Lavoro e dati giudiziari dei dipendenti
Con un recente Provvedimento del Garante per la protezione dei dati personali si è definito che l’impresa può trattare i dati giudiziari dei propri lavoratori solo in presenza di autorizzazione ex lege o del Garante stesso in cui siano indicate le finalità di rilevante interesse pubblico del trattamento, le tipologie di dati e le operazioni eseguibili (Registro dei provvedimenti n. 267 del 15/06/2017).
Infatti, lo scorso 15 giugno il Garante – organo collegiale composto da quattro membri eletti dal Parlamento ed in carica per un mandato di sette anni non rinnovabile – ha rigettato l’istanza di una società che chiedeva di essere autorizzata ad effettuare un trattamento di dati giudiziari dei propri dipendenti non supportato adeguata base giuridica.
Nello specifico la società, una S.p.A. che gestisce ed eroga servizi per clienti pubblici e privati, intendeva raccogliere ed utilizzare le informazioni presenti nel casellario giudiziale fornito dai propri lavoratori e comunicarle ad una ditta appaltante al dichiarato fine di ottemperare ad una richiesta contrattuale. Il trattamento dei dati giudiziari era finalizzato a consentire alla ditta appaltante di poter esprimere il proprio gradimento o meno sui lavoratori, inquadrati come manovali e pulitori, impiegati nello svolgimento dei servizi (nel caso specifico a bordo di treni).
In sede istruttoria la società non è stata in grado di indicare, né risulta esservi in linea generale, una base giuridica adeguata a legittimare quel determinato trattamento di dati giudiziari; sia il Contratto Collettivo Nazionale applicato che il contratto aziendale di gruppo non rilevano disposizioni da cui emerga l’indispensabilità del trattamento dei dati giudiziari dei dipendenti per lo svolgimento delle attività nelle quali saranno impiegati.
Nel citato provvedimento il Garante ricorda che, ai sensi dell’art. 27 del Codice in materia di protezione dei dati personali (D.Lgs. 196/2005), i soggetti privati possono trattare i dati giudiziari soltanto se autorizzati da espressa disposizione di legge o da provvedimento del Garante che specifichino le finalità di rilevante interesse pubblico del trattamento, i tipi di dati trattati e di operazioni eseguibili e che, recentemente, ha rilasciato idonea autorizzazione (n. 7/2016, pubblicata in G.U. n. 303 del 29 dicembre 2016) al trattamento dei dati giudiziari da parte di privati, di enti pubblici economici e di soggetti pubblici nella quale l’Autorità stessa si è riservata di adottare ogni altro provvedimento per i trattamenti non considerati nella medesima (cfr. Capo VII, punto 5).
Con l’Autorizzazione n. 7 del 15 dicembre 2016 (Registro dei Provvedimenti n. 529) il Garante ha autorizzato i datori di lavoro al trattamento dei dati giudiziari, qualora questo sia “indispensabile per (…) adempiere o esigere l’adempimento di specifici obblighi o eseguire specifici compiti previsti da leggi, dalla normativa dell’Unione europea, da regolamenti o da contratti collettivi, anche aziendali, e ai soli fini della gestione del rapporto di lavoro (…)”.
La S.p.A., in qualità di soggetto appaltatore, riteneva di poter ottenere, ai sensi dell’art. 41 del Codice, l’autorizzazione al trattamento dei dati giudiziari dei propri dipendenti in qualità di titolare del trattamento, mediante la raccolta ed il successivo trattamento del certificato tratto dal casellario giudiziale, fornito dal lavoratore stesso, in modo da comunicare alla società appaltante quanto risultante, anche qualora il casellario giudiziale non riportasse alcun provvedimento; il presupposto di tale trattamento, riferito ai dipendenti della società che operano in ambito ferroviario, ineriva ad un contratto di appalto con terzi (ancora in fase di redazione e stipula) dal cui schema si prevedeva l’impegno dell’appaltatore a richiedere a ciascun lavoratore da impiegare nell’appalto – prima del suo effettivo impiego – il certificato generale del casellario giudiziale in corso di validità segnalando tempestivamente al Committente il nominativo di coloro a carico dei quali risultassero sentenze di condanna per reati contro le persone, la sicurezza dei beni ed il patrimonio.
Detto ciò, però, la società non è stata in grado di indicare – né altrimenti risulta derivabile – una base giuridica (legislativa, regolamentare o contrattuale) adeguata a legittimare siffatto trattamento di dati giudiziari; anche nel CCNL preso in considerazione (Mobilità/area contrattuale attività ferroviarie) e nel contratto aziendale di gruppo integrativo del CCNL indicati dalla S.p.A. non rilevano disposizioni da cui emerga l’indispensabilità del trattamento dei dati giudiziari dei dipendenti per lo svolgimento di determinate attività.
Venendo meno, pertanto, la necessaria base giuridica in relazione alla prospettata comunicazione dei dati giudiziari alla società appaltante, l’Autorità ha ritenuto che non sussistono allo stato i presupposti per l’adozione di una specifica autorizzazione al trattamento dei dati giudiziari nei termini prospettati nella richiesta formulata dalla società rigettando, quindi, l’istanza di autorizzazione.
Prossimo passo a disposizione della società per difendere la propria posizione è l’eventuale opposizione all’autorità giudiziaria ordinaria con ricorso da depositarsi al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero (artt. 152 del Codice e 10, d.lgs. n. 150/2011).
Luca Bianchin, Consulente del lavoro