Misure ed accorgimenti per disciplinare la raccolta e l'uso dei dati personali nella gestione del rapporto di lavoro.

Transcript

1 Commento alle linee guida del Garante sui rapporti di lavoro Misure ed accorgimenti per disciplinare la raccolta e l'uso dei dati personali nella gestione del rapporto di lavoro. Linee Guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati (23 novembre 2006).

2 Commento alle linee guida del Garante sui rapporti di lavoro Principi generali Il datore di lavoro può trattare informazioni di carattere personale strettamente indispensabili per dare esecuzione al rapporto di lavoro. Deve individuare il personale che può trattare tali dati e assicurare idonee misure di sicurezza per proteggerli da indebite intrusioni o illecite divulgazioni.

3 Commento alle linee guida del Garante sui rapporti di lavoro Il lavoratore deve essere informato in modo puntuale sull'uso che verrà fatto dei suoi dati e gli deve essere consentito di esercitare agevolmente i diritti che la normativa sulla privacy gli riconosce (accesso ai dati, aggiornamento, rettifica, cancellazione ecc). Entro 15 giorni dalla richiesta il datore di lavoro è tenuto a comunicare in modo chiaro tutte le informazioni in suo possesso

4 Commento alle linee guida del Garante sui rapporti di lavoro Cartellini identificativi, Intranet, bacheche aziendali: Nelle aziende private può essere eccessivo indicare sul cartellino identificativo del dipendente dati anagrafici o generalità: a seconda dei casi può bastare un codice identificativo o il solo nome o solo il ruolo professionale.

5 Commento alle linee guida del Garante sui rapporti di lavoro Senza consenso non si possono comunicare informazioni ad associazioni di datori di lavoro, di ex dipendenti o a conoscenti, familiari, parenti. Il consenso è necessario anche per pubblicare informazioni personali (foto, curriculum ) nella Intranet aziendale e a maggior ragione in Internet.

6 Commento alle linee guida del Garante sui rapporti di lavoro Nella bacheca aziendale possono essere affissi solo ordini di servizio, turni lavorativi o feriali. Non si possono invece diffondere emolumenti percepiti, sanzioni disciplinari, assenze per malattia, adesione ad associazioni.

7 Commento alle linee guida del Garante sui rapporti di lavoro Dati sanitari I dati sanitari vanno conservati in fascicoli separati. Il lavoratore assente per malattia è tenuto a consegnare al proprio ufficio un certificato senza la diagnosi ma con la sola indicazione dell'inizio e della durata presunta dell'infermità. Il datore di lavoro non può accedere alle cartelle sanitarie dei dipendenti sottoposti ad accertamenti dal medico del lavoro. Nel caso di denuncia di infortuni o malattie

8 Commento alle linee guida del Garante sui rapporti di lavoro professionali all'inail, il datore di lavoro deve limitarsi a comunicare solo le informazioni connesse alla patologia denunciata.

9 Commento alle linee guida del Garante sui rapporti di lavoro Dati biometrici Non è lecito l'uso generalizzato e incontrollato di dati biometrici, specie se ricavati dalle impronte digitali. L'uso può essere giustificato solo in casi particolari, per presidiare, ad esempio, accessi ad "aree sensibili" (processi produttivi pericolosi, locali destinati a custodia di beni, documenti riservati).

10 Commento alle linee guida del Garante sui rapporti di lavoro Anche quando l'uso è consentito non è ammessa la costituzione di banche dati centralizzate: è infatti sufficiente la memorizzazione su una smart card in uso esclusivo del dipendente. FINE

11 Commento alle linee guida del Garante per posta elettronica e internet Le linee guida del Garante per posta elettronica e internet Le regole aziendali, il doppio indirizzo , il fiduciario, i siti non accessibili, ecc.

12 Commento alle linee guida del Garante per posta elettronica e internet I datori di lavoro pubblici e privati non possono controllare la posta elettronica e la navigazione in Internet dei dipendenti, se non in casi eccezionali. Spetta al datore di lavoro definire le modalità d'uso di tali strumenti ma tenendo conto dei diritti dei lavoratori e della disciplina in tema di relazioni sindacali.

13 Commento alle linee guida del Garante per posta elettronica e internet Le linee guida forniscono concrete indicazioni in ordine all'uso dei computer sul luogo di lavoro. Dall'analisi dei siti web visitati si possono trarre informazioni anche sensibili sui dipendenti, e i messaggi di posta elettronica possono avere contenuti a carattere privato.

14 Commento alle linee guida del Garante per posta elettronica e internet L'Autorità prescrive innanzitutto ai datori di lavoro di informare con chiarezza e in modo dettagliato i lavoratori sulle modalità di utilizzo di Internet e della posta elettronica e sulla possibilità che vengano effettuati controlli. E vietata la lettura e la registrazione sistematica delle e il monitoraggio sistematico delle pagine web visualizzate dal lavoratore, perché ciò realizzerebbe un controllo a distanza dell'attività lavorativa vietato dallo Statuto dei lavoratori.

15 Commento alle linee guida del Garante per posta elettronica e internet Sono previste misure tecnologiche e organizzative per prevenire la possibilità, prevista solo in casi limitatissimi, dell'analisi del contenuto della navigazione in Internet e dell'apertura di alcuni messaggi di posta elettronica contenenti dati necessari all'azienda.

16 Commento alle linee guida del Garante per posta elettronica e internet Il provvedimento raccomanda l'adozione da parte delle aziende di un disciplinare interno, definito coinvolgendo anche le rappresentanze sindacali, nel quale siano chiaramente indicate le regole per l'uso di Internet e della posta elettronica. Il datore di lavoro è inoltre chiamato ad adottare ogni misura in grado di prevenire il rischio di utilizzi impropri, così da ridurre controlli successivi sui lavoratori.

17 Commento alle linee guida del Garante per posta elettronica e internet Per quanto riguarda Internet è opportuno ad esempio: individuare preventivamente i siti considerati correlati o meno con la prestazione lavorativa; utilizzare filtri che prevengano determinate operazioni, quali l'accesso a siti inseriti in una sorta di black list o il download di file musicali o multimediali.

18 Commento alle linee guida del Garante per posta elettronica e internet Per quanto riguarda la posta elettronica, è opportuno che l'azienda: renda disponibili anche indirizzi condivisi tra più lavoratori (info@ente.it; urp@ente.it; ufficioreclami@ente.it), rendendo così chiara la natura non privata della corrispondenza; valuti la possibilità di attribuire al lavoratore un altro indirizzo (oltre quello di lavoro) destinato ad un uso personale;

19 Commento alle linee guida del Garante per posta elettronica e internet preveda, in caso di assenza del lavoratore, messaggi di risposta automatica con le coordinate di altri lavoratori cui rivolgersi; metta in grado il dipendente di delegare un altro lavoratore (fiduciario) a verificare il contenuto dei messaggi a lui indirizzati e a inoltrare al titolare quelli ritenuti rilevanti per l'ufficio, ciò in caso di assenza prolungata o non prevista del lavoratore interessato e di improrogabili necessità legate all'attività lavorativa.

20 Commento alle linee guida del Garante per posta elettronica e internet Qualora queste misure preventive non fossero sufficienti a evitare comportamenti anomali, gli eventuali controlli da parte del datore di lavoro devono essere effettuati con gradualità. In prima battuta si dovranno effettuare verifiche di reparto, di ufficio, di gruppo di lavoro, in modo da individuare l'area da richiamare all'osservanza delle regole. Solo successivamente, ripetendosi l'anomalia, si potrebbe passare a controlli su base individuale. FINE

21 Quando il datore di lavoro può leggere la mail aziendale del lavoratore Cassazione penale, sez. V, sentenza n (Gesuele Bellini) Il datore di lavoro può leggere la mail aziendale del lavoratore se è prevista la comunicazione della password del computer e della posta al superiore gerarchico. Così ha stabilito la Corte di Cassazione, quinta sezione penale, nella sentenza 19 dicembre 2007, n Il caso ha interessato un superiore che, utilizzando la password di cui legittimamente disponeva, ha preso cognizione della corrispondenza informatica aziendale della sua dipendente. La Suprema Corte nel rigettare il ricorso proposto contro il superiore gerarchico, ha postulato importanti principi in tema di corrispondenza telematica in ufficio, che di seguito si riassumono. Innanzitutto, il Collegio, nell estensione della sentenza, ha premesso che il codice penale, ai sensi dell'art. 616 comma 1, punisce, a parte la sottrazione o distrazione della corrispondenza: 1) chi si limita a prendere cognizione di corrispondenza chiusa; 2) chi sottrae la corrispondenza a tale scopo al destinatario ovvero la distrae dalla sua destinazione se invece la corrispondenza è aperta.

22 Al riguardo, attesa l'estensione della tutela anche alla corrispondenza informatica o telematica ai sensi dell art. 616 comma 4 c.p., la Corte afferma che la corrispondenza è qualificata come "chiusa" solo nei confronti dei soggetti che non siano legittimati all'accesso ai sistemi informatici di invio o di ricezione dei singoli messaggi. Pertanto, continua la Corte, nel caso che il sistema sia protetto da password, posta a protezione del computer e della corrispondenza di ciascun dipendente, e la stessa deve essere a conoscenza anche dell'organizzazione aziendale, essendone prescritta la comunicazione, sia pure in busta chiusa, al superiore gerarchico, quest ultimo è legittimato a utilizzarla per accedere al computer visionando anche la corrispondenza anche per la mera assenza dell'utilizzatore abituale. Tale indirizzo, conclude il Collegio, è sostenuto anche dal Garante per la protezione dei dati personali, che con provvedimento n. 13 dell'1 marzo 2007, che ha affermato che i dirigenti dell'azienda possono accedere legittimamente ai computer in dotazione ai propri dipendenti, quando delle condizioni di tale accesso sia stata loro data piena informazione. (Altalex, 24 gennaio Nota di Gesuele Bellini) SUPREMA CORTE DI CASSAZIONE SEZIONE V PENALE Sentenza dicembre 2007, n Massima e Testo Integrale Violazione di corrispondenza, posta elettronica, applicabilità, sussistenza, limiti Cassazione penale, sez. V, sentenza n Violazione di corrispondenza posta elettronica applicabilità sussistenza limiti [art. 616 c.p.] La normativa in materia di violazione, sottrazione e soppressione di corrispondenza è applicabile anche al caso di posta elettronica.

23 Quando il sistema telematico sia protetto da una password, deve ritenersi che la corrispondenza in esso custodita sia lecitamente conoscibile da parte di tutti coloro che legittimamente dispongano della chiave informatica di accesso. Anche quando la legittimazione all'accesso sia condizionata, l'eventuale violazione di tali condizioni può rilevare sotto altri profili, ma non può valere a qualificare la corrispondenza come "chiusa" anche nei confronti di chi sin dall'origine abbia un ordinario titolo di accesso. (1) (2) (3) (1) In materia di diritto dell informatica, si veda il relativo Focus: Diritto dell informatica, Le ultime applicazioni giurisprudenziali. (2) In materia della condivisione della musica in rete, si veda Cassazione penale 149/2007. (3) In materia di sequestro di siti internet, si veda Cassazione penale 39354/2007. (Fonte: Altalex Massimario 2/2008. Cfr. nota di Gesuele Bellini) SUPREMA CORTE DI CASSAZIONE SEZIONE V PENALE Sentenza dicembre 2007, n Motivi della decisione Con la sentenza impugnata il Tribunale di Torino, sezione di Chivasso, ha prosciolto G. T. perché il fatto non sussiste dall imputazione di avere abusivamente preso cognizione della corrispondenza informatica aziendale della dipendente R. M., licenziata poi sulla base delle informazioni così acquisite. Ricorre per cassazione il pubblico ministero e deduce violazione dell art. 616 c.p., lamentando che il giudice del merito si sia fondato sull erroneo presupposto della rilevanza della proprietà aziendale del mezzo di comunicazione violato, senza considerare il profilo funzionale della destinazione del mezzo telematico non solo al lavoro ma anche alla comunicazione, tutelata dall art. 15 Cost. Il ricorso è infondato. L art. 616 comma 1 c.p. punisce infatti la condotta di chiunque prenda cognizione del contenuto di una corrispondenza chiusa, a lui non diretta, ovvero sottrae o distrae, al fine di

24 prenderne o di farne da altri prendere cognizione, una corrispondenza chiusa o aperta, a lui non diretta, ovvero, in tutto o in parte, la distrugge o sopprime. Sicché, quando non vi sia sottrazione o distrazione, la condotta di chi si limita a prendere cognizione è punibile solo se riguarda corrispondenza chiusa. Chi prende cognizione di corrispondenza aperta è punito solo se l abbia a tale scopo sottratta al destinatario ovvero distratta dalla sua destinazione. Ciò posto, e indiscussa l estensione della tutela anche alla corrispondenza informatica o telematica (art. 616 comma 4 c.p.), deve tuttavia ritenersi che tale corrispondenza possa essere qualificata come chiusa solo nei confronti dei soggetti che non siano legittimati all accesso ai sistemi informatici di invio o di ricezione dei singoli messaggi. Infatti, diversamente da quanto avviene per la corrispondenza cartacea, di regola accessibile solo al destinatario, è appunto la legittimazione all uso del sistema informatico o telematico che abilita alla conoscenza delle informazioni in esso custodite. Sicché tale legittimazione può dipendere non solo dalla proprietà, ma soprattutto dalle norme che regolano l uso degli impianti. E quando in particolare il sistema telematico sia protetto da una password, deve ritenersi che la corrispondenza in esso custodita sia lecitamente conoscibile da parte di tutti coloro che legittimamente dispongano della chiave informatica di accesso. Anche quando la legittimazione all accesso sia condizionata, l eventuale violazione di tali condizioni può rilevare sotto altri profili, ma non può valere a qualificare la corrispondenza come chiusa anche nei confronti di chi sin dall origine abbia un ordinario titolo di accesso. Nel caso in esame è indiscusso, e ne dà atto lo stesso ricorrente, che le password poste a protezione dei computer e della corrispondenza di ciascun dipendente dovevano essere a conoscenza anche dell organizzazione aziendale, essendone prescritta la comunicazione, sia pure in busta chiusa, al superiore gerarchico, legittimato a utilizzarla per accedere al computer anche per la mera assenza dell utilizzatore abituale. Ne consegue che del tutto lecitamente G. T. prese cognizione della corrispondenza informatica aziendale della sua dipendente, utilizzando la chiave di accesso di cui legittimamente disponeva, come noto alla stessa R. M.. Infatti, secondo le prescrizioni del provvedimento del Garante per la protezione dei dati personali n. 13 dell 1 marzo 2007, i dirigenti dell azienda accedono legittimamente ai computer in dotazione ai propri dipendenti, quando delle condizioni di tale accesso sia stata loro data piena informazione. P.Q.M. La Corte rigetta il ricorso. ( da )

25 INFORMATIVA Nella maggior parte dei trattamenti effettuati in azienda in relazione a clienti e fornitori non è necessario avere il consenso della persona o ente a cui si riferiscono i dati (attenzione: l'informativa va invece sempre data almeno una volta). Infatti il consenso non è richiesto nei seguenti casi:

26 i dati vengono trattati nell esecuzione di un contratto o in fase pre-contrattuale (art. 24, comma 1, lett. b), del Codice) il trattamento viene posto in essere per dare esecuzione a un obbligo legale (art. 24, comma 1, lett. a) del Codice) i dati provengono da registri ed elenchi pubblici (art. 24, comma 1, lett. c), del Codice) i dati sono relativi allo svolgimento di attività economiche da parte dell interessato (art. 24, comma 1, lett. d), del Codice)

27 Nei casi restanti, l'interessato deve aver manifestato un consenso libero, specifico e informato in relazione al trattamento effettuato. Il consenso deve essere documentato per iscritto (art. 23 del Codice). Quando si trattano dati sensibili (ad esempio. per gli adempimenti amministrativi, busta paga, gestione malattie di collaboratori e dipendenti) serve il consenso dell'interessato. Il consenso, quando è necessario, deve essere dato per iscritto (art. 23 del Codice).

28 Esempio di informativa per clienti e fornitori (senza consenso) Informativa al trattamento dei dati personali al sensi del d. lgs. 196/2003 Codice in materia di protezione dei dati personali Ai sensi dell'art. 13 del d. lgs. 196/2003 Codice in materia di protezione dei dati personali ed in relazione al rapporto contrattuale in essere con la nostra azienda, si informa che i Vostri dati personali formeranno oggetto di trattamento, e più precisamente che: le finalità del trattamento sono relative all esecuzione degli obblighi derivanti dal rapporto contrattuale e ad ogni incombenza ad esso strettamente correlata nonché a obblighi derivanti da leggi, regolamenti e normativa comunitaria; le modalità del trattamento possono prevedere l utilizzo di mezzi cartacei e informatici atti a memorizzare e gestire i dati stessi, mediante strumenti idonei a garantire la loro sicurezza e la riservatezza; i dati da Voi forniti potranno essere oggetto di comunicazione, nel pieno rispetto delle prescrizioni di legge, per finalità strettamente correlate all esecuzione dei nostri obblighi contrattuali. possono venire a conoscenza dei dati, in qualità di incaricati o responsabili, i dipendenti e i collaboratori esterni addetti alla Funzione Contabilità Fornitori nonché soggetti, interni ed esterni, che svolgono per conto della società compiti tecnici, di supporto (in particolare, servizi legali, servizi informatici, spedizioni) e di controllo aziendale. Vi ricordiamo che l art. 7 del D.Lgs. 196 del 2003 Vi riconosce taluni diritti. In particolare Voi potrete: ottenere la conferma della esistenza o meno di dati personali che Vi riguardano, e che tali dati Vi vengano comunicati in forma intelligibile; ottenere l indicazione dell origine dei dati, delle finalità e modalità del trattamento, della logica applicata nel caso di trattamento con l ausilio di strumenti elettronici, degli estremi identificativi del titolare e del responsabile, dei soggetti o delle categorie di soggetti ai quali i dati possono essere comunicati o che possono venirne a conoscenza; ottenere l aggiornamento, la rettifica o, quando vi avete interesse, l integrazione dei dati; la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge; l attestazione che tali operazioni sono state portate a conoscenza di coloro ai quali i dati sono stati comunicati o diffusi (quando ciò non si riveli impossibile o sproporzionato rispetto al diritto tutelato); opporvi in tutto o in parte, per motivi legittimi, al trattamento dei Vostri dati personali ancorché pertinenti allo scopo della raccolta, o quando siano trattati ai fini di invio di materiale pubblicitario o di vendita diretta o di ricerche di mercato o di comunicazione commerciale. Per l esercizio di tali diritti, potrete rivolgervi al responsabile del trattamento domiciliato per le funzioni presso la sede legale della Società al quale ci si può rivolgere via scrivendo a.@...

29 Esempio di informativa per dipendenti (con consenso) Informativa e consenso al trattamento dei dati personali al sensi del d. lgs. 196/2003 Codice in materia di protezione dei dati personali (per i dipendenti) Società., con sede in via.,.., effettua trattamenti di Suoi dati personali nel pieno rispetto delle norme di legge secondo principi di correttezza, liceità e trasparenza e per finalità strettamente connesse e strumentali alla gestione del rapporto di lavoro, ivi comprese le finalità previdenziali, e in particolare: per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria; per eseguire obblighi derivanti dal Suo contratto di lavoro. Può accadere che per l adempimento di specifici obblighi relativi alla gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e di previdenza e assistenza, la Società. tratti i dati che la legge definisce come sensibili e cioè quelli idonei a rilevare l origine razziale o etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rilevare lo stato di salute e la vita sessuale. Rispetto al trattamento di tali dati, Le ricordiamo che non è richiesto dalla legge il Suo consenso nel caso di trattamento necessario per adempiere a specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria. Il Suo consenso al trattamento dei dati sensibili è invece richiesto dalla legge nel caso di trattamento necessario per adempiere ad obblighi previsti da contratti collettivi, anche aziendali (ad esempio, trattenute sindacali, corresponsioni di liberalità o benefici accessori). Senza il Suo consenso non potranno essere eseguite le conseguenti operazioni. Il trattamento dei Suoi dati personali avviene mediante strumenti informatici, telematici e manuali, con logiche strettamente correlate alle finalità stesse e, comunque, in modo da garantire la sicurezza degli stessi e sempre nel rispetto delle previsioni di cui all art. 11 del D.Lgs. 196 del Per lo svolgimento, per nostro conto, di talune delle attività relative al trattamento dei Suoi dati personali, la società effettua comunicazioni a società o enti esterni di fiducia, nostri diretti collaboratori che operano in totale autonomia come distinti titolari del trattamento. Si tratta, in modo particolare, di soggetti che svolgono servizi di paghe e contributi, gestione di forme di previdenza e assistenza, erogazioni dei buoni pasto ed altri servizi affini. Il loro elenco è costantemente aggiornato e può conoscerlo agevolmente e gratuitamente chiedendolo al Responsabile del trattamento. Firmato Il Responsabile del trattamento

30 Consenso al trattamento dei dati personali Spett.le Società Premesso che come rappresentato nell informativa che mi è stata fornita ai sensi del D.Lgs. 30/6/2003 n. 196 può accadere che il trattamento di taluni dei miei dati sensibili derivi dall adempimento di obblighi previsti dal contratto collettivo, anche aziendale do il consenso nego il consenso Sono consapevole che, in mancanza di consenso, non potranno essere eseguite le conseguenti operazioni. Data Firma

31 Rifiuti di apparecchiature elettriche ed elettroniche Rifiuti di apparecchiature elettriche ed elettroniche (Raae) e misure di sicurezza dei dati personali 13 ottobre 2008

32 Rifiuti di apparecchiature elettriche ed elettroniche Il Garante ha messo a punto una serie di indicazioni per evitare che, al momento di dismettere apparecchiature elettriche ed elettroniche (anzitutto pc, ma anche cd rom o dvd), rimangano in memoria nomi, indirizzi mail, rubriche telefoniche, foto, filmati, numero di conto bancario, dati personali in generale, anche di tipo sensibile come quelli sanitari, riferiti non solo all'utilizzatore, ma anche a terzi.

33 Rifiuti di apparecchiature elettriche ed elettroniche Privati cittadini, professionisti, ma anche aziende pubbliche che intendono dismettere il proprio usato o consegnarlo ai punti di raccolta per lo smaltimento dovranno preoccuparsi di cancellare in maniera definitiva - anche con l'aiuto degli stessi rivenditori o se proprio necessario di tecnici specializzati - i dati personali memorizzati. Questo innanzitutto allo scopo di non esporsi e non esporre altri a rischi anche gravi, come ad esempio la manipolazione di dati e il furto di identità.

34 Rifiuti di apparecchiature elettriche ed elettroniche Misure tecniche preventive È bene proteggere i file usando una password di cifratura, oppure memorizzare i dati su hard disk o su altri supporti magnetici usando sistemi di cifratura automatica al momento della scrittura.

35 Rifiuti di apparecchiature elettriche ed elettroniche Misure tecniche di cancellazione sicura La cancellazione sicura delle informazioni su disco fisso o su altri supporti magnetici è ottenibile con programmi informatici di riscrittura che provvedono - una volta che l'utente abbia eliminato dei file dall'unità disco con i normali strumenti previsti dai sistemi operativi (ad es., con l'uso del cestino o con comandi di cancellazione) - a scrivere ripetutamente nelle aree vuote del disco. Si possono anche utilizzare sistemi di

36 Rifiuti di apparecchiature elettriche ed elettroniche formattazione a basso livello degli hard disk o di demagnetizzazione, in grado di garantire la cancellazione rapida delle informazioni.

37 Rifiuti di apparecchiature elettriche ed elettroniche Smaltimento di rifiuti elettrici ed elettronici Per la distruzione degli hard disk e di supporti magnetici non riscrivibili, come cd rom e dvd, è consigliabile l'utilizzo di sistemi di punzonatura o deformazione meccanica o di demagnetizzazione ad alta intensità o di vera e propria distruzione fisica. FINE