RESPONSABILE DEL TRATTAMENTO
D: Il medico competente incaricato dall’azienda con apposito contratto della sorveglianza sanitaria nei luoghi di lavoro è un responsabile del trattamento o un titolare autonomo dei dati dei lavoratori?
R: Il medico competente per la sorveglianza sanitaria è un autonomo titolare del trattamento, in quanto svolge un’attività professionale del tutto differente e separata da quella del datore di lavoro. Non si tratta, infatti, dell’esternalizzazione di un servizio che potrebbe essere svolto internamente dal titolare del trattamento, ma di una figura professionale alla quale la legge attribuisce specifici compiti ad essa riservati.
D: Il commercialista che tratta i dati dei clienti dell’impresa deve essere nominato responsabile del trattamento o è un titolare autonomo?
R: In analogia con quanto chiarito dal Garante in riferimento ai consulenti del lavoro, il commercialista è titolare del trattamento quando tratta, in piena autonomia e indipendenza, i dati dei propri dipendenti oppure dei propri clienti quando siano persone fisiche, mentre è responsabile del trattamento quando tratta i dati dei dipendenti dei suoi clienti sulla base dell’incarico ricevuto, che contiene anche le istruzioni sui trattamenti da effettuare (ad esempio gestione delle fatture).
GEOLOCALIZZAZIONE
D: L’installazione su un veicolo aziendale del cronotachigrafo si configura come geolocalizzazione del lavoratore?
R: I cronotachigrafi di vecchia generazione (diversi da quelli di tipo “digitale” sotto descritti) non consentono la geolocalizzazione del veicolo. Tali strumenti, infatti, registrano i tempi di guida e di riposo del conducente, come stabilito dal Regolamento europeo UE 165/2014, ma non la sua posizione geografica. Non si verifica quindi nessun trattamento di geolocalizzazione.
Invece, i cronotachigrafi digitali, obbligatori sui veicoli di nuova immatricolazione a partire dal 15 giugno 2019, sono integrati con il GPS e consentono, pertanto, anche la geolocalizzazione del lavoratore. In questi casi, il titolare deve prestare maggiore attenzione. Nel caso in cui il titolare si limiti a utilizzare il tachigrafo digitale per le sole finalità previste dal Regolamento UE 165/2014, non deve effettuare la procedura prevista dall’art. 4 dello Statuto dei lavoratori (L. 300/1970). Ne consegue che il titolare non potrà utilizzare i dati della geolocalizzazione per effettuare un controllo sistematico del lavoratore e quindi – in ultima istanza – per effettuare contestazioni disciplinari.
Il titolare, inoltre, non potrà collegare il tachigrafo digitale ad altri strumenti di monitoraggio del lavoratore.
Qualora il titolare voglia, invece, procedere a questo tipo di trattamenti troverà applicazione l’art. 4 dello Statuto dei Lavoratori con i relativi adempimenti previsti (accordo sindacale o autorizzazione dell’Ispettorato del lavoro).
D: L’installazione su un veicolo aziendale del Telepass si configura come geolocalizzazione del lavoratore?
R: No, se i dati del Telepass sono utilizzati dal titolare ai soli fini della fatturazione del pedaggio autostradale. Se invece il titolare intende utilizzare tali dati anche ai fini del controllo del lavoratore si applica l’art. 4 dello Statuto dei Lavoratori (L. 300/1970) con i relativi adempimenti previsti (accordo sindacale o autorizzazione dell’Ispettorato del Lavoro).
UTILIZZO DEI DATI DEL LAVORATORE
D: È possibile utilizzare in un procedimento giudiziario le informazioni scaricate dal pc in dotazione esclusiva del lavoratore, nello specifico la cronologia di internet, da cui si evince che il lavoratore ha usato internet durante l'orario di lavoro per scopi del tutto estranei alle proprie mansioni lavorative per un periodo di tempo di 6 mesi? (Si precisa che il datore di lavoro non ha reso alcuna informativa al lavoratore circa il fatto che il pc fosse soggetto a controllo).
R: No, il datore di lavoro non può utilizzare i dati di navigazione o i contenuti delle e-mail del lavoratore per contestazioni disciplinari se non ha preventivamente adempiuto i seguenti obblighi:
a) informare il lavoratore sulla possibilità di essere sottoposto a controllo e sulle relative conseguenze disciplinari;
b) fornire adeguata formazione al dipendente sui limiti dell’utilizzo degli strumenti ad esso affidati.
Sul punto si rimanda alle Linee guida del Garante privacy per la posta elettronica e internet [doc. web n. 1387522].
DATI BIOMETRICI
D: Quali procedure sono previste in caso di adozione di sistemi di accesso in azienda tramite l’impronta digitale dei dipendenti?
R: Al momento in Italia non è possibile utilizzare dati biometrici del lavoratore per l’accesso in azienda. Il trattamento dei dati biometrici è consentito ai sensi dell’art. 2-septies, co. 7, del Codice italiano privacy (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018) solo per le procedure di accesso fisico e logico ai dati da parte dei dipendenti (ad esempio alle banche dati contenute nei server aziendali). Non, quindi, per le procedure di accesso ai locali aziendali.
Si segnala che il provvedimento generale prescrittivo in tema di biometria del 12 novembre 2014 del Garante italiano [doc. web n. 3556992] non è più applicabile.
I titolari autorizzati a effettuare trattamenti di dati biometrici prima dell’applicazione del GDPR non possono pertanto proseguire tale trattamento.
Ufficio Privacy, Enrico Taponecco
Tel. 0187.286632 - 371.4984585
sicurart@confartigianato.laspezia.it
