Dal badge aziendale alla denuncia contributiva, infatti, è un continuo tuttofare di pratiche e informative al fine di evitare di violare le regole sulla comunicazione di dati personali. Per principio generale, infatti, il datore di lavoro può sapere dei lavoratori solamente i dati strettamente indispensabili al rapporto di lavoro (nome, cognome e residenza): nulla di più.

E altrettanto devo stare attento a comunicare all’esterno.

Le regole generali. Il trattamento dei dati personali nel rapporto di lavoro, ovviamente, segue i principi e le regole generali in materia di privacy e dettate dal c.d. Codice privacy, il dlgs n. 196/2003. Pertanto, i dati personali oggetto di trattamento vanno:

• trattati in modo lecito e secondo correttezza;
• raccolti e registrati per scopi determinati, espliciti e legittimi, e utilizzati in altre operazioni del trattamento in termini compatibili con tali
• esatti e, se necessario,
• aggiornati; pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati; conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.I dati personali trattati in violazione di tali regole e principi non possono essere utilizzati.

Le regole sul lavoro. Declinando i principi generali nello specifico ambito dei rapporti di lavoro ne derivano le regole specifiche. Prima regola generale: il datore di lavoro può trattare le informazioni personali dei lavoratori solamente se ciò sia strettamente indispensabile all’esecuzione del rapporto di lavoro. Pertanto, «informarsi» speculativamente sulla personalità dei propri collaboratori (preferenze, tendenze, usi, costumi ecc.) è di vietato. Perché (anche) sul luogo di lavoro va assicurata la tutela dei diritti, delle libertà fondamentali e della dignità delle persone (a partire dai lavoratori), garantendo la sfera della riservatezza nelle relazioni personali e professionali. Le informazioni personali che vengono trattate possono riguardare, oltre a quelle strettamente legate all’attività lavorativa, la sfera personale e la vita privata dei lavoratori (ad esempio, i dati sulla residenza e i recapiti telefonici) e terzi (ad esempio, i dati relativi al nucleo familiare per garantire determinate provvidenze, come l’assegno per il nucleo familiare). In tal caso è rispettato un altro principio che vuole che il trattamento di dati personali, anche sensibili, riferibili a singoli lavoratori è lecito se è finalizzato ad assolvere obblighi derivanti dalla legge, dal regolamento o dal contratto individuale (ad esempio, per verificare il corretto adempimento della prestazione o commisurare l’importo della retribuzione). I trattamenti di dati personali devono poi rispettare il principio di necessità, secondo cui i sistemi informativi e i programmi informatici devono essere configurati riducendo al minimo l’utilizzo delle informazioni personali e identificative. Inoltre, va rispettato il principio di correttezza, secondo il quale le caratteristiche essenziali dei trattamenti devono essere rese note ai lavoratori. Ancora i trattamenti devono essere effettuati per finalità determinate, esplicite e legittime in base ai principi di pertinenza e non eccedenza. Il trattamento di dati personali può avvenire per mano diretta del datore di lavoro o per mezzo di suoi dipendenti. Nel secondo caso, quando cioè i dati vengono trattati dal personale incaricato, vanno assicurate idonee misure di sicurezza per proteggerli da intrusioni o divulgazioni illecite. Ovviamente, il trattamento può avvenire esclusivamente dal personale debitamente incarico dal datore di lavoro.

I badge di riconoscimento. A chi è capitato di entrare in un ufficio postale avrà notato, appeso sulla giacca dell’impiegato/a, un’etichetta su cui è indicato un nome e un numero: è il badge personale del lavoratore, cioè un cartellino che lo identifica nell’ambito dell’organizzazione aziendale. È lecito il badge ai fini della privacy? Sì, è lecito. Tuttavia, ha avvertito il Garante, può essere eccessivo riportare per esteso tutti i dati anagrafici o le generalità complete del dipendente: a seconda dei casi, allora, ci si può accontentare di un codice identificativo (in genere è la matricola aziendale) o del solo nome o del solo il ruolo professionale.

Le comunicazioni ai sindacati. Non è lecito, invece, il comportamento del datore di lavoro che, senza avvertirli, dia informazioni dei lavoratori ai sindacati. In ambito di lavoro privato, infatti, al fine di comunicare informazioni sui lavoratori alle associazioni di datori di lavoro, ex dipendenti o conoscenti, familiari, parenti occorre il consenso dell’interessato. In ambito di lavoro pubblico, addirittura, è richiesto che vi sia una norma di legge o di regolamento.

Bacheche aziendali. Stesso discorso vale per le informazioni, sindacali e non, pubblicate nelle bacheche aziendali, sui cui generalmente vengono affissi gli ordini di servizio, i turni lavorativi o feriali e molte altri dati e informazioni relativi all’organizzazione aziendale. Infatti, non si possono affiggere i documenti strettamente inerenti ai lavoratori quali, ad esempio, quelli contenenti gli emolumenti percepiti, le sanzioni disciplinari applicate, le motivazioni delle assenze (malattie, permessi, congedi ecc.), l’eventuale adesione a sindacati o altre associazioni.

Pubblicazioni sui siti web e reti interne. Occorre il consenso dell’interessato anche per pubblicare informazioni personali (foto, curricula) nella intranet aziendale e, a maggior ragione sulla rete internet, nell’ambito di lavoro privato. In ambito di lavoro pubblico, le pubbliche amministrazioni possono mettere a disposizione sui siti web istituzionali atti e documenti amministrativi (in forma integrale o per estratto, ivi compresi gli allegati) contenenti dati personali, solo se la normativa di settore preveda espressamente tale obbligo. Anche in tal caso, tuttavia, il datore di lavoro pubblico deve comunque selezionare i dati personali da inserire negli atti e documenti da pubblicare, evitando di divulgare dati eccedenti o non pertinenti, verificando caso per caso che qualora ricorrano determinate informazioni esse siano oscurate dagli atti e documenti destinati alla pubblicazione. Ciò perché i soggetti pubblici devono ridurre al minimo l’utilizzo di dati identificativi e di tutti gli altri dati personali ed evitare il relativo trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o altre modalità che permettano di identificare l’interessato solo in caso di necessità. Invece non è assolutamente possibile la pubblicazione (è vietata!) di qualsiasi dato e informazione da cui si possa desumere lo stato di malattia o l’esistenza di patologie di soggetti, compreso qualsiasi riferimento alle condizioni d’invalidità, disabilità o handicap fisici o psichici.