Il trattamento dei dati personali a carico della UOC Dinamiche del Personale.

La UOC Dinamiche del Personale è tra quelle che compiono operazioni di trattamento di dati personali più massive ed impattanti, realizzate attraverso una serie di comunicazioni delle informazioni; basti pensare a quelle nei confronti dei dipendenti, delle rappresentanze sindacali, ai sistemi di valutazione delle performance, il telelavoro, la lotta all’assenteismo; senza tralasciare le prescrizioni derivanti da molteplici discipline quali, a titolo esemplificativo: gli obblighi amministrativi/contabili/fiscali, per la sicurezza sul lavoro, per la trasparenza, ecc.

Senza pretesa di esaustività, come noto, l’Ente ha l’obbligo di inviare i dati del personale dipendente a. INAIL, INPS, Agenzia delle Entrate; Pubblica sicurezza /(eventualmente); Regioni; Ministero della salute; organizzazioni sindacali, agenzie creditizie, fondi pensioni; servizi sociali; servizi per la consulenza legale; ecc.  Ulteriori attività di trattamento derivano dalle interconnessioni tra i sistemi informativi all’interno dello stesso Ente:

• flussi generati dagli orologi marcatempo verso i SW gestionali;
• flussi di dati tra i SW di rilevazione delle presenze e di gestione dei cedolini paga; ecc.

Può, altresì, accadere che i flussi sopra richiamati esondino dal perimetro aziendale per essere inviati a soggetti esterni quali:

• i flussi di dati relativi all’adesione dei lavoratori a sindacati;
• flussi di dati/informazioni esposte in internet, quali ad es. il sistema informativo per il ritiro e consultazione on line del cedolino paga e la consultazione delle proprie presenze; ecc.

Il Gruppo di lavoro WP art. 29 l’8 giugno 2017 ha adottato l’Opinion 2/2017 con cui ha fornito ai datori di lavoro una serie di indicazioni in merito alla protezione dei dati personali dei dipendenti. Di conseguenza, nel trattare i dati personali dell’interessato (i dipendenti) la ASL deve tenere ben presenti i diritti fondamentali dei lavoratori, incluso il diritto alla riservatezza. (link: https://ec.europa.eu/newsroom/article29/items/610169 )

L’art. 6 GDPR detta i principi di legittimità del trattamento, individuando le basi giuridiche nell’ambito lavorativo che possono distinguersi in:

• adempimento di obblighi derivanti da un contratto di lavoro;
• adempimento di obbligazioni previste dalla legge.

Partendo dall’assunto secondo il quale dietro un dato personale vi è sempre una persona fisica che deve essere tutelata e protetta, lo scrivente ha ravvisato la necessità di condurre un audit di primo livello in riferimento ai trattamenti posti in essere dalla UOC Dinamiche del Personale.

I dati personali dei lavoratori devono essere sottoposti a misure di sicurezza tecniche ed organizzative al fine di garantire un livello di sicurezza adeguato al rischio. Per la valutazione del rischio devono essere considerate le conseguenze negative, sui diritti e sulle libertà degli interessati (i dipendenti), in caso di evento avverso. Quali ad es. il rischio di discriminazione, di usurpazione dell’identità e la limitazione dei diritti.

Un maggior livello di attenzione deve essere adottato per tutti quei dati idonei a rivelare informazioni particolarmente delicate della vita privata del lavoratore e dei suoi parenti, il cui utilizzo comprometterebbe i diritti e le libertà fondamentali dell’individuo a cui si riferiscono.

Ulteriore approfondimento richiede la valutazione della corretta applicazione del decreto Trasparenza, D.Lgs. n. 104/2022 (come noto entrato in vigore il 13 agosto 2022), che ha ripercussioni su tutto un insieme di adempimenti a carico dell’Ente; ci si riferisce, in prima battuta, alle revisioni:

• del modello di informativa da rilasciare ai dipendenti;
• alle relazioni sindacali;
• al censimento dei sistemi decisionali o di monitoraggio automatizzati; ecc.

In ragione di quanto sin qui rappresentato si trasmette, il seguente modello “GESTIONE RISORSE UMANE – CECK LIST PROPEDEUTICA ALLO SVOLGIMENTO DI UN AUDIT DI 1° LIVELLO – Mod. INVEO ISDP 10003:2020” che può essere utilizzato, per conto del titolare del trattamento nello svolgimento di un Audit di primo livello

---

[i] REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) link:
https://www.garanteprivacy.it/documents/10160/0/Regolamento+UE+2016+679.+Arricchito+con+riferimenti+ai+Considerando+Aggiornato+alle+rettifiche+pubblicate+sulla+Gazzetta+Ufficiale++dell%27Unione+europea+127+del+23+maggio+2018

[ii] Direttiva (UE) 2019/1152 del Parlamento europeo e del Consiglio, del 20 giugno 2019, relativa a condizioni di lavoro trasparenti e prevedibili nell’Unione europea link: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32019L1152

[iii] DECRETO LEGISLATIVO 27 giugno 2022, n. 104 Attuazione della direttiva (UE) 2019/1152 del Parlamento europeo e del Consiglio del 20 giugno 2019, relativa a condizioni di lavoro trasparenti e prevedibili nell’Unione europea. (22G00113)  Link: https://www.normattiva.it/atto/caricaDettaglioAtto?atto.dataPubblicazioneGazzetta=2022-07-29&atto.codiceRedazionale=22G00113&atto.articolo.numero=0&atto.articolo.sottoArticolo=1&atto.articolo.sottoArticolo1=10&qId=602471bb-12fb-4b55-9e43-c3253a0b67dc&tabID=0.2904989883535549&title=lbl.dettaglioAtto

[iv] Link: https://www.lavoro.gov.it/documenti-e-norme/normative/Documents/2022/Circolare-19-del-20-09-22.pdf

[v] Link: https://www.garanteprivacy.it/home/docweb/-/docweb-display/print/9844960

[vi] Art. 11 Formazione obbligatoria

1. Quando il datore di lavoro è tenuto, secondo previsioni di legge o di contratto individuale o collettivo, a erogare ai lavoratori una formazione per lo svolgimento del lavoro per cui sono impiegati, tale formazione, da garantire gratuitamente a tutti i lavoratori, va considerata come orario di lavoro e, ove possibile, deve svolgersi durante lo stesso.

2. L’obbligo di cui al comma 1 non riguarda la formazione professionale o la formazione necessaria al lavoratore per ottenere, mantenere o rinnovare una qualifica professionale, salvo che il datore di lavoro non sia tenuto a fornirla secondo la legge o la contrattazione collettiva.

3. Restano ferme le disposizioni di cui agli articoli 36 e 37 del decreto legislativo 9 aprile 2008, n. 81.

Note all’art. 11:

– Si riporta il testo degli articoli 36 e 37 del decreto legislativo 9 aprile 2008, n. 81:

«Art. 36 (Informazione ai lavoratori). – 1. Il datore di lavoro provvede affinchè ciascun lavoratore riceva una adeguata informazione:
a) sui rischi per la salute e sicurezza sul lavoro connessi alla attività della impresa in generale;
b) sulle procedure che riguardano il primo soccorso, la lotta antincendio, l’evacuazione dei luoghi di lavoro;
c) sui nominativi dei lavoratori incaricati di applicare le misure di cui agli articoli 45 e 46;
d) sui nominativi del responsabile e degli addetti del servizio di prevenzione e protezione e del medico competente.
2. Il datore di lavoro provvede altresì affinchè ciascun lavoratore riceva una adeguata informazione:
a) sui rischi specifici cui è esposto in relazione all’attività svolta, le normative di sicurezza e le disposizioni aziendali in materia;
b) sui pericoli connessi all’uso delle sostanze e delle miscele pericolose sulla base delle schede dei dati di sicurezza previste dalla normativa vigente e dalle norme di buona tecnica;

c) sulle misure e le attività di protezione e prevenzione adottate.

3. Il datore di lavoro fornisce le informazioni di cui al comma 1, lettera a), e al comma 2, lettere a), b) e c), anche ai lavoratori di cui all’articolo 3, comma 9.

4. Il contenuto della informazione deve essere facilmente comprensibile per i lavoratori e deve consentire loro di acquisire le relative conoscenze. Ove la informazione riguardi lavoratori immigrati, essa avviene previa verifica della comprensione della lingua utilizzata nel percorso informativo.»
«Art. 37 (Formazione dei lavoratori e dei loro rappresentanti). – 1. Il datore di lavoro assicura che ciascun lavoratore riceva una formazione sufficiente ed adeguata in materia di salute e sicurezza, anche rispetto alle conoscenze linguistiche, con particolare riferimento a:
a) concetti di rischio, danno, prevenzione, protezione, organizzazione della prevenzione aziendale, diritti e doveri dei vari soggetti aziendali, organi di vigilanza, controllo, assistenza;

b) rischi riferiti alle mansioni e ai possibili danni e alle conseguenti misure e procedure di prevenzione e protezione caratteristici del settore o comparto di appartenenza dell’azienda.

2. La durata, i contenuti minimi e le modalità della formazione di cui al comma 1 sono definiti mediante accordo in sede di Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano adottato, previa consultazione delle parti sociali, entro il termine di dodici mesi dalla data di entrata in vigore del presente decreto legislativo. Entro il 30 giugno 2022, la Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano adotta un accordo nel quale provvede all’accorpamento, alla rivisitazione e alla modifica degli accordi attuativi del presente decreto in materia di formazione, in modo da garantire:
a) l’individuazione della durata, dei contenuti minimi e delle modalità della formazione obbligatoria a carico del datore di lavoro;
b) l’individuazione delle modalità della verifica finale di apprendimento obbligatoria per i discenti di tutti i percorsi formativi e di aggiornamento obbligatori in materia di salute e sicurezza sul lavoro e delle modalità delle verifiche di efficacia della formazione durante lo svolgimento della prestazione lavorativa.

3. Il datore di lavoro assicura, altresì, che ciascun lavoratore riceva una formazione sufficiente ed adeguata in merito ai rischi specifici di cui ai titoli del presente decreto successivi al I. Ferme restando le disposizioni già in vigore in materia, la formazione di cui al periodo che precede è definita mediante l’accordo di cui al comma 2.

4. La formazione e, ove previsto, l’addestramento specifico devono avvenire in occasione:
a) della costituzione del rapporto di lavoro o dell’inizio dell’utilizzazione qualora si tratti di somministrazione di lavoro;
b) del trasferimento o cambiamento di mansioni;

c) della introduzione di nuove attrezzature di lavoro o di nuove tecnologie, di nuove sostanze e miscele pericolose .

5. L’addestramento viene effettuato da persona esperta e sul luogo di lavoro. L’addestramento consiste nella prova pratica, per l’uso corretto e in sicurezza di attrezzature, macchine, impianti, sostanze, dispositivi, anche di protezione individuale; l’addestramento consiste, inoltre, nell’esercitazione applicata, per le procedure di lavoro in sicurezza. Gli interventi di addestramento effettuati devono essere tracciati in apposito registro anche informatizzato.
6. La formazione dei lavoratori e dei loro rappresentanti deve essere periodicamente ripetuta in relazione all’evoluzione dei rischi o all’insorgenza di nuovi rischi.

7. Il datore di lavoro, i dirigenti e i preposti ricevono un’adeguata e specifica formazione e un aggiornamento periodico in relazione ai propri compiti in materia di salute e sicurezza sul lavoro, secondo quanto previsto dall’accordo di cui al comma 2, secondo periodo.
7-bis. La formazione di cui al comma 7 può essere effettuata anche presso gli organismi paritetici di cui all’articolo 51 o le scuole edili, ove esistenti, o presso le associazioni sindacali dei datori di lavoro o dei lavoratori.

7-ter. Per assicurare l’adeguatezza e la specificità della formazione nonché l’aggiornamento periodico dei preposti ai sensi del comma 7, le relative attività formative devono essere svolte interamente con modalità in presenza e devono essere ripetute con cadenza almeno biennale e comunque ogni qualvolta sia reso necessario in ragione dell’evoluzione dei rischi o all’insorgenza di nuovi rischi.
8. I soggetti di cui all’articolo 21, comma 1, possono avvalersi dei percorsi formativi appositamente definiti, tramite l’accordo di cui al comma 2, in sede di Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano.
9. I lavoratori incaricati dell’attività di prevenzione incendi e lotta antincendio, di evacuazione dei luoghi di lavoro in caso di pericolo grave ed immediato, di salvataggio, di primo soccorso e, comunque, di gestione dell’emergenza devono ricevere un’adeguata e specifica formazione e un aggiornamento periodico; in attesa dell’emanazione delle disposizioni di cui al comma 3 dell’articolo 46, continuano a trovare applicazione le disposizioni di cui al decreto del Ministro dell’interno in data 10 marzo 1998, pubblicato nel S.O. alla Gazzetta Ufficiale n. 81 del 7 aprile 1998, attuativo dell’articolo 13 del decreto legislativo 19 settembre 1994, n. 626.

10. Il rappresentante dei lavoratori per la sicurezza ha diritto ad una formazione particolare in materia di salute e sicurezza concernente i rischi specifici esistenti negli ambiti in cui esercita la propria rappresentanza, tale da assicurargli adeguate competenze sulle principali tecniche di controllo e prevenzione dei rischi stessi.

11. Le modalità, la durata e i contenuti specifici della formazione del rappresentante dei lavoratori per la sicurezza sono stabiliti in sede di contrattazione collettiva nazionale, nel rispetto dei seguenti contenuti minimi: a) principi giuridici comunitari e nazionali; b) legislazione generale e speciale in materia di salute e sicurezza sul lavoro; c) principali soggetti coinvolti e i relativi obblighi; d) definizione e individuazione dei fattori di rischio; e) valutazione dei rischi; f) individuazione delle misure tecniche, organizzative e procedurali di prevenzione e protezione; g) aspetti normativi dell’attività di rappresentanza dei lavoratori;

h) nozioni di tecnica della comunicazione. La durata minima dei corsi è di 32 ore iniziali, di cui 12 sui rischi specifici presenti in azienda e le conseguenti misure di prevenzione e protezione adottate, con verifica di apprendimento. La contrattazione collettiva nazionale disciplina le modalità dell’obbligo di aggiornamento periodico, la cui durata non può essere inferiore a 4 ore annue per le imprese che occupano dai 15 ai 50 lavoratori e a 8 ore annue per le imprese che occupano più di 50 lavoratori.

12. La formazione dei lavoratori e quella dei loro rappresentanti deve avvenire, in collaborazione con gli organismi paritetici, ove presenti nel settore e nel territorio in cui si svolge l’attività del datore di lavoro, durante l’orario di lavoro e non può comportare oneri economici a carico dei lavoratori.
13. Il contenuto della formazione deve essere facilmente comprensibile per i lavoratori e deve consentire loro di acquisire le conoscenze e competenze necessarie in materia di salute e sicurezza sul lavoro. Ove la formazione riguardi lavoratori immigrati, essa avviene previa verifica della comprensione e conoscenza della lingua veicolare utilizzata nel percorso formativo.

14. Le competenze acquisite a seguito dello svolgimento delle attività di formazione di cui al presente decreto sono registrate nel libretto formativo del cittadino di cui all’articolo 2, comma 1, lettera i), del decreto legislativo 10 settembre 2003, n. 276, e successive modificazioni, se concretamente disponibile in quanto attivato nel rispetto delle vigenti disposizioni. Il contenuto del libretto formativo è considerato dal datore di lavoro ai fini della programmazione della formazione e di esso gli organi di vigilanza tengono conto ai fini della verifica degli obblighi di cui al presente decreto.
14-bis. In tutti i casi di formazione ed aggiornamento, previsti dal presente decreto legislativo per dirigenti, preposti, lavoratori e rappresentanti dei lavoratori per la sicurezza in cui i contenuti dei percorsi formativi si sovrappongano, in tutto o in parte, è riconosciuto il credito formativo per la durata e per i contenuti della formazione e dell’aggiornamento corrispondenti erogati. Le modalità di riconoscimento del credito formativo e i modelli per mezzo dei quali è documentata l’avvenuta formazione sono individuati dalla Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano, sentita la Commissione consultiva permanente di cui all’articolo 6. Gli istituti di istruzione e universitari provvedono a rilasciare agli allievi equiparati ai lavoratori, ai sensi dell’articolo 2, comma 1, lettera a), e dell’articolo 37, comma 1, lettere a) e b), del presente decreto, gli attestati di avvenuta formazione sulla salute e sicurezza sul lavoro.»

[vii] Articolo 29 Trattamento sotto l’autorità del titolare del trattamento o del responsabile del trattamento (C81)

Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri.

[viii] (in caso di risposta affermativa, passare alla successiva; in caso di risposta negativa passare al Quesito 4.)

[ix] Art. 2-quaterdecies (Attribuzione di funzioni e compiti a soggetti designati)

1. Il titolare o il responsabile del trattamento possono prevedere, sotto la propria responsabilita’ e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorità.

2. Il titolare o il responsabile del trattamento individuano le modalita’ piu’ opportune per autorizzare al trattamento dei dati personali le persone che operano sotto la propria autorita’ diretta.

[x] (In caso di risposta affermativa rispondere al successivo quesito; in caso di risposta negativa rispondere al quesito 5.4)