Privacy e lavoro, consigli alle imprese

Transcript

1 Privacy e lavoro, consigli alle imprese L avvocato Lidia Mazza, socio dello studio di consulenza legale e tributaria KStudio Associato di Milano, sulle novità normative in materia di trattamento dei dati personali e gli aspetti operativi di maggior rilievo legale e tributaria KStudio Associato di Milano, si occupa Lidia Mazza nata a Catanzaro, coniugata e madre di tre figli, l avvocato Lidia Mazza dal 2001 è socio di KStudio Associato, prestigioso studio di consulenza legale e tributaria di Milano (ma con sedi in molte altre città d Italia) legato al network della società di revisione KPMG. Si occupa di consulenza alle aziende in materia di privacy, due diligence, contrattualistica internazionale. E possibile accedere alle caselle di posta elettronica dei propri dipendenti? In che termini è possibile controllare la navigazione in internet dei propri collaboratori? Sono solo alcuni dei tanti quesiti che interessano la vita quotidiana delle aziende e che hanno trovato risposte puntuali ed esaustive da parte dei massimi esperti in materia di trattamento dei dati personali, nel corso di un importante convegno svoltosi di recente presso la sala Guglielmo Papaleo della sede di Confindustria Catanzaro. L avvocato Lidia Mazza, socio dello studio di consulenza tra l altro di consulenza alle aziende in materia di privacy. Avvocato Mazza, quali sono le novità normative in materia di privacy e gli aspetti operativi di maggior rilievo per le imprese? Con l entrata in vigore del Testo Unico (D.lgs. 196/2003), che ha sostituito la previgente normativa in materia, il legislatore ha codificato l opera di progressivo snellimento dell originario impianto normativo, alleggerendo alcuni aspetti formali degli adempimenti dovuti (prevedendo, a titolo di esempio, forme semplificate di informativa per alcuni settori, o maggiori casi di esimente dall obbligo di acquisire il preventivo consenso dell interessato), nonché depenalizzando molte sanzioni a discapito di un inasprimento di quelle di natura amministrativa. Quali sono gli aspetti più delicati della tutela della riservatezza sul posto di lavoro? Da sempre il contemperamento tra le esigenze di privacy del lavoratore da una parte e quelle di controllo da parte del datore di lavoro dall altra sono causa di conflitti politici e sociali, che solo in parte la normativa in materia (Statuto dei lavoratori) e la giurisprudenza sono riuscite a redimere. Il principio basilare della normativa sulla privacy è che le persone - e quindi anche i dipendenti - non possano essere spiate e che i dati forniti devono essere utilizzati unicamente per finalità lecite e pertinenti rispetto alla finalità della raccolta. Così, ad esempio, l iscrizione 20

2 ad un sindacato è un dato da utilizzare solo per gli scopi consentiti dalla contrattazione collettiva di riferimento e da quella integrativa (ove esistente) e non anche per discriminare o strumentalizzare il soggetto cui tali dati si riferiscono. Lo stesso dicasi per i dati sulla malattia. Di contro non ha senso che un dipendente si opponga per mero ostruzionismo alla comunicazione dei propri dati - anche sensibili - a società terze cui l azienda intende affi dare l elaborazione dei dati del personale. E importante sensibilizzare le aziende rispetto alla effettiva portata di questa normativa che, giova ricordare, non vieta nulla, né nulla impone, ma si limita a ribadire in ogni suo aspetto il principio di legalità cui ciascun trattamento di dati si deve uniformare. In sostanza: Tutto è possibile se è lecito e non Tutto è lecito se possibile! Veniamo ai problemi pratici che si presentano nella quotidianità delle imprese. È possibile monitorare il traffico internet dei dipendenti o accedere alle loro caselle di posta aziendali? Gli interventi del datore di lavoro per preservare gli stru menti aziendali forniti al proprio personale dal rischio di improprio utilizzo e/o di abuso devono essere pertinenti, necessari, leciti e non eccedenti rispetto alle finalità per i quali sono predisposti. Il traffico su internet non può esse- L iscrizione ad un sindacato è un dato da utilizzare solo per gli scopi consentiti dalla contrattazione e non anche per discriminare o strumentalizzare il soggetto cui tali dati si riferiscono re monitorato indiscriminatamente, per evitare la violazione del divieto di cui all art. 4 dello Statuto dei lavoratori (controllo a distanza). In tale ottica il Garante ha emanato alcune linee guida che ciascun datore di lavoro deve seguire nell attività di monitoraggio dell utilizzo degli strumenti informatici da parte dei propri dipendenti. Così, a titolo di esempio, il Garante raccomanda il ricorso a regolamenti interni (previamente concordati con le rappresentanze sindacali o le commissioni interne o, ove non esistenti, autorizzate dall Ispettorato del Lavoro competente per territorio) nei quali siano descritti (tra l altro) i limiti e le condizioni di utilizzo di internet da parte dei 21

3 Il traffico su internet non può essere monitorato indiscriminatamente, per evitare la violazione del divieto di cui all art. 4 dello Statuto dei lavoratori (controllo a distanza) sono reperibili sul sito Quali accorgimenti suggerisce alle aziende di adottare per prevenire i più comuni inconvenienti? E inutile negare che il rispetto della normativa sulla privacy implica per le aziende un appesantimento burocratico, in ragione dei molti adempimenti di carattere formale previsti (quali invio delle informative a clienti, fornitori, dipendenti, candidati, acquisizione del consenso ove dovuto, predisposizione del Documento Programmatico sulla sicurezza, nomina scritta dei dipendenti quali incaricati del trattamento, etc.) e delle sanzioni pecuniarie non certo leggere applicabili in caso di mancato rispetto. Per dipendenti, nonché le conseguenze - anche di natura sanzionatoria - per la violazione delle regole. E bene altresì creare delle black list o inibire ab origine l accesso a deter minati siti. Lo stesso dicasi per il controllo della posta elettronica, che in linea di principio il Garante ha dichiarato non essere consentito in quanto a forte rischio di violazione di un principio, quale quello della segretezza della corrispondenza, costituzionalmente garantito. In tale prospettiva il Garante suggerisce strumenti preventivi, quali indirizzi non personali per ciascun dipendente bensì di gruppo attribuiti in ragione della funzione ricoperta (es.info@risorseumane.it), messaggi da apporre in automatico al termine di ogni messaggio che segnalino al destinatario in uscita della posta la natura non privata del messaggio medesimo, etc. Le linee guida del Garante ovviare quanto più possibile agli inconvenienti da ciò prodotti, si consiglia alle aziende di creare snelle procedure Il controllo della posta elettronica non è consentito in quanto a forte rischio di violazione di un principio, quale quello della segretezza della corrispondenza, costituzionalmente garantito 22

4 per identificare Chi fa che cosa quando. Per esempio l informativa alla cliente potrebbe esser inserita nelle condizioni generali di contratto, o negli ordini, idem per quanto concerne i fornitori, quella dei dipendenti nella lettera di assunzione. Procedure come queste determinerebbero automatismi tali da snellire notevolmente il processo degli adempimenti da implementare. A fianco di ciò peraltro sarebbe indispensabile (oltre che dovuta per legge) una idonea formazione del personale incaricato del trattamento dei dati aziendali. Quali problematiche assumono rilievo relativamente all acquisizione del consenso al trattamento dei dati personali sui siti internet? Per esperienza ritengo che l acquisizione del consenso quando si raccolgono dati via internet sia molto più semplice di quanto possa sembrare. E sufficiente mettere al termine della schermata nella quale sono raccolti i dati l opzione del consenso o meno, specificando che in caso di diniego non sarà possibile accedere alla schermata successiva e quindi di dar corso all operazione per la quale sostanzialmente si era entrati nel sito. Resta peraltro l obbligo di acquisire solo i dati strettamente necessari al perseguimento della finalità per cui essi sono richiesti e di chiedere eventuali diversi consensi qualora i dati siano trattati per scopi ulteriori e diversi. Il problema più grosso è poi legato alla certificazione dell autore del conferimento dei dati, che sarebbe pienamente identificabile solo in presenza della firma elettronica (quasi mai utilizzata in casi del genere), mentre in caso contrario si dovrebbe ricorrere a strumenti alternativi che varrebbero a titolo di attualità La privacy potrebbe essere un valido strumento per fare pulizia nei propri archivi e riordinare le proprie banche dati organizzandole in maniera razionale ed efficiente presunzione ma non di prova piena in caso di contenzioso. Nel corso del convegno organizzato da Confindustria Catanzaro è stato lanciato un messaggio: la privacy da onere burocratico deve diventare una risorsa per le imprese. La privacy è ormai una materia con cui ciascuna azienda è chiamata a convivere; ritengo che nonostante le apparenze, questo potrebbe essere un valido strumento per fare pulizia nei propri archivi, identificando i dati obsoleti o eccedenti rispetto alle finalità per i quali erano stati a suo tempo raccolti, riordinando le proprie banche dati e organizzandole in maniera razionale ed efficiente, il che in tempi brevi determinerebbe un grande risparmio di tempo, risorse e quindi denaro.

5

6 La privacy, non un fastidio ma una risorsa per l impresa Il vicepresidente dell Autorità Garante, Giuseppe Chiaravalloti, al convegno del 24 marzo scorso Tutela della privacy e rapporto di lavoro rappresentano un binomio troppo spesso in conflitto. Soprattutto in seguito alle innovazioni introdotte in materia, alla luce delle interpretazioni dell Autorità Garante e delle esperienze applicative. Nel corso di un convegno svoltosi il 24 marzo scorso nella sala Guglielmo Papaleo della sede di via Eroi di Confindustria, il presidente di Confindustria Catanzaro, Giuseppe Speziali, ha sottolineato l impatto notevole che le nuove norme in materia di protezione dei dati hanno avuto su tutte le attività e le funzioni aziendali coinvolte. A illustrare alla numerosa, qualificata e attenta platea di imprenditori gli adempimenti a carico delle aziende e i numerosi aspetti operativi è stata l avvocato Lidia Mazza, mentre il dott. Roberto Lattanzi, dirigente del Dipartimento realtà economiche e produttive del Garante per la protezione dei dati personali, ha affrontato le questioni spinose relative alla tutela della privacy nel rapporto di lavoro. Tema affrontato anche dall ospite più prestigioso, Giuseppe Chiaravalloti, ex governatore della Regione Calabria e attualmente vicepresidente del Garante per la privacy. Il quale ha subito ricordato il dato innovativo della scadenza del 31 marzo: «Data - ha ricordato Chiaravalloti entro cui gli operatori economici e le imprese devono aggiornare il documento per la sicurezza dei dati personali. Si tratta di un documento che va predisposto e aggiornato periodicamente e notificato al garante, che contiene tutti gli accorgimenti per evitare la diffusione dei dati personali». «Sensibilmente - ha commentato Chiaravalloti a margine del convegno - l associazione industriali della provincia di Catanzaro ha voluto lanciare un supporto ai propri associati perché possano predisporre il documento senza incorrere in sanzioni e adempiendo perfettamente a quello che viene loro richiesto». Chiaravalloti ha quindi ricordato come «il valore della riservatezza entra sempre più nella sensibilità comune della gente. Del resto se nessuno si fosse accorto della valenza straordinaria che una società moderna viene ad avere la privacy, credo che l ultima attività giornalistica abbia convinto tutti di quanto sia delicato il problema e di quanto sia giusto che la società si preoccupi della tutela della riservatezza dei cittadini, così spesso messa drammaticamente alla berlina da operatori spregiudicati». Riguardo al tema specifico del convegno, Chiaravalloti ha ricordato come «la privacy non deve essere percepita come un fastidio e un costo dall imprenditore, ma come una risorsa, perché il corretto trattamento dei dati personali accresce il valore dell impresa». Il vicepresidente dell Authority ha infine sottolineato l importanza della concezione della privacy come valore, perché «la vita moderna non può essere organizzata senza che sia lasciata un area sia pur minima di riservatezza e di libertà agli individuo», e perché «l individuo di cui tutto si conosce non è libero». 25