L’aggiornamento della legge federale sulla protezione dei dati (LPD) è un’occasione per aggiornare anche la disciplina della tutela dei dati nell’ambito del rapporto di lavoro. Fondamentale è rimanere aggiornati con gli interventi, le ordinanze e le guide dell’Incaricato federale per la protezione dei dati e della trasparenza.
È noto che le aziende svizzere sono innanzi tutto soggette alla legge federale sulla protezione dei dati e il GDPR non è direttamente applicabile a queste realtà.
Tuttavia, l’impatto della normativa europea sulla protezione dei dati in territorio elvetico è decisamente ampio: si pensi ad esempio al principio di extra territorialità generalmente previsto dal GDPR che introduce due criteri precisi per la definizione dell’ambito di applicazione del regolamento, tali da estenderne gli effetti oltre i confini dell’UE: il criterio di stabilimento e il criterio del target.
Le disposizioni del GDPR risulteranno così vincolanti non solo per le entità stabilite nell’UE, ma anche per le entità non stabilite nell’UE che, offrendo beni, prestando servizi o monitorando il comportamento di persone fisiche che si trovano nell’UE, ne trattino i dati personali.
Soprattutto per questo motivo, il nuovo testo della LPD vuole uniformarsi ai principi ed alle novità introdotte dal GDPR, perseguendo lo scopo comune di assicurare agli individui un più alto livello di protezione dei dati personali e delle informazioni che li riguardano, generando maggior consapevolezza e trasparenza di informazione in capo a tutti gli attori che scendono in campo in terreno data protection: organizzazioni aziendali titolari del trattamento, responsabili del trattamento, interessati al trattamento.
Tra queste categorie di attori rientrano certamente anche i datori di lavoro ed i lavoratori impiegati nelle loro organizzazioni.
L’approccio Europeo alla tutela dei dati dei lavoratori interessati al trattamento
In tema di tutela dei dati nell’ambito del rapporto di lavoro, si può dire che il GDPR abbia operato una scelta di campo ben precisa: non detta criteri specifici da rispettare in ambito di protezione dati dei lavoratori ma, mediante un articolo dedicato, lascia il compito agli stati membri, consapevole della particolarità che ogni realtà giuslavoristica presenta in ciascun paese (si pensi agli organi rappresentanti dei lavoratori presenti, alle legislazioni differenti in base alla storia ed alle esigenze di ciascun paese).
Continuano comunque a fare da guida i criteri dettati dai garanti europei riuniti nell’organo collegiale European Data Protection Board (EDPB – prima identificato come gruppo di lavoro “Articolo 29” – WP29). Ci si riferisce in particolare alle linee guida adottate in materia, che delineano un quadro di principi fondamentali per il corretto trattamento dei dati in ambito lavoristico e professionale.
In sintesi, nell’effettuare il trattamento di tale tipologia di dati personali, i datori di lavoro:
- devono innanzi tutto rispettare i diritti fondamentali dei lavoratori, ivi incluso il diritto alla loro riservatezza indiscutibilmente riconosciuto anche sul luogo di lavoro
- devono sempre individuare le basi giuridiche di tale trattamento, precisando che queste ultime possono ravvisarsi, alternativamente:
- nell’esecuzione di obblighi derivanti da un contratto di lavoro
- nell’adempimento di obbligazioni previste dalla legge
- nell’interesse legittimo del datore
- operativamente, nel documento vengono suggerite inoltre specifiche misure di sicurezza idonee a prevenire eventuali violazioni della riservatezza degli interessati, tra cui, ad esempio:
- l’esclusione delle cd. “aree sensibili” dalle zone sottoposte a monitoraggio
- il divieto di monitoraggio delle cartelle/dei file e/o delle comunicazioni personali dei dipendenti
- la previsione di un monitoraggio “a campione”, rispetto ad una sorveglianza continuata nel tempo
L’approccio Svizzero alla tutela dei dati dei lavoratori interessati al trattamento
Anche la LPD riconosce il diritto dei lavoratori al rispetto della propria vita privata, della sua libertà e della sua dignità ed alla adeguata informazione sulle modalità di trattamento dei dati personali in maniera chiara, semplice ed esaustiva, soprattutto qualora siano previste forme di controllo del lavoratore.
In particolare, si prevede che “il datore di lavoro può trattare dati concernenti il lavoratore soltanto in quanto si riferiscano all’idoneità lavorativa o siano necessari all’esecuzione del contratto di lavoro. Inoltre, sono applicabili le disposizioni della legge federale del 19 giugno 1992, sulla protezione dei dati”.
La disposizione è contenuta nella legge federale di completamento del Codice civile svizzero e rispecchia di fatto i principi richiamati dalla legge federale sulla protezione dei dati, in particolare il principio della proporzionalità, declinandolo in fattispecie attinenti al contesto particolare lavoristico, caratterizzato dalla relazione (di difficile equilibrio) tra datore di lavoro e lavoratore.
Come i Garanti europei, anche l’Incaricato federale per la protezione dei dati e della trasparenza (IFPDT) è intervenuto con una Guida al trattamento dei dati personali nell’ambito del diritto del lavoro per supportare i titolari del trattamento con alcuni criteri ed accorgimenti più specifici, richiamando i principi generali di proporzionalità ed adeguatezza rispetto alla finalità, specificando quali dati possono essere trattati dai datori di lavoro e le precauzioni che devono essere prese in tal senso, compresa la tempistica di conservazione dei dati collettati e gestione dell’accesso agli stessi. Inoltre, sottolinea la necessità di una corretta e completa informazione ai dipendenti interessati del trattamento.
A differenza dei Garanti europei, le linee guida dell’autorità elvetica non prendono una posizione chiara sul tema del consenso del dipendente quale base giuridica legittimante un trattamento, alla luce della sproporzione del rapporto datore di lavoro – dipendente.
A fronte delle molteplici possibilità che la tecnologia offre anche in questo campo, (RFID; braccialetti elettronici, monitoraggio email con tecnica text mining), si auspica un intervento chiarificatore per il settore lavoristico, proprio con l’occasione dell’applicazione della nuova legge sulla protezione dei dati, che approfondisca il tema innanzi tutto del consenso previsto dalla nuova LPD quale motivo legittimante il trattamento dati da parte di un qualsiasi titolare del trattamento (compresi quindi, i datori di lavoro). Importante, quindi, è rimanere aggiornati con gli interventi, le ordinanze e le guide che l’Incaricato federale per la protezione dei dati e della trasparenza emetterà in rapporto all’applicazione della nuova norma sulla protezione dei dati.
Articolo a cura di Federica Achilli | Legal Compliance Officer, Privacy Desk Suisse
