Privacy: guida agli adempimenti del datore di lavoro

Privacy: guida agli adempimenti del datore di lavoro

L’entrata in vigore del Reg. EU 2016/679 (d’ora in avanti GDPR) ha rafforzato la tutela della privacy del lavoratore.

L’art. 88 GDPR ha introdotto specificatamente l’obbligo di tutela della dignità del lavoratore.
L’esigenza di una tutela aggiuntiva deriva dalla diffusione di nuovi processi tecnologici che per natura si nutrono di dati e potrebbero invadere in negativo la sfera di riservatezza del lavoratore.
Si pensi, ad esempio, alla diffusione dello smart working o all’uso sempre più frequente di piattaforme digitali tramite il quale il lavoratore presta l’attività lavorativa.

Gli adempimenti privacy del rapporto di lavoro iniziano sin dalla fase di selezione del personale ed impongono al datore di lavoro l’adozione di misure specifiche che in generale possono essere riassunte nei principi fondamentali sanciti dall’art. 5 GDPR:

1) liceità, correttezza e trasparenza: il trattamento dei dati deve essere lecito e quindi trovare riconoscimento in una delle basi giuridiche disciplinate ai sensi dell’art. 6 GDPR. Nell’ambito dei rapporti di lavoro il consenso non rappresenta mai una base giuridica valida. Il
trattamento deve essere trasparente. La trasparenza assurge a criterio fondamentale ribadito altresì dal Decreto trasparenza che ha inteso rafforzare gli obblighi informativi a cui è tenuto il datore di lavoro.
2) limitazione della finalità: i dati dei lavoratori devono essere raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non siano incompatibili con tali finalità.
3) minimizzazione dei dati: i dati dei lavoratori devono sempre essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
4) esattezza: esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati.
5) limitazione della conservazione: i dati devono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati.
6) integrità e riservatezza: trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentale.

Campo di applicazione

Termini di scadenza per il completamento della procedura di data breach

Il titolare del trattamento senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, deve notificare la violazione al Garante per la protezione dei dati personali a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.
Il responsabile del trattamento che viene a conoscenza di una eventuale violazione è tenuto a informare tempestivamente il titolare in modo che possa attivarsi.
Le notifiche al Garante effettuate oltre il termine delle 72 ore devono essere accompagnate dai motivi del ritardo.
Inoltre, se la violazione comporta un rischio elevato per i diritti delle persone, il titolare deve comunicarla a tutti gli interessati, utilizzando i canali più idonei, a meno che abbia già preso misure tali da ridurne l’impatto.
A partire dal 1° luglio 2021, la notifica di una violazione di dati personali deve essere inviata al Garante tramite un’apposita procedura telematica, resa disponibile nel portale dei servizi online dell’Autorità.
L’indirizzo per procedere alla comunicazione è il seguente https://servizi.gpdp.it/databreach/s/

Regime sanzionatorio

Il quadro sanzionatorio per le violazioni del GDPR è di natura amministrativa e sono disciplinate all’art. 83 GDPR.

Le sanzioni sono di due tipi:

• € 10 milioni o 2% del fatturato mondiale annuo dell’anno precedente per le imprese nei casi in cui, per esempio, i dati personali degli utenti vengano trattati in maniera illecita, non venga nominato il DPO, non venga comunicato un data breach all’Autorità garante;
• € 20 milioni o 4% del fatturato per le imprese nei casi più gravi, come ad esempio l’inosservanza dei diritti degli interessati o il trasferimento illecito di dati personali ad altri Paesi.

Il GDPR non prevede un valore minimo per la sanzione, che pertanto dovrà essere commisurata dall’Autorità Garante sulla base dei criteri di effettività, proporzionalità e dissuasività.

 

 

Ringraziando per la Vostra collaborazione,

DISTINTI SALUTI