non decorre durante il rapporto di lavoro. Pertanto, attendere la prescrizione del contenzioso anche eventuale comporterebbe un periodo di conservazione pressochè illimitato. Nel caso di licenziamento si consiglia di conservare i dati almeno per il tempo necessario per l’impugnazione.

I controlli datoriali Il controllo in sé dell’attività del lavoratore è lecito, purchè trasparente. Ammesso il controllo da parte del datore e dei superiori gerarchici. Art. 3 Statuto: il nominativo del personale di vigilanza deve essere comunicato ai lavoratori. La giurisprudenza ha da tempo ammesso anche il controllo tramite agenzie investigative, in parziale deroga al principio sopra esposto. Una sola categoria resta vista con sospetto e soggetta a forti limitazioni di legge: i controlli a distanza( spaziale o temporale).

CONTROLLI A DISTANZA: ARTICOLO 4 DELLO STATUTO DEI LAVORATORI Vecchio testo: “E’ vietato l’uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dell’attività dei lavoratori”.

Controlli preterintenzionali “Gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede l’ispettorato del lavoro, dettando, ove occorra, le modalità per l’uso di tali impianti”.

Controlli preterintenzionali Seguono altre disposizioni di carattere amministrativo.

Disciplina previgente Divieto assoluto di installazione di impianti finalizzati al controllo dell’attività del lavoratore (limite teleologico). Ammissibilità dei controlli preterintenzionali, condizionati all’accordo sindacale o all’autorizzazione amministrativa.

Nel diritto del lavoro, il consenso individuale è spesso sostituito ( o quanto meno affiancato) dal consenso collettivo. Così, il consenso individuale non è sufficiente per legittimare i controlli a distanza, ma occorre il consenso della rappresentanza sindacale o l’autorizzazione dell’autorità amministrativa.

Cosiddetti “ controlli difensivi” Corte di Cassazione 3 aprile 2002, n. 4746: “Ai fini dell’operatività del divieto di utilizzo di apparecchiature per il controllo a distanza dell’attività dei lavoratori previsto dall’art. 4 legge n. 300 del 1970, è necessario che il controllo riguardi (direttamente o indirettamente) l’attività lavorativa, mentre devono ritenersi certamente fuori dall’ambito di applicazione della norma sopra citata i controlli diretti ad accertare condotte illecite del lavoratore (cosiddetti controlli difensivi)…”.

Controlli “ difensivi” Cass. 22 febbraio 2010, n. 4375: “La insopprimibile esigenza di evitare condotte illecite da parte dei dipendenti non può assumere portata tale da giustificare un sostanziale annullamento di ogni forma di garanzia della dignità e riservatezza del lavoratore, per cui tale esigenza non consente di espungere dalla fattispecie astratta i casi dei c.d. controlli difensivi, ossia di quei controlli diretti ad accertare comportamenti illeciti dei lavoratori, quando tali comportamenti riguardino l’esatto adempimento delle obbligazioni nascenti dal rapporto di lavoro…”.

Controlli difensivi La categoria dei controlli difensivi, priva di un fondamento normativo, è creata dalla giurisprudenza, che successivamente se ne discosta.

Il nuovo testo dell’articolo 4 dello Statuto dei lavoratori “Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali”.

Il nuovo testo dell’articolo 4 “In alternativa, nel caso di imprese con unità produttive ubicate in diverse province della stessa Regione ovvero in più Regioni, tale accordo può essere stipulato dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale. In mancanza di accordo gli impianti e gli strumenti di cui al periodo precedente possono essere installati previa autorizzazione della Direzione territoriale del lavoro o, in alternativa, nel caso di imprese con unità produttive dislocate negli ambiti di competenza di più direzioni territoriali del lavoro, del Ministero del lavoro e delle politiche sociali”.

Novità: Il limite teleologico rimane, anche se espresso in negativo. L’installazione degli strumenti da cui può derivare il controllo è ammessa solo per fini prefissati, e, dunque, vietata fuori da questi casi. Il controllo sull’attività lavorativa in sé continua ad essere vietato.

Novità I fini ammessi sono: esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale. Il riferimento alla tutela del patrimonio aziendale supera il concetto di controlli difensivi: anche i controlli finalizzati a prevenire illeciti soggiacciono alla disciplina di cui al primo comma.

Novità La disposizione contiene indicazioni precise sul soggetto titolare del potere contrattuale, anche nel caso di imprese multilocalizzate. “In mancanza di accordo” interviene la competente Direzione territoriale del lavoro. L’espressione deve intendersi nel senso che ci si può rivolgere alla Dtl non solo se manchino le rappresentanze sindacali, ma anche se esse rifiutino l’accordo.

Il nuovo testo dell’articolo 4 “La disposizione di cui al comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze”.

Novità: E’ un’eccezione rispetto al comma uno: dunque, è di stretta interpretazione e non può costituire oggetto di estensione analogica. Gli “strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa” devono avere connaturata la possibilità di controllo : se lo strumento è modificato per rendere possibile il controllo, o gli si aggiunge qualcosa a tale fine, non siamo più nel campo di applicazione di questa norma.

Nota stampa del Ministero del lavoro 18 giugno 2015 “L’espressione per rendere la prestazione lavorativa comporta che l’accordo o l’autorizzazione non servono se, e nella misura in cui, lo strumento viene considerato quale mezzo che serve al lavoratore per adempiere la prestazione: ciò significa che, nel momento in cui tale strumento viene modificato (ad esempio, con l’aggiunta di appositi software di localizzazione o filtraggio) per controllare il lavoratore, si fuoriesce dall’ambito della disposizione: in tal caso, infatti, da strumento che serve al lavoratore per rendere la prestazione il pc, il tablet o il cellulare divengono strumenti che servono al datore per controllarne la prestazione”.

In sostanza: Se lo strumento non rientra nel secondo comma per i motivi sopra esposti, sarà o vietato, o sottoposto alla disciplina del primo comma, a seconda del fine per cui è utilizzato: controllo fine a sé stesso o controllo preterintenzionale.

Strumenti di registrazione degli accessi e delle presenze La disposizione si spiega perché parte della giurisprudenza considerava controllo a distanza l’installazione del badge utilizzato dai dipendenti per accedere agli uffici (Cass. 17 luglio 2007, n. 15892).

Il nuovo articolo 4 “Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal D.lgs. 30 giugno 2003, n. 196” (Codice della privacy).

Novità L’utilizzo dei dati legittimamente raccolti a fini disciplinari non è una novità: era così anche prima, tant’è che negli accordi spesso il sindacato chiedeva che si rinunciasse a tale facoltà. La Dtl normalmente subordinava l’autorizzazione alla rinuncia ad usare i dati a fini disciplinari; ora è probabile che cambi questa prassi.

Privacy Necessaria legittimazione soggettiva al trattamento Informativa preventiva ex artt. 13 e 14 GDPR

Privacy In sostanza, i dati personali utilizzati nel corso dell’attività di monitoraggio in ambito lavoristico devono essere adeguati, pertinenti e non eccedenti rispetto alle legittime finalità che giustificano il controllo. I controlli legittimamente effettuati, dovranno essere svolti non costantemente, bensì nell’ambito di verifiche periodiche o a campione, in coerenza con l’informativa effettuata (ad esempio, in occasione di interventi di manutenzione).

Privacy Il rispetto della normativa privacy, quale presupposto per l’esercizio dei poteri di controllo e disciplinari da parte del datore di lavoro, riguarda non solo le singole disposizioni contenute nella normativa privacy, ma anche i provvedimenti adottati dal Garante. Anche dopo il GDPR restano validi i provvedimenti già adottati.

Provvedimenti del Garante In particolare, rilevano: Provvedimento 1 marzo 2007: Linee guida per l’utilizzo della posta elettronica e internet. Provvedimento 8 aprile 2010: trattamento dei dati personali effettuato tramite sistemi di videosorveglianza. Provvedimento 4 ottobre 2011: sistemi di localizzazione dei veicoli nell’ambito del rapporto di lavoro. Provvedimento 12 novembre 2014: biometria. Provvedimento 1 febbraio 2018: Trattamento di dati personali effettuato sugli account di posta elettronica aziendale  richiama espressamente il primo.

Sanzioni “La violazione delle disposizioni di cui all’art. 113 (del Codice privacy) e all’art. 4, primo e secondo comma, della legge 300 del 1970, è punita con le sanzioni di cui all’art. 38 della legge 300 del 1970. Ammenda da euro 154 a euro 1549 o arresto da 15 giorni ad un anno. Queste sanzioni sembrano essere conservate dal decreto in corso di emanazione.

Grazie per l’attenzione Avv. Savino Figurati Unione Industriale di Torino