NOR19210 – Oggetto: Privacy. Prescrizioni del Garante sul trattamento dei dati sensibili.

Roma, 30 Luglio 2019

NOR19210
SM

Oggetto: Privacy. Prescrizioni del Garante sul trattamento dei dati sensibili.

Il Garante per la privacy, con Provvedimento n. 146 del 5 giugno u.s (pubblicato sulla sua newsletter del 22 Luglio), ha dettato delle prescrizioni in materia di trattamento dei cd. “dati sensibili” per alcune fattispecie sottoposte ad autorizzazione generale, alla luce del nuovo Regolamento europeo sulla privacy in vigore dal 25 Maggio 2018 (sulle autorizzazioni generali al trattamento dati, si veda  anche la circolare Conftrasporto NOR19011 del 7 Gennaio u.s).

Il trattamento oggetto di intervento è quello dei dati che rivelano l’origine razziale od etnica dell’individuo, le sue convinzioni religiose, filosofiche, le opinioni politiche, l’appartenenza sindacale, nonché i dati genetici, biometrici e quelli relativi alla salute, alla vita e all’orientamento sessuale.

Di particolare interesse appaiono le regole sul trattamento dei dati sensibili nei rapporti di lavoro e da parte degli organismi di tipo associativo.

– Trattamento di dati sensibili nei rapporti di lavoro (aut. gen. 1/2016)
Destinatari delle prescrizioni sono, tra gli altri:

• le persone fisiche e giuridiche, imprese, enti, associazioni e organismi parte di un rapporto di lavoro;
• il rappresentante dei lavoratori per la sicurezza, anche territoriale e di sito;
• le associazioni, federazioni o confederazioni rappresentative di categorie di datori di lavoro;
• il medico competente in materia di salute e sicurezza sul lavoro.

I dati sensibili sono quelli relativi, tra gli altri, a;

• candidati all’assunzione, anche in caso di invio spontaneo di curricula;
• lavoratori subordinati, anche se parti di un contratto di apprendistato, di formazione, a termine, di lavoro intermittente, ecc..;
• persone fisiche che ricoprono cariche sociali o altri incarichi nelle persone giuridiche, negli enti, nelle associazioni e negli organismi previsti quali destinatari delle prescrizioni.

Il trattamento di questi dati è autorizzato soltanto se necessario e diretto a soddisfare determinate finalità, tra cui:

• l’adempimento (o per esigere l’adempimento) di specifici obblighi previsti dalla normativa  europea o da norme interne (compresa la contrattazione collettiva anche aziendale), in particolare per finalità di: instaurazione, gestione ed estinzione del rapporto di lavoro;  riconoscimento di agevolazioni ovvero erogazione di contributi;  igiene e sicurezza del lavoro, fiscali e sindacali;
• la salvaguardia della vita o dell’incolumità fisica del lavoratore o di un terzo;
• la copertura assicurativa dei rischi legati alla responsabilità datoriale in materia di salute e sicurezza sul lavoro.

– Trattamento dei dati sensibili da parte degli organismi associativi (aut. gen n.3/2016).

Tra i destinatari delle prescrizioni figurano anche le associazioni di categoria, le federazioni e confederazioni in cui tali soggetti sono riuniti.

I dati sensibili interessati al trattamento sono, tra gli altri, quelli relativi a:

• associati, soci e, se strettamente indispensabile per il perseguimento delle finalità associative, dei relativi familiari e conviventi;
• aderenti, sostenitori o sottoscrittori, nonché a soggetti che presentano richiesta di ammissione o di adesione o che hanno contatti regolari con organismi di tipo associativo;
• soggetti che ricoprono cariche sociali o onorifiche;
• fruitori delle attività o dei servizi prestati dall’associazione;
• lavoratori dipendenti degli associati e dei soci, limitatamente ai dati idonei a rivelare l’adesione a sindacati, associazioni od organizzazioni a carattere sindacale, e alle operazioni necessarie per adempiere a specifici obblighi derivanti dalla contrattazione collettiva, anche aziendale.

Tra le finalità per le quali è autorizzato il trattamento dei predetti dati, rientrano il perseguimento di scopi determinati e legittimi fissati dalla legge (o dall’atto costitutivo, dallo statuto o dal contratto collettivo), con una particolare attenzione alle finalità sindacali. Qualora l’associazione si avvalga di persone giuridiche o altro organismi con scopo di lucro, è consentita la comunicazione dei soli dati sensibili strettamente indispensabili, “con particolare riferimento alle generalità degli interessati e a indirizzari, sulla base di un atto scritto che individui con precisione le informazioni comunicate, le modalità del successivo utilizzo e le particolari misure di sicurezza adottate”. In questo caso, prosegue il Garante, “l’informativa da rendere agli interessati deve porre tale circostanza in particolare evidenza e deve recare la precisa menzione dei titolari del trattamento e delle finalità da essi perseguite”.

Interessante, infine, il paragrafo dedicato alle “prescrizioni specifiche”, che si riporta integralmente di seguito:

“I dati personali riferiti agli associati/aderenti possono essere comunicati agli altri associati/aderenti anche in assenza del consenso degli interessati, a condizione che la predetta comunicazione sia prevista – nell’ambito dell’autonomia privata rimessa a ciascun ente – dall’atto costitutivo o dallo statuto per il perseguimento di scopi determinati e legittimi e che le modalità di utilizzo dei dati siano rese note agli interessati in sede di rilascio dell’informativa ai sensi dell’art. 13 del Regolamento (UE) 2016/679.

In ogni caso, tenendo conto del rispetto dei principi di necessità, finalità e minimizzazione e dell’eventuale regolamentazione interna all’ente, laddove vengano in considerazione profili esclusivamente personali riferiti agli associati/aderenti, devono essere utilizzate forme di consultazione individualizzata con gli stessi, adottando ogni misura opportuna volta a prevenire un’indebita comunicazione di dati personali a soggetti diversi dal destinatario.
La comunicazione dei dati personali relativi agli associati/aderenti all’esterno dell’ente e la loro diffusione possono essere effettuate con il consenso degli interessati, previa informativa agli stessi in ordine alla tipologia di destinatari e alle finalità della trasmissione e purché i dati siano strettamente pertinenti alle finalità ed agli scopi perseguiti.
I dati particolari possono essere comunicati alle autorità competenti per finalità di prevenzione, accertamento o repressione dei reati, con l’osservanza delle norme che regolano la materia.”

Cordiali saluti.

Scarica il PDF :

NOR19210

Testo garante della privacy