I Garanti europei privacy riuniti nel Gruppo "Articolo 29" (WP29) hanno pubblicato un documento volto a chiarire gli scenari di rischio privacy che possono configurarsi nei rapporti di lavoro in relazione al trattamento dei dati personali dei lavoratori, tenendo conto in particolare dell’utilizzo di tecnologie sempre più innovative che vanno fortemente ad impattare sui diritti e le libertà delle persone fisiche.

L' "Opinion 2/2017 on data processing at work" del WP29, pubblicata lo scorso 8 giugno 2017 e scaricabile dal sito UE http://ec.europa.eu/newsroom/document.cfm?doc_id=45631, fa chiarezza riguardo al trattamento dei dati del personale da parte di aziende private e enti pubblici. In paritcolare il WP29 sottolinea e ribadisce chiarendone il contesto, quanto già presente nel Regolamento UE 2016/679, già in vigore e direttamente esecutivo dal prossimo maggio 2018, ovvero, ogni lavoratore ha diritto alla tutela della propria privacy e in particolare ha il diritto ad essere adeguatamente informato sulle modalità di trattamento dei propri dati e sulle modalità di controllo attivate dall’organizzazione.

Se GDPR va a definire sostanzialmente un modello organizzativo della Privacy, la sua declinazione nel contesto lavorativo, secondo il WP29, deve prevedere la definizione di privacy policy e regolamenti che disciplinino, in modo chiaro, semplice ed esaustivo, l’utilizzo degli strumenti di lavoro in dotazione del personale. In analogia al Dlgs 231 questo significa anche definire misure preventive che segnalino a dipendenti e collaboratori eventuali possibili violazioni che potrebbero commettere.

Nel docuemnto si ribadisce come l’uso dei dati personali dei lavoratori deve essere quanto più possibile limitato alle finalità aziendali.Anche dove il datore di lavoro debba far valere ll “legittimo interesse” (previsto dall’art. 6 del nuovo Regolamento), deve essere bilanciato con i diritti e le libertà dei lavoratori, secondo i principi di necessità e proporzionalità.

Anche la verifica e il monitoraggio dei profili social dei lavoratori, anche da parte dell’area risorse umane, deve essere limitato ai soli profili professionali, escludendo la vita privata, anche di possibili candidati a posizioni lavorative aperte. Nella stessa prospettiva, secondo i Garanti europei e come già previsto dal Jobs Act, gli strumenti di geolocalizzazione possono essere utilizzati per finalità strettamente aziendali e adeguatamente informato su finalità e controlli.

Più in generale, in merito alle questioni legate al controllo a distanza dei lavoratori, il WP29 sottolinea l'importanza di informare adeguatamente i lavoratori -tramite specifici regolamenti e policy aziendali - sul corretto utilizzo degli applicativi e degli strumenti tecnologici in dotazione a dipendenti e collaboratori per rendere la loro prestazione lavorativa. In questa ottica i Garanti invitano i datori di lavoro a offrire, ad esempio, connessioni WiFi ad hoc e a definire spazi riservati – su computer e smartphone, su cloud e posta elettronica - dove possono essere conservati documenti o inviate comunicazioni personali, non accessibili al datore di lavoro se non in casi assolutamente eccezionali.

Il WP29 ha fornito indicazioni di merito che risultano abbastanza in linea con l'attuale disciplina italiana in materia.

Per chi non lo sa il regolamento europeo 2016/679 pubblicato su Gazzetta Ufficiale Europea il 4 maggio 2016 è entrato in vigore il giorno successivo, il 25 maggio dello stesso 2016.
Per qualcuno sarà una sorpresa, "ma non mi avevano detto che entrava il vigore il 25 maggio 2018?". No è falso e troppi soggetti danno informazioni sbagliate.
Il 25 maggio 2018 il regolamento europeo sarà applicabile, ovvero gli utenti poteranno pretendere il rispetto della norma e chi non lo rispetta potrà essere sanzionato.

Quindi, una volta per tutte, proviamo a fare chiarezza: il Regolamento Europeo sulla Data Protection, noto come GDPR, è in vigore dal 25 maggio 2016 e sarà applicabile (sanzionabile n.d.r.) dal 25 maggio 2018. Quindi,se non ci avete ancora pensato, è il caso di effettuare una GAP Analysis per comprendere quanto la vostra azienda, il vostro studio professionale, sono distanti dai prescritti del GDPR, in modo da definire un piano di adeguamento che nel giro dei prossimi 9 mesi vi permetta di arrivare alla fatidica data in regola.
E non pensate, secondo il classimo stile italiano, che ci siano proroghe o rinvii... non è previsto ma sopratutto non è possibile dal momento che si tratta di un regolmaneto Europeo valido per tutti i paesi. Anzi, nel corso dei prossimi mesi quasi sicuramente assisteremo a pubblicazioni di raccomandazioni specifiche per ambiti da parte del WP29, il collegio dei Garanti Europei, che andranno ad integrare il GDPR.

E non dimenticate che GDPR prevedere formazione del personale, awarness, e verifica periodica dell'analisi del rischio... almeno annuale.

Possiamo aiutarvi nell'analisi e adeguamento a GDPR, contattateci senza impegno.