Il trattamento dei dati personali dei lavoratori del settore pubblico e privato non può fondarsi sul consenso.
di Michele Gorga, Avvocato
Il consenso non è clausola generale di chiusura prevista dalla normativa Europea per il trattamento dei dati personali né delle altre categorie di dati dei lavoratori sia del settore pubblico che del settore privato, in quanto la prestazione di lavoro, basandosi sulla fonte contrattuale, nella stessa ha base giuridica per i relativi trattamenti. La preventiva informativa deve indicarne la relativa base giuridica in relazione alle finalità del trattamento. E’ questo il principio generale desumibile dal Provvedimento n. 26/2019 dell’Autorità Garante privacy Ellenica che ha sanzionato una multinazionale per 150.000 euro applicando, in luogo della normativa specifica, il principio ex art. 5 del GDPR 2016/679.
Al provvedimento il Garante Privacy Greco è giunto sulla base di una segnalazione relativa alla circostanza che era stato richiesto il consenso al trattamento dei dati dei dipendenti. Sulla base dell’istruttoria svolta il Garante è pervenuto all’accertamento che la richiesta del consenso ai dipendenti era illegittima, in quanto non basata sul principio di responsabilizzazione di cui all’art. 5 del Regolamento UE 2016/679, ritenendo il Garante di dover applicare la sanzione non perché violata una norma specifica ma in quanto violato il principio contenuto nell’articolo 5 del Regolamento, poiché così facendo il datore di lavoro avrebbe dato ai dipendenti la falsa impressione che stesse trattando i loro dati secondo la base giuridica del consenso, mentre in realtà stava trattando gli stessi sotto una base giuridica diversa, sulla quale, tra l’altro, i dipendenti non erano mai stati informati. Ha ritenuto in merito il Garante, che il prestato consenso non era stato libero, informato, genuino e consapevole in quanto, com’è noto, i lavoratori di default si trovano in una situazione subordinata e di soggezione al potere direttivo del datore di lavoro, sicché il consenso non può considerarsi rilasciato in quanto condizionato dallo squilibrio di forza rispetto al titolare del trattamento.
Il Principio applicato dall’Autorità Ellenica ha riflesso interpretativo su tutti e 28 i Paesi dell’Unione Europea, ma rispetto al nostro ordinamento, tuttavia, esistono delle peculiarità che vanno declinate in relazione al lavoro pubblico, in questa sede, in quando il Principio affermato dal Garante Greco nel nostro ordinamento non potrebbe essere neanche sussidiario in relazione alla subiecta materia, poiché nel nostro ordinamento la relativa normativa è specifica.
La base giuridica, infatti, per il trattamento dei dati personali nel settore pubblico è l’esercizio del potere pubblico e della pubblica funzione, per le altre categorie di dati, invece, di cui al co. 1 dell’art. 9 del GDPR 2016/679, il consenso è espressamente previsto al 2 co., come condizione del trattamento quando l’interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, ovvero tra gli altri casi, che qui non esaminiamo, fatta eccezione per quello della lettera b) dello stesso 2 co. dell’art. 9, quando il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, ovvero quando ai sensi sempre dello stesso 2 co., lettera g) il trattamento è necessario per motivi di “interesse pubblico rilevante” sulla base del diritto dell’Unione o degli Stati membri tenuto presente le relative finalità che devono essere volta per volta declinate nell’informativa.
Il nostro legislatore, poi, sulla base della previsione integrativa offerta dall’art 9 del GDPR 2016/679 ha precisato le fattispecie “dell’interesse pubblico” con l’art. 2-sexies del D. lgs. 101/2018 – di modifica ed integrazione del D. Lgs. 196/2003 – recante: “Trattamento di categorie particolari di dati personali necessario per motivi di interesse pubblico rilevante” e dove alla lettera d) ha previsto l’instaurazione, gestione ed estinzione, di rapporti di lavoro di qualunque tipo, anche non retribuito o onorario, e di altre forme di impiego, materia sindacale, occupazione e collocamento obbligatorio, previdenza e assistenza, tutela delle minoranze e pari opportunità nell’ambito dei rapporti di lavoro, adempimento degli obblighi retributivi, fiscali e contabili, igiene e sicurezza del lavoro o di sicurezza o salute della popolazione, accertamento della responsabilità civile, disciplinare e contabile, attività ispettiva.
Tuttavia il Garante ellenico ha individuato la base della legittimità del trattamento nel caso concreto laddove ha esercitato i poteri correttivi previsti dall’articolo 58 GDPR di informativa e, in tal modo, ha riconosciuto come base giuridica la natura contrattuale del rapporto di lavoro che ha fonte nell’art. 6 del GDPR che, al co. 1 lettera b), espressamente prevede che il trattamento è necessario quando deve darsi esecuzione al contratto di lavoro di cui l’interessato è parte. La previsione dell’art. 7 co. 3, del GDPR in tema di consenso laddove prevede che l’interessato ha il diritto di revocarlo in qualsiasi momento contrasterebbe, perciò, in radice con l’effettiva possibilità del lavoratore di esercitare tale diritto in quanto gli effetti sull’esecuzione del rapporto di lavoro sarebbero imprevedibili e tutti a svantaggio del lavoratore.
