PERSONALE E ORGANIZZAZIONE

24/04/2008

La tutela della Privacy e la gestione del personale (di Arturo Bianco)

Fonte: www.comune.roma.it

Le Pubbliche Amministrazioni devono garantire il rispetto della privacy anche nella gestione delle risorse umane. Il rapporto tra queste due esigenze è stato bene fissato dal Garante per la protezione dei dati personali. Questo rapporto presenta aspetti problematici che sono comuni alla gestione delle risorse umane sia nel settore pubblico che in quello privato. Ma nel settore pubblico vi sono specificità particolari, che sono date dalla interrelazione con altre esigenze, quali la tutela del diritto di accesso che è garantita dalla normativa in modo particolarmente rafforzato ai consiglieri. Ed ancora, occorre prestare una particolare attenzione alla necessità di garantire forme rafforzate di tutela dei dati sensibili, anche alla luce della considerazione che nel settore pubblico non è di regola prevista la necessità di richiedere il consenso ai soggetti interessati per il trattamento dei loro dati personali e/o sensibili, ma è direttamente la norma di legge che lo consente, imponendo al più al soggetto pubblico di garantire la informazione ai soggetti interessati. E' questo un tema che si impone soprattutto nella gestione delle risorse umane, basta ricordare il rilievo che assumono i dati relativi alle condizioni di salute, quelli idonei a rilevare le convinzioni religiose e/o sindacali e quelli biometrici.

Le esigenze di tutela della privacy sono ulteriormente rafforzate dallo sviluppo del processo di informatizzazione della gestione delle risorse umane. Ricordiamo che in questi casi bisogna garantire il rispetto integrale delle esigenze di sicurezza e di riservatezza nella gestione dei dati personali, esigenze che devono essere rispettate in misura particolarmente forte rispetto a quanto previsto per il trattamento di dati personali contenuti in documenti cartacei.

LA SICUREZZA SUL LAVORO

Il datore di lavoro pubblico deve necessariamente trattare dati personali, anche sensibili, per le esigenze di tutela della igiene e della sicurezza sul lavoro. Il primo soggetto a cui queste disposizioni si riferiscono è il medico individuato dall'ente come competente. Egli è tenuto a svolgere gli accertamenti medici minimi prescritti dalla normativa, effettuandoli in forma periodica e preventiva. Tali informazioni devono essere riportati nella cartella clinica, che contiene le notizie sanitarie e relative ai rischi. Tali cartelle, a cura dell'ente, devono essere custodite in modo che non possano essere lette o riprodotte o diffuse da nessuna persona oltre a quelle che possono accedervi in ragione dei compiti svolti nell'ente. Le misure di sicurezza devono essere di tipo fisico, quindi le cartelle devono essere custodite in luogo non accessibile al pubblico e sulle informazioni in esse contenute si deve rispettare il vincolo del cd "segreto professionale". A queste misure si devono aggiungere quelle dettate per impedire intrusioni dall'esterno, in particolare attraverso internet.

In capo al datore di lavoro pubblico, che ricordiamo essere ogni dirigente sulla base dei principi dettati dal DLgs n. 165/2001, vi è il dovere di provvedere alla adozione di tutte le misure concrete che si rendano necessarie a seguito delle segnalazioni effettuate dal medico competente, quali ad esempio la sottoposizione del lavoratore a controlli ed anche a giudizi di idoneità.

Il personale che assiste e collabora con il medico può essere dipendente dell'ente o legato professionalmente al medico; in ogni caso esso deve essere individuato come soggetto incaricato del trattamento dei dati personali. Il che determina la conseguenza che anche questi soggetti sono tenuti a garantire il rispetto del principio del cd "segreto professionale".

I RAPPORTI CON I SINDACATI

Particolare attenzione deve essere dedicata alla necessità di dare puntuale applicazione ai contratti collettivi nazionali di lavoro. In tale ambito, si devono ricordare i vincoli delle informazioni che devono essere date ai soggetti sindacali, garantendo una integrale applicazione del principio della proporzionalità, inteso come coerenza tra le misure adottate e le finalità da raggiungere. Le amministrazioni devono essere attente a distinguere i casi in cui le informazioni possono essere rese solo in forma aggregata e, quindi, in modo che non sia possibile risalire a specifici dipendenti. Fanno eccezione i casi in cui le informazioni devono essere rese in modo analitico, quindi indicando i singoli lavoratori. Può inoltre essere sperimentato il metodo della comunicazione delle informazioni ai lavoratori in forma generalizzata, magari anche solo per gruppi di lavoratori, fornendo le informazioni individuali solo successivamente e per specifiche verifiche.

ALTRE INDICAZIONI

I principi che i datori di lavoro devono garantire possono così essere riassunti: necessità, liceità e qualità; svolgimento di funzioni istituzionali ed applicazione delle norme di legge e di regolamento; indispensabilità del trattamento stesso; limitazione del trattamento dei dati sensibili alle operazioni comprese nel regolamento adottato dall'ente sulla base del parere reso dal Garante per la tutela dei dati personali; informazione preventiva da rendere agli interessati; adozione delle necessarie misure di sicurezza. L'applicazione del principio della indispensabilità deve portare alla auto limitazione del trattamento ai soli dati essenziali rispetto alle finalità che l'ente si propone di raggiungere. La mancata applicazione dei vincoli minimi fissati per le misure di sicurezza è oggetto di possibili sanzioni sia civili che penali.

Una particolare attenzione deve essere riservata al trattamento dei cd dati sensibili e supersensibili. Tali sono, lo ricordiamo, quelli idonei a "rivelare profili particolarmente delicati della vita privata dei propri dipendenti quali la salute, le abitudini sessuali, le convinzioni politiche, sindacali, religiose, filosofiche o d'altro genere e l'origine razziale ed etnica"; ad essi sono sostanzialmente equiparati i dati relativi a procedimenti giudiziari.

Il trattamento di tali informazioni è consentito unicamente nell'ambito delle informazioni e delle operazioni che sono state "individuate e rese pubbliche con l'atto regolamentare adottato in conformità al parere del Garante"; la violazione è sanzionata dal blocco del trattamento dei dati.

Le amministrazioni devono inoltre rispettare i principi di carattere generale della necessità e della indispensabilità del trattamento dei dati, principi a cui si deve congiungere quello della proporzionalità, per cui la circolazione delle informazioni deve essere ridotta al minimo necessario rispetto alle finalità che si devono perseguire.

Le norme regolamentari a cui attenersi sono, almeno per la stragrande maggioranza degli enti, state predisposte da Anci ed Upi, in piena intesa e cooperazione con il Garante.

Negli enti che hanno una notevole complessità organizzativa, si può andare ad una articolazione della individuazione delle figure dei responsabili e degli incaricati del trattamento dei dati personali (indicazione che deve essere fatta per iscritto) in una pluralità di soggetti. In caso di individuazione di soggetti esterni alla struttura, devono esserne definiti in termini chiari i compiti ed responsabilizzarli direttamente sulle conseguenze delle loro attività.