CE - GRUPPO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI

Adottato il 13 settembre 2001

SOMMARIO

Il trattamento dei dati personali in ambito lavorativo è oggetto di dibattito sia a livello comunitario che nazionale. I Governi e le Autorità garanti della protezione dei dati degli Stati membri hanno elaborato o stanno elaborando normative, codici, o raccomandazioni per regolare vari aspetti della protezione dei dati nel contesto lavorativo. Nel quadro dell'Agenda per la Politica Sociale, la Commissione Europea ha avviato una consultazione con le parti sociali sulla protezione dei dati personali nell'ambito lavorativo.

Datori di lavoro e lavoratori devono sapere che molte delle attività abitualmente svolte nel contesto lavorativo comportano il trattamento dei dati personali dei lavoratori, talvolta, di natura assai delicata⁵. E' quasi sicuro che ogni rilevazione, uso o memorizzazione di informazioni sui lavoratori con mezzi elettronici rientri nel campo d'applicazione della legislazione di protezione dei dati. E questo vale anche per il controllo dell'accesso dei lavoratori alla posta elettronica o a Internet da parte del datore di lavoro. Il controllo della posta elettronica comporta necessariamente il trattamento di dati personali. Il trattamento di dati sotto forma di suono e di immagine nel contesto lavorativo rientra nel campo d'applicazione della legislazione di protezione dei dati ed anche la sorveglianza video dei lavoratori è disciplinata dalle disposizioni della Direttiva e dalle leggi nazionali che la recepiscono.

Se trattano dati personali dei lavoratori, i datori di lavoro dovrebbero sempre tenere presenti

I SEGUENTI PRINCIPI FONDAMENTALI DELLA PROTEZIONE DEI DATI:

• FINALITA': I dati devono essere raccolti per uno scopo determinato, esplicito e legittimo e non possono essere trattati in modo che non compatibile con tale finalità.

• TRASPARENZA: Come minimo, i lavoratori devono conoscere quali dati il datore di lavoro stia raccogliendo sul loro conto (direttamente o da altre fonti), quali siano gli scopi delle operazioni di trattamento previste o effettuate per tali dati sia per il presente che per il futuro. La trasparenza viene inoltre assicurata garantendo all'interessato il diritto d'accesso ai propri dati personali, nonché osservando l'obbligo in capo al responsabile del trattamento di notificarlo alle Autorità per la Protezione Dati, così come previsto dalle legislazioni nazionali.

• LEGITTIMITA': Il trattamento dei dati personali dei lavoratori deve essere legittimo. L'articolo 7 della Direttiva elenca i criteri di legittimazione del trattamento.

• PROPORZIONALITA': Il dati personali devono essere adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono raccolti e/o successivamente trattati.
  Ammesso che i lavoratori siano stati informati del trattamento, e che il trattamento sia legittimo e proporzionato, è comunque necessario che sia leale nei confronti del lavoratore stesso.

• ESATTEZZA E CONSERVAZIONE DEI DATI: Gli archivi dei lavoratori devono essere esatti e, se occorre, aggiornati. Il datore di lavoro deve adottare tutte le misure necessarie per assicurare che i dati inesatti o incompleti, rispetto alle finalità per le quali sono stati raccolti o successivamente trattati, siano cancellati o rettificati.

• SICUREZZA: Il datore di lavoro deve adottare le misure tecniche ed organizzative più appropriate al luogo di lavoro per garantire che i dati dei suoi dipendenti siano al sicuro. Una specifica protezione dovrebbe essere approntata al fine di evitare la diffusione e l'accesso non autorizzati.

• CONSAPEVOLEZZA DEL PERSONALE: Il personale incaricato o responsabile del trattamento dei dati degli altri lavoratori deve avere cognizioni in materia di protezione dei dati personali e ricevere una formazione adeguata. In assenza di un'adeguata formazione degli addetti al trattamento dei dati personali il rispetto della riservatezza dei lavoratori sul luogo di lavoro non potrà mai essere garantito.

• CONSENSO: Il Gruppo di lavoro "Articolo 29" ritiene che, se un datore di lavoro deve trattare dati personali come conseguenza necessaria e inevitabile del rapporto di lavoro, sarebbe inutile e fuorviante se cerca di legittimare il trattamento mediante il consenso.
  Il ricorso al consenso dovrebbe limitarsi ai quei casi in cui il lavoratore è effettivamente libero di scegliere e può successivamente ritirare il proprio consenso senza pregiudizio.

• I LAVORATORI SONO "PERSONE INTERESSATE" che godono dei diritti a queste conferiti dalla Direttiva sulla protezione dei dati. Tra questi diritti il più importante è il diritto d'accesso conferito dall'art.12 della Direttiva ⁶.

• INTERAZIONE TRA LE NORME DI DIRITTO DEL LAVORO E QUELLE SULLA PROTEZIONE DEI DATI PERSONALI: Il Gruppo di lavoro intende sottolineare come la normativa sulla protezione dei dati personali non operi separatamente dal diritto e dalle procedure correnti del lavoro e il diritto e le prassi del lavoro non operano separatamente dalla normativa sulla protezione dei dati.
  Tale interazione è necessaria e preziosa e deve favorire lo sviluppo di soluzioni per proteggere adeguatamente i diritti dei lavoratori.

• SORVEGLIANZA E CONTROLLO: Le esigenze di protezione dei dati si applicano al controllo e alla sorveglianza dei lavoratori rispetto all'uso della posta elettronica, all'accesso a Internet, alle telecamere o ai dati per la localizzazione (Ndr: delle apparecchiature terminali degli utenti). Ogni controllo deve essere una risposta proporzionata del datore di lavoro ai rischi che corre nel tener conto della riservatezza e di altri interessi legittimi dei lavoratori. Tutti i dati personali detenuti o utilizzati durante i controlli devono essere adeguati, pertinenti e non eccedenti rispetto alle finalità che giustificano il controllo. I controlli devono essere eseguiti nel modo meno intrusivo possibile.

• TRASFERIMENTO DI DATI PERSONALI DEL LAVORATORE VERSO PAESI TERZI: L'articolo 25 della Direttiva stabilisce che il trasferimento di dati personali verso un paese esterno alla U.E. può aver luogo soltanto se il paese terzo garantisce un livello di protezione dei dati adeguato. Va tenuto presente che, indipendentemente dalla base giuridica del trasferimento ai sensi degli articoli 25 e 26, il trattamento connesso al trasferimento deve comunque conformarsi agli articoli da 6 a 8 e a tutte le altre disposizioni della Direttiva.
  Il Gruppo di lavoro ritiene preferibile contare su un'adeguata protezione del paese destinatario piuttosto che sulle deroghe di cui all'articolo 26, come ad esempio il consenso dei lavoratori. Quando ci si affida al consenso, questo deve essere inequìvocabile e dato liberamente. Sbagliano i datori di lavoro che si affidano esclusivamente al consenso, eccettuato il caso in cui un suo eventuale ritiro successivo non causi problemi.

• ULTERIORI ORIENTAMENTI: Il Gruppo di lavoro sta esaminando ulteriori orientamenti per i casi in cui l'applicazione dei principi generali della tutela dei dati solleva specifici problemi inerenti al contesto lavorativo, quali la sorveglianza e il controllo sul luogo di lavoro, i dati di valutazione dei lavoratori ed altri.

IL GRUPPO DI LAVORO PER LA PROTEZIONE DELL'INDIVIDUO RISPETTO AL TRATTAMENTO DEI DATI PERSONALI

istituito dalla Direttiva 95/46/CE del Parlamento Europeo e del Consiglio del 24 Ottobre 1995 ⁷, visti gli articoli 29 e 30 paragrafi 1 (a) e 3 della stessa Direttiva, nel rispetto del proprio regolamento interno e in particolare degli articoli 12 e 14 di quest'ultimo,

HA ADOTTATO IL PRESENTE PARERE:

1. Introduzione

Il trattamento dei dati personali in ambito lavorativo è oggetto di dibattito sia a livello comunitario che nazionale. I Governi e le Autorità per la Protezione Dati degli Stati membri dell'Unione hanno elaborato o stanno per elaborare leggi, codici, o raccomandazioni sulle molteplici questioni che concernono il trattamento dei dati personali nell'ambito lavorativo.

LAVORI IN CORSO ED INIZIATIVE RECENTI

Le Autorità per la Protezione Dati hanno regolarmente affrontato una serie di questioni inerenti la protezione dei dati nel mondo del lavoro.

Tra queste, in particolare:

• l'esattezza dei dati del lavoratore

• il controllo dell'uso del telefono per fini personali

• l'accesso alle informazioni sulla salute

• l'utilizzo di informazioni inerenti l'adesione a sindacati

• il trattamento in pendenza di fusioni o acquìsizioni societarie

Nella Unione Europea le normative a protezione dei dati personali conferiscono diritti individuali a tutte le persone interessate dal trattamento di dati personali (ad es.: diritto d'accesso, diritto alla rettifica). In via di principio, questi diritti sono integralmente esercitabili nell'ambito del rapporto datore di lavoro/dipendente e le sole eccezioni possibili sono quelle autorizzate dalla Direttiva 95/46/CE. Tuttavia, dato il carattere piuttosto generale della Direttiva, una linea di orientamento sarà utile per chiarire alcuni aspetti sull'applicazione delle summenzionate disposizioni riguardanti il contesto lavorativo.

La Commissione Europea, nel quadro dell'Agenda per le Politiche Sociali, ha avviato una consultazione con le parti sociali sulla protezione dei dati personali nell'ambito lavorativo.

Al fine di contribuire all'uniforme applicazione dei provvedimenti nazionali adottati in osservanza della Direttiva 95/64/CE sulla protezione dei dati personali, il Gruppo di lavoro ha istituito un sottogruppo per esaminare la questione¹⁴ e ha adottato il presente parere.

Il sottogruppo sta tuttora lavorando su un parere specifico che si focalizzerà sull'applicazione della Direttiva 95/46/CE in materia di sorveglianza e controllo delle comunicazioni elettroniche sul luogo di lavoro.

2. Trattamento dei dati personali sul luogo di lavoro

I datori di lavoro e i lavoratori, sia nel settore pubblico che nel privato, devono essere consci del fatto che molte delle attività abitualmente svolte nell'ambito lavorativo comportano un trattamento dei dati personali del lavoratore e, talvolta, il trattamento di informazioni a carattere sensibile.

In realtà, i datori di lavoro raccolgono per diversi motivi dati personali relativi ai loro dipendenti fin dall'inizio del rapporto di lavoro, o anche prima. Durante il procedimento di assunzione, il candidato ad un posto di lavoro deve fornire informazioni personali al suo potenziale datore di lavoro che, allo stesso tempo, tratta tali informazioni personali per valutare i meriti dei candidati.

La raccolta ed il successivo trattamento dei dati personali dei lavoratori prosegue durante l'intero rapporto di lavoro. Queste attività di trattamento riguardano, abitualmente, tutte le informazioni personali che il datore di lavoro ha richiesto e/o ottenuto dai propri dipendenti.

Ogni datore di lavoro raccoglie dati retributivi e fiscali relativi ai propri dipendenti. Il trattamento di questi dati personali è necessario allo svolgimento del rapporto di lavoro o per il rispetto di obblighi di legge (previdenza sociale, pagamento di imposte) a cui il datore di lavoro è assoggettato. In alcuni Stati membri, i datori di lavoro raccolgono e trattano dati inerenti la salute che essi archiviano in cartelle contenenti informazioni sulle malattie. In altri, l'informazione si limita al computo delle assenze causate da malattia.

Invero, i datori di lavoro valutano le prestazioni dei propri lavoratori raccogliendo le informazioni personali direttamente da questi o attraverso altri strumenti, inclusi sorveglianza e controllo elettronico.

Infine, sebbene la raccolta di dati personali relativi ad un lavoratore finisca normalmente al termine del rapporto di lavoro, il trattamento di tali dati può essere proseguito dall'ex datore di lavoro. I datori di lavoro sono soliti mantenere in archivio tali dati per un determinato periodo di tempo, spesso per mero rispetto degli obblighi di legge che ne impongono la conservazione per un tempo prestabilito.

Esempi di archivi professionali che generalmente comportano il trattamento di dati personali protetti dalla Direttiva 95/46/EC

Domande d'assunzione e referenze

Dati salariali e fiscali — informazioni relative a benefici fiscali e sociali

Cartelle mediche

Registri dei permessi annuali

Registri di ferie non pagate/permessi speciali

Schede di valutazione/giudizio annuali

Documenti relativi a promozioni, trasferimenti, formazione professionale o questioni disciplinari

Documenti relativi ad incidenti sul lavoro

Dati generati da sistema informatico

Registri presenze

Composizione del nucleo familiare ¹⁵

Rimborsi spese (ad es., di viaggio)

Come è stato sottolineato dalla Corte europea dei Diritti dell'Uomo nel caso Niemitz v. Germania:

"il rispetto della vita privata deve, in una certa misura, includere anche il diritto di instaurare e sviluppare relazioni con altri esseri umani. Per di più, non sembra esserci alcuna ragione di principio che indichi questo modo di intendere la nozione di vita privata come portato ad escludere le attività di natura lavorativa o commerciale: dopotutto, è durante la propria vita lavorativa che la maggioranza delle persone ha un'importante, se non la migliore, opportunità di sviluppare rapporti con l'ambiente esterno. Questo punto di vista è supportato, come giustamente sottolineato dalla Commissione, dal fatto che non è sempre possibile distinguere chiaramente quali attività dell'individuo facciano parte della sua vita lavorativa e quali no".¹⁶

3. Principali strumenti internazionali

• Direttiva 95/46/CE sulla protezione degli individui con riguardo al trattamento dei dati personali e sulla libera circolazione di tali dati ¹⁷

• Direttiva 97/66/EC relativa al trattamento dei dati personali e alla protezione della privacy nel settore delle telecomunicazioni ¹⁸

• Articolo 286 del Trattato costitutivo la Comunità Europea

• Regolamento (CE) N. 45/2001 del Parlamento Europeo e del Consiglio del 18 Dicembre 2000 sulla protezione degli individui con riguardo al trattamento dei dati personali da parte di istituzioni ed organismi Comunitari e sulla libera circolazione di tali dati ¹⁹

• Carta dei Diritti Fondamentali dell'Unione Europea ²⁰

• Convenzione Europea sulla salvaguardia dei Diritti dell'Uomo e delle Libertà Fondamentali (ECHR), Art.8

• Convenzione del Consiglio d'Europa (108) sulla protezione delle persone rispetto al trattamento automatizzato dei dati a carattere personale²¹

• Raccomandazione del Consiglio d'Europa (89) 2 relativa alla protezione dei dati a carattere personale utilizzati ai fini dell'occupazione²²

• Raccomandazione del Consiglio d'Europa (97) 5 relativa alla protezione dei dati sanitari²³

• Raccomandazione del Consiglio d'Europa (86) 1 relativa alla protezione dei dati a carattere personale utilizzati a fini di sicurezza sociale²⁴

• Codice Deontologico dell'OIL relativo alla protezione dei dati personali dei lavoratori (1997)

a) Stati Membri della U.E.

Austria

• Legislazione generale: Legge Federale relativa alla protezione dei dati personali²⁵

• Disposizione specifica relativa all'uso dei dati sensibili in ambito lavorativo ²⁶

• Procedure di informativa e consenso precedenti l'introduzione di strumenti di controllo sul posto di lavoro (Organismi di rappresentanza dei lavoratori) ²⁷

• Specifico divieto per i datori di lavoro di sottoporre a test genetici lavoratori dipendenti o candidati²⁸

Belgio

• Legislazione Generale: Legge dell'8 dicembre 1992 relativa alla protezione dei dati personali degli individui ²⁹

• Specifico regolamento concernente il trattamento di dati sanitari relativi a visite mediche dei lavoratori

• Decreto regionale relativo all'utilizzo dei dati sensibili nelle agenzie di collocamento, reclutamento e selezione del personale.

• Due accordi collettivi (n. 13 e 68) contenenti disposizioni sulle procedure di consultazione e di informazione con i dipendenti.

Danimarca

• Legislazione generale: The Act on Processing of Personal Data (Act N. 429 del 31 Maggio 2000)³⁰

• Specifica normativa concernente l'uso di dati sanitari in relazione alle visite mediche dei lavoratori

• Normativa specifica per i dipendenti pubblici

Finlandia

• Legislazione generale: Personal Data Act (523/1999) ³¹

• Normativa specifica sulla protezione della privacy nella vita lavorativa (Act adottato dal Parlamento finlandese nel maggio 2001, con entrata in vigore fissata per l'autunno 2001) ³²

Francia

• Legislazione generale: Legge N. 78-17 del 6 gennaio 1978 relativa alla protezione della privacy degli individui ³³

• Specifiche disposizioni per la protezione dei dati dei lavoratori nel Code du Travail ³⁴

Germania

• Legislazione generale: Federal Data Protection Act (BDSG) ³⁵

• Specifici regolamenti sulla protezione dei dati personali nel pubblico impiego (Framework Civil Service Act -BRRG-, 56 a 56 f e Federal Civil Service Act -BBG- 90 a 90 g, entrambi entrati in vigore nel 1997).

Implementazione di strumentazioni utilizzabili per il controllo del rendimento e del comportamento solo previo accordo con gli organismi di rappresentanza dei lavoratori, in ossequìo a quanto previsto dai regolamenti della normativa collettiva in tema di lavoro (settore pubblico e privato).

Grecia

• Legislazione generale 2472/97 relativa alla protezione degli individui rispetto al trattamento dei dati personali ³⁶

Irlanda

• Legislazione generale: Data Protection Act del 1988 37

Italia

• Legislazione generale: Tutela delle persone ed altri soggetti rispetto al trattamento dei dati personali Legge n. 675 del 31 dicembre 1996 ³⁸

• Legge n. 135 del 11 Maggio 1999 sul trattamento dei dati sensibili da parte della Pubblica Amministrazione

• Legge n. 300/1970 (Statuto dei Lavoratori)

• Disposizioni specifiche a restrizione di sorveglianza e controllo sul posto di lavoro

• Autorizzazione n.2/2000 del Garante per la protezione dei dati personali

Lussemburgo

• Legge generale sull'uso dei dati nelle transazioni elettroniche (legge del 31 marzo 1979).

• Nuovo progetto di legge presentato nell'ottobre 2000, prima lettura prevista per l'autunno 2001.

Paesi Bassi

• Legislazione generale: Data Protection Act del 6 Luglio 2000³⁹ (entrata in vigore l'1 settembre 2001).

• Disposizioni di diritto del lavoro sulle procedure di informazione e consenso con l'accordo degli organismi di rappresentanza dei lavoratori.⁴⁰

• Legge relativa ai registri malattia e retribuzione dei dipendenti (gennaio 2001)⁴¹

• Legge relativa alla registrazione delle origini etniche dei dipendenti (aprile 1998).

• Legge sulla identificazione (dicembre 1993) e Legge sul codice di identificazione personale (gennaio 2001)⁴²

Portogallo

• Legislazione generale: Legge 67/98 del 26 ottobre 1998 ⁴³

• Legislazione di settore:

Spagna

• Legislazione generale: Legge organica 15/99 del 13 dicembre sulla protezione dei dati personali ⁴⁹

• Regio Decreto 994/1999 sulle misure di sicurezza obbligatorie per i file informatici che contengono dati personali ⁵⁰

• Regio Decreto 1/1995 relativo al testo consolidato della Legge sullo Statuto dei Lavoratori ⁵¹

• Legge organica 11/1985 sulla libertà sindacale ⁵²

• Legge sulla prevenzione dei rischi del lavoro 31/1995 ⁵³

Svezia

• Legislazione generale: Legge sui dati a carattere personale del 24 Ottobre 1998 (1998: 204)⁵⁴

• Disposizioni specifiche riguardo la consultazione con le rappresentanze dei lavoratori prima di introdurre strumenti di videosorveglianza. Regolamento che stabilisce il divieto di videocontrollo sulle prestazioni del lavoratore senza che egli ne sia a conoscenza e che le rappresentanze sindacali siano sentite prima di introdurre meccanismi di controllo. ⁵⁵

Regno Unito

• Legislazione generale: Legge del1998, sulla protezione dei dati personali ⁵⁶

b) Stati Membri dell'Area Economica Europea (EEA)

Norvegia

• Legislazione generale: Legge sulla protezione dei dati personali ⁵⁷

• Disposizioni specifiche nel principale accordo collettivo che regola la questione del controllo sul posto di lavoro con procedure di informazione e consultazione con le rappresentanze sindacali.

Islanda

• Legislazione generale: Legge sulla protezione degli individui rispetto al trattamento dei dati personali No. 77/2000 ⁵⁸

Le disposizioni della Direttiva 95/46/CE si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi. Per "dati personali" si intende qualsiasi informazione concernente una persona fisica identificata o identificabile. Al "trattamento" è data una definizione molto ampia. Così ogni raccolta, utilizzo o archiviazione di informazioni relative ai lavoratori attraverso strumenti elettronici ricadrà quasi certamente nell'ambito della Direttiva.

Il controllo da parte dei datori di lavoro sulle e.mail o sugli accessi ad Internet dei lavoratori ricade nell'ambito della Direttiva. Il controllo delle e.mail comporta necessariamente un trattamento di dati personali. Il monitoraggio degli accessi ad Internet - salvo sia effettuato ad un livello superiore tale da garantire la non riconducibilità al lavoratore dell'accesso a siti particolari e dunque idoneo a produrre solo informazioni aggregate - necessariamente comporta il trattamento dei dati personali del lavoratore che procede all'accesso. Il trattamento di dati provenienti da suoni od immagini raccolti nel contesto lavorativo ricade nell'ambito della Direttiva e la videosorveglianza dei lavoratori è coperta delle sue disposizioni.

Non tutti i registri manuali rientrano nell'ambito della Direttiva, fatto salvo se fanno parte di un sistema di "archiviazione di dati personali", da intendersi come qualsiasi insieme organizzato di dati personali accessibile secondo un criterio specifico: centralizzato, decentrato o disperso secondo una logica funzionale o geografica. E' probabile che in materia di impiego la maggior parte degli archivi rientrino in questa definizione. Tuttavia, in alcuni paesi le norme di implementazione potrebbero escludere alcune annotazioni manoscritte ritenute estranee a qualsiasi forma di archiviazione, ma data la loro natura necessariamente strutturata, gli archivi del personale conterranno la maggior parte delle informazioni relative ai lavoratori, sia quelli gestiti all'interno di un sistema centralizzato, sia quelli gestiti da responsabili di settore.

Oltre alla Direttiva generale sulla Protezione dei dati personali (95/46/CE), potrebbe avere rilevanza la Direttiva sulla Protezione dei Dati nelle Telecomunicazioni (97/66/CE). Questa specifica ed integra la Direttiva 95/46/CE relativamente ai trattamenti di dati personali nel settore delle telecomunicazioni. Il controllo sulle comunicazioni elettroniche del lavoratore, incluse e.mail ed accessi Internet, come ricadono nell'ambito della Direttiva 95/46/CE, potrebbero anche rientrare nell'ambito della Direttiva 97/66/CE che è stata riesaminata (Ndr: e sostituita dalla Direttiva 2002/58/CE dal 31 ottobre 2003), nel contesto della revisione del pacchetto normativo comunitario in tema di telecomunicazioni.

Il Gruppo di Lavoro tiene a sottolineare come la legge sulla protezione dei dati personali non operi in modo isolato dalle norme di diritto del lavoro, e viceversa. Vi è, necessariamente, un'interazione tra le due aree normative.

La precisa natura di questa interazione varia tra gli Stati Membri ma, in via generale:

• il crescente utilizzo di tecnologie dell'informazione e comunicazione nel mondo del lavoro dilata lo spazio di questa interazione poiché le attività lavorative poggiano sempre più sul trattamento di dati personali a cui si applicano i principi generali di protezione dei dati;

• non tutti i problemi che sorgono nel contesto lavorativo e che comportano un trattamento di dati personali sono esclusivamente problemi di protezione dati;

• l'interazione è necessaria e preziosa, e dovrebbe contribuire allo sviluppo di soluzioni che forniscano opportuna tutela agli interessi dei lavoratori.

Qualsiasi trattamento di dati personali, inclusi quelli in ambito lavorativo, deve presentare i requìsiti della Sezione II della Direttiva 95/46/CE per essere giuridicamente legittimo. In ogni caso è necessario operare su una base giuridica per procedere ai trattamenti di cui agli artt.6, 7 e 8 della Direttiva (quest'ultimo articolo nel caso di dati sensibili).

Il responsabile del trattamento deve, inoltre, attenersi ad altri requìsiti, tra i quali:

La Direttiva autorizza limitate eccezioni rispetto ad alcuni dei requìsiti di cui sopra, ma non per quanto riguarda gli artt.7 o 8 (artt.9 e 13)

Almeno uno dei criteri specificati dall'art.7 deve essere soddisfatto quando i dati personali devono essere trattati in un contesto lavorativo. Ciascuno di questi criteri richiede in ogni caso che il trattamento in corso sia "necessario" al raggiungimento dello scopo anziché semplicemente "utile" al raggiungimento dello stesso. I criteri più rilevanti sono:

I rapporti di lavoro sono molto spesso basati su un contratto di lavoro tra il datore di lavoro e il lavoratore. Per adempiere agli obblighi scaturenti dal contratto, ad esempio per pagare il lavoratore, il datore di lavoro deve trattare alcuni dati personali.

Il diritto del lavoro può imporre al datore di lavoro alcuni obblighi di legge che necessariamente comportano un trattamento di dati personali. Il datore di lavoro potrebbe trovarsi davanti all'obbligo di legge di comunicare alcuni dati personali, ad esempio, al fisco, oppure, di trattare dati relativi ai contributi previdenziali.

Questo criterio richiede un bilanciamento tra gli interessi del datore di lavoro e quelli del lavoratore. Alcune Autorità garanti hanno dato suggerimenti sul modo in cui raggiungere il giusto punto d'equìlibrio tra gli interessi contrapposti della persona interessata e del responsabile del trattamento. E' importante segnalare che se questo criterio è preso in considerazione il lavoratore ha diritto di opporsi, per motivi legittimi, al trattamento. (Articolo 14).

Altri criteri, meno suscettibili di essere presi in considerazione nel contesto lavorativo, sono:

• IL TRATTAMENTO E' NECESSARIO ALLA PROTEZIONE DI UN INTERESSE VITALE DELL'INTERESSATO (Articolo 7.1.D)

• IL TRATTAMENTO E' NECESSARIO PER IL PERSEGUIMENTO DI UN INTERESSE PUBBLICO (Articolo 7.1.E)

Se nessuno di questi criteri risulta applicabile al trattamento dei dati del lavoratore da parte del datore di lavoro, questi, in alternativa, potrà rivolgersi al dipendente per ottenere, fuori da ogni ambiguità, il consenso al trattamento. Il significato del termine "consenso" è discusso nella Sezione 11.

La Direttiva identifica alcune particolari categorie di dati idonei a rivelare le origini razziali od etniche, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, nonché lo stato di salute e la vita sessuale. La Direttiva, inoltre, conferisce una speciale protezione ai dati relativi alle infrazioni, alle condanne penali o alle misure di sicurezza. Gli Stati Membri non hanno la facoltà di allungare o ridurre questa lista. Certamente è loro concesso di stabilire garanzie particolari per alcune tipologie di dati sensibili, come per i dati genetici.

L'articolo 8 parte dal presupposto che trattare alcune categorie di dati ("i dati sensibili") sia proibito. Ci sono poi numerose eccezioni che delineano le particolari circostanze in cui il divieto non opera. Il diritto interno di alcuni Stati Membri può limitare l'ampiezza dei casi in cui i datori di lavoro possano trarre vantaggio da dette eccezioni. Sicché gli Stati Membri possono fare un uso più o meno estensivo delle eccezioni. La Direttiva consente agli Stati Membri di aggiungere altre eccezioni per consistenti motivi di interesse pubblico.

Se nessuna di queste eccezioni risulta applicabile, il datore di lavoro può ottenere il consenso esplicito da parte del lavoratore, salvo che la legge dello suo Stato stabilisca che il divieto di trattare dati sensibili non possa essere annullato dal consenso dell'interessato, come accade in Belgio, a fronte di determinate circostanze. La possibilità di ricorso al consenso nei rapporti di lavoro è comunque limitata, così come descritto nella Sezione 11.

Le eccezioni di cui all'art.8 sono ben più ristrette dei criteri di cui all'art.7.

Quelle che appaioni più pertinenti al contesto lavorativo sono le seguenti:

Senza dubbio, quanto detto riguarda il mondo del lavoro e può avere un campo d'applicazione piuttosto vasto. Molto dipende da quanto spazio è concesso, dal singolo Stato Membro, agli obblighi e ai diritti del datore di lavoro in materia di diritto del lavoro, oppure se si tratta solamente di costumi o pratiche in uso.

Questa disposizione ha una certa rilevanza nel contesto in questione e, in particolare, in relazione ai reclami del lavoratore contro il datore di lavoro nel caso di ingiusto licenziamento, per esempio, quando si verifica un trasferimento dei dati del lavoratore verso avvocati o magistrature. Il tutto è comunque limitato al solo caso di reclami attuali ed effettivi. Questo non giustifica affatto di trattamento dei dati sensibili di tutti i lavoratori per il solo motivo che un giorno essi o qualche terzo potrebbero avanzare una pretesa di carattere legale.

Questa eccezione avrà rilevanza nei programmi di medicina del lavoro.

Inoltre, l'articolo 20 della Direttiva dispone garanzie supplementari, statuendo che le operazioni di trattamento che, con maggiore probabilità, possono presentare rischi particolari per i diritti e le libertà dell'interessato debbano essere vagliate preventivamente delle Autorità per la Protezione Dati.

Il responsabile del trattamento deve rispettare i requìsiti della legge nazionale che recepisce l'art.6 della Direttiva, così come deve soddisfare i criteri dell'art.7, nonché un'eccezione dell'art.8 in presenza di dati sensibili.

L'art.6 prevede che i dati personali devono essere:

Questi principi si applicano al trattamento di dati personali nel contesto lavorativo, così come in altri ambiti. Essi prendono in considerazione le circostanze in cui i dati vengono trattati, compreso il caso in cui sono trattati da un subappaltatore esterno.

I lavoratori non perdono il loro diritto alla privacy varcando, ogni mattina, la soglia del luogo ove prestano la propria attività. Tuttavia, la privacy non è un diritto assoluto perché deve trovare equìlibrio con altri interessi legittimi, diritti o libertà. E questo vale anche per il contesto lavorativo.

I lavoratori, fin quando sono parte di un organizzazione, devono accettare un certo grado di intrusione nella loro privacy e devono condividere alcune informazioni a carattere personale con il datore di lavoro. Il datore di lavoro ha un legittimo interesse a trattare i dati dei propri dipendenti per quei fini che, leciti e legittimi, sono necessari al naturale sviluppo del rapporto di lavoro e al buon funzionamento dell'azienda.

La questione, perciò, non verte mai su quanto il trattamento di dati sul posto di lavoro sia, di per sé stesso, attività lecita o meno. La vera questione consiste nel determinare quali limiti la protezione dei dati possa porre a detta attività o, per converso, quali ragioni possano giustificare la raccolta ed il conseguente trattamento dei dati personali di ogni singolo lavoratore.

Evidentemente, non esistono a priori risposte assolute a simili questioni. I livello di tollerabilità dell'intrusione nella privacy dipenderà molto dalla natura dell'impiego e dalle specifiche circostanze che circondano e influenzano il rapporto di lavoro.

FINALITA'

I dati devono essere raccolti per fini specifici, espliciti e legittimi e, in seguito, non possono essere trattati in modo incompatibile con queste finalità. Il Gruppo di Lavoro sta attualmente lavorando per fornire alcune linee guida sul punto.

TRASPARENZA

Questo principio dovrebbe permeare ogni operazione. Nei singoli Stati Membri, molte delle operazioni di trattamento svolte in ambito lavorativo potrebbero violare norme poste a tutela dei dati personali, non perché il trattamento sia di per sé illecito, ma perché i lavoratori non sono stati informati del fatto che queste vengono svolte. Come minimo, i lavoratori devono sapere quali dati il datore di lavoro raccolga sul loro conto (direttamente o presso terzi) e quali siano gli scopi delle operazioni di trattamento previste o svolte su questi dati, nel presente e nel futuro.

La trasparenza è altrettanto assicurata quando si permette all'interessato di accedere ai propri dati personali e con l'obbligo per il responsabile del trattamento di notifica all'Autorità garante così come previsto dalle leggi nazionali.

PROPORZIONALITA'

Infine, supponendo che i lavoratori siano stati informati e che il trattamento sia legittimo, i dati personali devono risultare adeguati, pertinenti e non eccedenti rispetto allo scopo per cui sono raccolti e di seguito trattati⁶⁰.

Supponendo che il lavoratore sia stato informato circa l'operazione di trattamento e supponendo che tale attività sia legittima e proporzionata, il trattamento deve anche risultare corretto nei confronti del lavoratore⁶¹.

Questo principio di proporzionalità è potenzialmente ad ampio raggio e si presenta sotto vari aspetti nel contesto lavorativo. Comunque, la più importante tra le sue conseguenze è quella che impone al datore di lavoro di trattare i dati personali nella maniera meno intrusiva possibile. Diversi elementi devono essere presi in considerazione quando si persegue questa discrezione: il rischio che si corre, la quantità di dati implicati, la finalità del trattamento, etc.

SICUREZZA

Il datore di lavoro deve mettere in opera le misure tecniche ed organizzative appropriate al luogo di lavoro per garantire la sicurezza dei dati dei dipendenti. Particolare protezione dovrebbe essere assicurata a prevenzione di accessi o diffusioni non autorizzati. I dati personali devono essere tenuti al riparo dalla curiosità di altri lavoratori o di soggetti terzi. La tecnologia attuale offre ragionevoli strumenti con i quali prevenire accessi o diffusioni non autorizzati e che, in ogni caso, permettono l'identificazione del personale che accede all'archivio. Se si usa un elaboratore elettronico, tra il datore di lavoro e il terzo che fornisce la macchina vi dev'essere un contratto che fornisca garanzie di sicurezza ed assicurazioni sul fatto che il computer operi soltanto seguendo le istruzioni del datore di lavoro.

Esempi di misure di sicurezza sul posto di lavoro:

• Password/sistemi d'identificazione per l'accesso ai dossier informatizzati

• Individuazione e controllo di accessi e diffusioni

• Copie di back-up

• Criptazione dei messaggi, in particolare, se i dati vengono trasferiti al di fuori dell'organizzazione

SENSIBILIZZAZIONE DEL PERSONALE

Il personale responsabile o incaricato del trattamento dei dati personali di altri lavoratori deve essere informato riguardo la protezione dei dati e ricevere un'adeguata formazione. Sarebbe preferibile che i contratti d'assunzione di questo personale contengano una clausola di riservatezza professionale. Il personale deve essere avvisato delle possibili conseguenze che un trattamento illecito potrebbe avere su di essi, sull'organizzazione e, naturalmente, sulla privacy degli altri colleghi. Senza un'adeguata formazione del personale che tratta dati personali non potrà mai esservi un adeguato rispetto per la privacy del lavoratore.

Da quanto detto fin quì, dovrebbe essere chiaro che, in particolare se non vi sono dati sensibili, il trattamento di dati personali nel contesto lavorativo in molti casi non necessita del consenso del dipendente. Il consenso sarà una soluzione alternativa se le cause d'eccezione di cui agli art.7 e 8 non risultassero applicabili. Laddove il consenso è necessario, esso dev'essere in ogni caso valido e il datore di lavoro deve soddisfare i criteri della Direttiva, compresi quelli degli art.6 e 15 relativi alle decisioni automatizzate. Inoltre il lavoratore dev'essere informato sul trattamento così come richiesto dagli art.10 e 11.

La Direttiva definisce il consenso come "qualsiasi manifestazione di volontà libera, espressa, specifica ed informata, mediante la quale l'interessato accetta il fatto che i suoi dati personali siano oggetto di trattamento". Nel caso di dati sensibili il consenso dev'essere, per di più, espresso. Il Gruppo di Lavoro "Articolo 29" è dell'avviso che, quando il consenso del lavoratore è necessario, ma un suo eventuale diniego potrebbe causare un reale o potenziale pregiudizio, il consenso non è idoneo a soddisfare gli art.7 e 8 e non potrebbe qualificarsi come libero. Quindi, i lavoratori devono poter negare il proprio consenso senza pregiudizio.

Una situazione complessa può presentarsi quando il rilascio del consenso è una condizione dell'assunzione. Il lavoratore può in teoria rifiutare il proprio consenso, ma la conseguenza potrebbe essere la perdita dell'opportunità di lavoro. In tali circostanze il consenso non si manifesta liberamente e quìndi non è valido.

La situazione è ancor più evidente quando, come spesso è il caso, tutti i datori di lavoro pongono la stessa o simili condizioni d'assunzione.

Negli altri casi il lavoratore deve anche ricevere l'informativa (articolo 10) ed i principi di cui agli articoli 7 e 8 devono risultare tanto estesi da poter legittimare il trattamento su basi alternative al consenso.

Il Gruppo di Lavoro è cosciente che le leggi di molti Stati Membri conferiscono alle rappresentanze locali dei lavoratori un ruolo di protezione dei diritti dei lavoratori, anche, nel campo della tutela dei dati. Per esempio, in alcuni Stati Membri, le imprese devono raggiungere un accordo con le rappresentanze sindacali prima di poter introdurre forme di controllo sul luogo di lavoro.

In qualità di "interessati", i lavoratori beneficiano dei diritti concessi dalla Direttiva 95/46/CE.

Il più importante è il diritto di accesso conferito dall'art.12 della Direttiva in virtù del quale ogni interessato ha diritto di ottenere dal responsabile del trattamento (in questo caso, il datore di lavoro):

• Conferma che i suoi dati siano o meno trattati, informazioni sulle finalità del trattamento, la tipologia dei dati implicati, e i destinatari o la categoria di destinatari a cui i dati sono comunicati o diffusi;

• Comunicazione in forma comprensibile dei dati oggetto di trattamento e di ogni informazione disponibile sulla loro fonte;

• Conoscenza delle logiche sottese ai trattamenti automatizzati, quantomeno nei casi di decisioni automatizzate

L'interessato ha altresì il diritto di opporsi, sulla base di motivi legittimi e preponderanti nella sua particolare situazione, al fatto che il datore di lavoro tratti i suoi dati anche se la legislazione nazionale dispone diversamente (articolo 14 della Direttiva) e il diritto di esser risarcito dei danni patiti in seguito a trattamento illecito o per altro atto incompatibile con la normativa a tutela dei dati.

Il Gruppo di Lavoro ha già presentato una raccomandazione concernente i dati relativi alla valutazione del personale dipendente⁶² e sul punto potrà fornire altre linee guida in futuro.

Diversi aspetti relativi all'applicazione delle Direttive 95/46/CE e 97/66/CE sulla sorveglianza e il monitoraggio dei lavoratori sono stati già affrontati. Non ci dovrebbe esser più alcun dubbio sul fatto che i principi di tutela dei dati si applicano al monitoraggio e alla sorveglianza dei lavoratori nell'uso della posta elettronica, dell'accesso ad Internet, tramite videocamere o dati di localizzazione.

L'applicazione della Direttiva alla sorveglianza e al momitoraggio e l'importanza accordata al tema sono evidenziate dagli sviluppi avvenuti negli Stati Membri, quali i rapporti e le iniziative menzionate nell'Introduzione.

Dovrebbe comunque essere chiaro che:

• Ogni controllo, specialmente se condotto sulle basi dell'art.7 della Direttiva 95/46/CE e, in ogni caso, se conforme all'art.6, deve essere una risposta del datore di lavoro proporzionata al rischio che egli corre nel prendere in esame la privacy legittima e gli altri interessi del dipendente.

• Tutti i dati personali detenuti o utilizzati durante il controllo devono essere pertinenti, rilevanti e non eccedenti rispetto allo scopo che giustifica il monitoraggio. Il controllo deve esser il meno possibile invasivo. Deve essere limitato all'area di rischio e deve tenere in considerazione le regole a tutela dei dati e, dove applicabile, il principio di segretezza della corrispondenza⁶³.

• I controlli, compresa la videosorveglianza, devono essere conformi ai criteri di trasparenza dell'art.10. I lavoratori devono essere informati dell'esistenza di un sistema di sorveglianza, degli scopi per cui i dati sono trattati e di tutte le altre informazioni necessarie a garantire la correttezza del trattamento. La Direttiva non tratta in maniera meno restrittiva il controllo del lavoratore che utilizza Internet e la posta elettronica se il monitoraggio avviene tramite una telecamera installata nell'ufficio.