Privacy: il lavoratore deve acconsentire al trattamento dei propri dati da parte del datore di lavoro?

La domanda posta nel titolo può sembrare banale ad un consulente sulla privacy o ad un cultore della materia; infatti come noto agli studiosi, non è necessario richiedere tale consenso quando il trattamento, anche di dati sensibili, “è necessario per adempiere a specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro” (art. 26, comma 4, lettera d), D. Lgs 196/2003).

Tuttavia ho ritenuto opportuno redigere questo breve approfondimento visto i numerosi modelli e moduli riportanti in calce la richiesta di consenso del lavoratore, così da sfatare un falso mito in tema di privacy, al pari dell’obbligatorietà di apporre la “data certa” sul Documento Programmatico sulla Sicurezza o dell’obbligatorietà di redigere il DPS anche quando non vengono trattati elettronicamente dati sensibili o giudiziari.

Come anticipato, la norma da cui discende la risposta negativa al quesito del titolo è l’art. 26, comma 5, lettera d) del cosiddetto Codice in materia di protezione dei dati personali, meglio noto anche come Codice della Privacy, il quale riporta che “i dati sensibili possono essere oggetto di trattamento anche senza consenso, previa autorizzazione del Garante … quando è necessario per adempiere a specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e della popolazione e di previdenza e assistenza, nei limiti previsti dall’autorizzazione e ferme restando le disposizioni del codice di deontologia e di buona condotta di cui all’articolo 111”.

Al riguardo anche recentemente il Garante ha riaffermato il chiaro dettato di questa norma, nel provvedimento adottato il 3 febbraio 2011 dove è stato ribadito che “la normativa in materia di protezione dei dati esonera il titolare di trattamento dalla necessità di ottenere il previo consenso dell’interessato rispetto al trattamento dei dati che lo riguardano nel caso in cui, tra l’altro, ciò sia necessario per adempiere ad un obbligo di legge o di regolamento o per dare esecuzione ad un contratto di cui sia parte il medesimo (artt. 24, comma 1, lett. a) e b), del d.lgs. 196/2003), come ad esempio si verifica nell’ambito di un rapporto di lavoro (settore al quale si riferisce, con riguardo al trattamento dei dati sensibili, anche l’art. 26, comma 4, lett. d)), nonché qualora ciò sia necessario per far valere un proprio diritto in sede giudiziaria (art. 24, comma 1, lett. f), del Codice)” [doc. web n. 1794470].

Anche nell’Autorizzazione Generale del Garante n° 1, relativa al Trattamento dei dati sensibili nei rapporti di lavoro, viene ripresa la statuizione dell’art. 26 e non si fa cenno alla necessità di richiedere il consenso al lavoratore.

Resta inteso che il consenso andrà richiesto nel caso in cui il trattamento di dati personali avvenga al di fuori di quanto stabilito dall’art. 26, come previsto anche dalle linee guida sul trattamento dei dati dei dipendenti privati, dove è prevista la richiesta preventiva del “consenso solo quando, anche a seconda della natura dei dati, non sia corretto avvalersi di uno degli altri presupposti equipollenti al consenso (artt. 23, 24, 26 e 43 del Codice)”; come ad esempio nel caso di utilizzo dei dati biometrici per l’accesso ad un’area o ad un sistema informatico (ove preventivamente autorizzati dal Garante) ovvero per pubblicare nella intranet aziendale informazioni personali allo riferite ad un dipendenti, quali fotografia, informazioni anagrafiche o curricula.

Concludendo non è necessario richiedere il consenso, ma a mio parere è opportuno far siglare l’informativa resa ai dipendenti, per “presa visione”, similarmente a quanto si fa con l’eventuale codice disciplinare aziendale; a questo punto alcuni potrebbero obiettare che allora tanto valeva recepire il consenso, ma come fattomi notare dal collega di consulenze, Nello Pagliuca, il consenso è un atto revocabile, mentre la presa visione non è revocabile (al massimo è disconoscibile la firma).