La Privacy in azienda: gli adempimenti necessari dopo le ultime semplificazioni

Transcript

1 La Privacy in azienda: gli adempimenti necessari dopo le ultime semplificazioni Le novità del decreto sviluppo Il D.L. 13 maggio 2011, n. 70 (c.d. decreto sviluppo) è intervenuto, innanzitutto, a delineare l ambito di applicazione del D.Lgs. 30 giugno 2003, n. 196 (c.d. Codice della Privacy). La lett. a del comma 1 dell art. 6 del decreto sviluppo stabilisce che le comunicazioni relative alla riservatezza dei dati personali sono limitate alla tutela dei cittadini, conseguentemente, non trovano applicazione nei rapporti tra le imprese. La norma, di fatto, limita ai cittadini, persone fisiche non imprenditori, la protezione della riservatezza dei dati personali Il nuovo comma 3-bis dell art. 5 del Codice della Privacy, introdotto dal secondo comma del decreto sviluppo, precisa che non è soggetto alla disciplina del Codice della Privacy il trattamento dei dati personali relativi a persone giuridiche, imprese, enti o associazioni effettuato nell ambito di rapporti intercorrenti esclusivamente tra i medesimi soggetti per finalità amministrativo-contabili. Il decreto sviluppo introduce all art. 34 del Codice della Privacy il comma 1-ter che dà una definizione di trattamenti effettuati per finalità amministrativo-contabili. I trattamenti effettuati per finalità amministrativo-contabili sono quelli connessi allo svolgimento delle attività di natura organizzativa, amministrativa, finanziaria e contabile, a prescindere dalla natura dei dati trattati. In particolare, perseguono tali finalità le attività organizzative interne, quelle funzionali all adempimento di obblighi contrattuali e precontrattuali, alla gestione del rapporto di lavoro in tutte le sue fasi, alla tenuta della contabilità e all applicazione delle norme in materia fiscale, sindacale, previdenziale-assistenziale, di salute, igiene e sicurezza sul lavoro. Tavola 1 - Ambito di applicazione del Codice della Privacy Il decreto sviluppo apporta semplificazioni in materia di informativa e consenso degli interessati, esonero dalla redazione del Documento Programmatico sulla

2 Sicurezza dei dati trattati, attività di marketing; tali novità saranno trattate successivamente. L informativa agli interessati Chiunque effettua operazioni di trattamento di dati personali deve informare gli interessati delle caratteristiche essenziali dei trattamenti effettuati attraverso la c.d. informativa. L informativa deve essere resa per i dati raccolti presso l interessato e per quelli reperiti presso terzi. Il contenuto L informativa, ai sensi dell art. 13 del Codice della Privacy deve contenere: finalità e modalità del trattamento; natura obbligatoria o facoltativa del conferimento dei dati e conseguenze di un eventuale rifiuto di rispondere; soggetti o categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza; diritti riconosciuti all interessato dall art. 7 del Codice della Privacy; estremi identificativi del titolare, e, se designato, dal responsabile del trattamento. Con il Provvedimento del 19 giugno 2008, sono state fornite ai titolari del trattamento sia in ambito pubblico che privato. Il Garante invita a fornire un unica informativa per il complesso dei trattamenti anziché per singoli aspetti del rapporto con gli interessati; vanno fornite informazioni essenziali in un quadro di lealtà e correttezza. Il linguaggio utilizzato dev essere semplice e senza reiterazioni, è opportuno omettere riferimenti meramente burocratici o circostanze ovvie. Il Garante auspica, inoltre, per quanto possibile, che i titolari forniscano all interessato, anche oralmente, una prima informativa breve che chiarisca subito, con immediatezza, le principali caratteristiche del trattamento. Informativa breve È invece necessario fornire un informativa specifica quando il trattamento ha caratteristiche particolari perché coinvolge, ad esempio peculiari informazioni (ad esempio dati genetici) o prevede forme inusuali di utilizzazione di dati, specie sensibili, rispetto alle ordinarie esigenze amministrative e contabili, o può

3 comportare rischi specifici per gli interessati (ad esempio dati biometrici o di controllo delle attività dei lavoratori). Non è più necessaria Con le modifiche apportate al decreto sviluppo al Codice della Privacy, l informativa non è più necessaria: nei trattamenti dei dati relativi alle persone giuridiche, imprese, enti o associazioni effettuati per finalità amministrativo-contabili; in caso di ricezione di curricula spontaneamente trasmessi dagli interessati ai fini dell eventuale instaurazione di un rapporto di lavoro. Si è voluto tener conto del fatto che chi invia il curriculum per trovare lavoro certamente è disponibile all utilizzo dei dati in esso contenuti da parte dell impresa a cui si indirizza. L informativa dovrà essere fornita al candidato al momento del primo contatto successivo all invio del curriculum. In questo caso il titolare può fornire all interessato, anche oralmente, un informativa breve che, in questo specifico caso, deve contenere: le finalità e le modalità del trattamento; i soggetti o le categorie di soggetti ai quali i dati possono essere comunicati; gli estremi del titolare e del responsabile. Consenso al trattamento dei dati personali L impresa, titolare del trattamento, per effettuare un trattamento dei dati lecito, è tenuta a raccogliere il consenso dell interessato (art. 23 del Codice). Il consenso dev essere ottenuto dall interessato in modo libero, specifico e informato in relazione al trattamento effettuato. Il consenso dev essere documentato per iscritto. L art. 24 del Codice già stabiliva in proposito alcuni casi in cui il consenso dell interessato non è necessario. Con particolare riferimento al trattamento di dati personali non sensibili nell ordinaria attività d impresa il consenso non è necessario nei casi in cui: i dati vengono trattati nell esecuzione di un contratto o in fase precontrattuale; il trattamento viene posto in essere per dare esecuzione a un obbligo legale; i dati provengono da registri ed elenchi pubblici;

4 i dati sono relativi allo svolgimento di attività economiche da parte dell interessato. Il decreto sviluppo è intervenuto ampliando dette cause di esclusione, ora il consenso non è più necessario anche: nei trattamenti dei dati relativi alle persone giuridiche, imprese, enti o associazioni effettuati per finalità amministrativo-contabili; elle comunicazioni di dati infra-gruppo tra società, enti o associazioni con società controllanti, controllate o collegate ovvero con società sottoposte a comune controllo, nonché tra consorzi, reti di imprese e raggruppamenti e associazioni temporanee di - imprese con i soggetti ad essi aderenti per finalità amministrativo-contabili; nei trattamenti dei dati dei curricula ricevuti spontaneamente trasmessi dagli interessati ai fini dell eventuale instaurazione di un rapporto di lavoro. L esonero dal consenso riguarda anche i dati sensibili eventualmente contenuti nei curricula stessi (Art. 26, comma 3, lett. Bbis del Codice della Privacy). L obbligo del D.P.S. e l autocertificazione sostitutiva In caso di trattamento di dati sensibili e giudiziari attraverso sistemi informatici deve essere redatto il Documento Programmatico sulla Sicurezza (art. 34, comma 1, lett. g e regola 19 dell Allegato B al Codice). Il D.P.S. deve essere redatto e aggiornato periodicamente dal titolare del trattamento anche attraverso il responsabile, se designato, entro il 31 marzo di ciascun anno e va conservato dal titolare presso la propria struttura per essere esibito in occasione di eventuali accertamenti ispettivi. L art. 29 del D.L. n. 112/2008 con l inserimento del comma 1-bis all art. 34 del Codice della Privacy aveva esonerato alcuni soggetti dall obbligo di tenuta del Documento Programmatico sulla Sicurezza. L esonero riguardava le imprese che trattavano come unici dati sensibili lo stato di salute o di malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi ovvero l adesione a organizzazioni sindacali o a carattere sindacale. In luogo della redazione e dell aggiornamento periodico del D.P.S., tali soggetti redigevano apposita autocertificazione con la quale dichiaravano di essere esonerati dalla redazione del Documento Programmatico sulla Sicurezza e di trattare comunque i dati nel rispetto delle disposizioni contenute nel Codice della Privacy. Il decreto sviluppo è intervenuto a modificare il comma 1-bis dell art. 34 del Codice della Privacy. Il comma così modificato prevede la redazione di apposita autocertificazione in luogo del D.P.S. per le imprese che trattano soltanto i dati

5 sensibili e giudiziari dei propri dipendenti e collaboratori, anche se extracomunitari, compresi quelli relativi al loro coniuge e ai parenti. Di fatto viene ampliata la platea delle imprese che possono ricorrere all autocertificazione in luogo della redazione del D.P.S., infatti, la semplificazione, non riguarda più i soli dati sanitari e sindacali dei dipendenti e collaboratori ma tutti i dati sensibili e giudiziari compresi quelli del coniuge e dei parenti dei dipendenti e dei collaboratori. Tavola 2 - Possibilità di autocertificazione prima e dopo il decreto sviluppo Prima del decreto sviluppo Limitata alle imprese che trattavano come unici dati sensibili: lo stato di salute o di malattia; l adesione a organizzazioni sindacali o a carattere sindacale; di propri dipendenti e collaboratori. Dopo l intervento del decreto sviluppo Limitata alle imprese che trattano soltanto: i dati sensibili o giudiziari di propri dipendenti, collaboratori, dei loro coniugi e parenti. Nell autocertificazione il titolare del trattamento deve dichiarare di trattare soltanto tali dati in osservanza delle misure minime di sicurezza previste dal Codice sulla Privacy e dal disciplinare tecnico contenuto nell allegato B (nella Tavola 3 si riporta un fac-simile). Tavola 3 - Fac-simile autocertificazione Privacy AUTOCERTIFICAZIONE SOSTITUTIVA DPS ai sensi dell art. 34, comma 1-bis, del D.Lgs. n. 196/03 e dell art. 47 D.P.R. n. 445/2000 Il sottoscritto, nato a ( ) il C.F., quale titolare del trattamento per le persone fisiche titolari del trattamento dei dati La societa` S.r.l. con sede in Via, n., C.F./P.I., in persona del suo legale rappresentante pro-tempore, Sig., nato a ( ) il C.F., quale titolare del trattamento per le persone giuridiche titolari del trattamento dei dati ai sensi e per gli effetti di cui all art. 34, co. 1-bis, D.Lgs. n. 196/ cd. «Codice privacy», consapevole delle sanzioni penali richiamate dall art. 76 del D.P.R. 28 dicmebre 2000, n. 445 per i casi di dichiarazioni non veritiere, di formazione o uso di atti falsi. DICHIARA di effettuare il trattamento di dati personali non sensibili;

6 che gli unici dati sensibili e giudiziari trattati sono quelli relativi ai propri dipendenti, collaboratori compresi quelli relativi al coniuge ed ai parenti degli stessi; che i dati di cui sopra sono trattati in osservanza delle misure di sicurezza prescritte dal D.Lgs. n. 196/2003 e dall allegato B allo stesso decreto. Luogo e data Il titolare del trattamento Allegato: copia fotostatica documento d identità del Titolare se persona fisica o del rappresentante legale se persona giuridica. L autocertificazione L autocertificazione sostitutiva deve essere sottoscritta dal titolare del trattamento (nel caso di società, dal rappresentante legale) e conservata presso la sede per essere esibita in caso di controlli, unitamente a fotocopia non autenticata di un documento di identità del sottoscrittore. Il beneficio dell autocertificazione non esonera dall adempimento degli altri obblighi in materia di sicurezza richiesti dal Codice (artt. 33 e seguenti) e dal disciplinare tecnico (Allegato B del Codice), per cui in caso di inosservanza delle restanti misure minime il titolare del trattamento sarà comunque tenuto a risponderne sul piano penale e amministrativo. Le imprese che intendano sostituire la tenuta del D.P.S. aggiornato con il beneficio dell autocertificazione devono tener conto del concreto contesto di operatività aziendale, indagando circa la possibilità di svolgere attività di trattamento di dati personali sensibili diversi da quelli indicati all art. 34, comma 1-bis del Codice (dati sensibili e giudiziari di dipendenti, collaboratori, coniuge o parenti degli stessi) e, quindi, rilevante ai fini dell obbligo del D.P.S., al fine di non incorrere nelle conseguenze penali cui possono andare incontro i dichiaranti in caso di dichiarazioni mendaci (art. 483 c.p.). Si segnala che anche l autocertificazione dev essere comunque aggiornata in caso contenga dati non più rispondenti a verità «l esibizione della autocertificazione contenente dati non più rispondenti a verità equivale ad uso di atto falso» (art. 76, comma 2, D.P.R. 28 dicembre 2000, n. 445). Infine, qualora intervengano variazioni in ordine alla tipologia dei dati utilizzati dal titolare, tali da far venir meno i presupposti dell autocertificazione, il titolare è tenuto a predisporre il D.P.S. per non incorrere in sanzioni penali. Il D.P.S. semplificato

7 Precedentemente è stata illustrata la facoltà, in presenza di particolari circostanze, di sostituire il D.P.S. con un autocertificazione. Tuttavia qualora non fossero presenti i presupposti per l autocertificazione il Garante con Provvedimento 27 novembre 2008, ha disposto la semplificazione del D.P.S. per alcuni tipi di soggetti, esplicitamente individuati. Possono usufruire della semplificazione i soggetti pubblici e privati che trattano dati personali unicamente per correnti finalità amministrative e contabili, in particolare liberi professionisti, artigiani e piccole e medie imprese. Il documento Il documento deve avere i seguenti contenuti: le coordinate identificative del titolare del trattamento, nonché, se designati, gli eventuali responsabili; una descrizione generale del trattamento o dei trattamenti realizzati, che permetta di valutare l adeguatezza delle misure adottate per garantire la sicurezza del trattamento; l elenco, anche per categorie, degli incaricati del trattamento e delle relative responsabilità ; una descrizione delle altre misure di sicurezza adottate per prevenire i rischi di distruzione o di perdita, anche accidentale, dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. Il documento dev essere redatto prima dell inizio del trattamento, ma dev essere aggiornato entro il 31 marzo di ogni anno solo nel caso in cui, nel corso dell anno solare precedente, siano intervenute modifiche rispetto a quanto dichiarato nel precedente documento. Marketing tramite posta Il decreto sviluppo è intervenuto anche sul trattamento dei dati personali finalizzato all invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, mediante l impiego della posta cartacea. Il decreto estende anche al marketing postale il regime in materia di trattamento dei numeri telefonici degli abbonati per l esercizio del marketing telefonico. Dunque, il marketing telefonico e, da ora anche quello cartaceo, potrà essere effettuato solo verso coloro che non abbiano richiesto l iscrizione del proprio numero telefonico o del proprio indirizzo nelregistro pubblico delle opposizi