APL Codice approvato dal Garante

Pubblicate le norme di comportamento per le Agenzie per il lavoro predisposte da Assolavoro e approvate dal Garante per la protezione dei dati personali. APL Codice approvato dal Garante.

Con il provvedimento 9983415 dell’11 gennaio  2024 pubblicato nella newsletter del 14 febbraio,   l’autorità Garante per la privacy ha approvato  il Codice di condotta in tema di protezione dei dati personali predisposto da Assolavoro l’ associazione  nazionale di Agenzie per il lavoro, aderente a Confindustria.

Il Codice,   di cui si attende a breve la pubblicazione in Gazzetta Ufficiale,  fornisce le linee  guida    per il corretto trattamento dei dati   gestiti dalle Agenzie  nell’ambito delle attività di intermediazione,  ricerca e selezione del personale e somministrazione di lavoro.

Nello stesso documento il Garante ha anche dato l’accredito ad un nuovo Organismo di monitoraggio indipendente , deputato a  controllare che il codice venga rispettato e a gestire eventuali reclami in materia.


Assolavoro

Approvato dal Garante Privacy il Codice di condotta promosso da Assolavoro, l’Associazione Nazionale delle Agenzie per il Lavoro. Il Codice definisce le “buone prassi” per il corretto trattamento dei dati effettuato nell’ambito delle attività di intermediazione, ricerca e selezione del personale. Con lo stesso provvedimento l’Autorità ha accreditato l’Organismo di monitoraggio, un ente indipendente formato da tre componenti, chiamato a verificare l’osservanza del Codice da parte degli aderenti e a gestire la risoluzione dei reclami.

Il Codice, in corso di pubblicazione nella Gazzetta Ufficiale, introduce alcune significative previsioni a tutela dei candidati a posizioni lavorative, anche al fine di non consentire possibili discriminazioni nell’accesso al mercato del lavoro. In particolare, le Agenzie che aderiscono al Codice si impegnano a trattare solo dati strettamente necessari all’istaurazione del rapporto di lavoro, non devono pertanto svolgere indagini sulle opinioni politiche, religiose o sindacali dei lavoratori o effettuare preselezioni sulla base di informazioni che riguardano stato matrimoniale, gravidanza, handicap, neanche con il consenso dei candidati.

Nella fase che precede l’assunzione, le Agenzie non devono reperire informazioni attraverso la consultazione di profili social destinati alla comunicazione interpersonale. Le informazioni on line possono essere raccolte esclusivamente se rese disponibili su canali social che abbiano natura professionale, e limitatamente alle sole informazioni connesse alla competenza richiesta.

Le Agenzie per il lavoro, inoltre, non potranno acquisire referenze professionali del candidato presso precedenti datori di lavoro e comunicarle ai propri clienti, per conto dei quali è effettuata la ricerca di personale, senza una “previa autorizzazione esplicita del candidato”.

E non potranno trattare, anche con il consenso del candidato, informazioni relative a illeciti disciplinari o procedimenti giudiziari che lo abbiano coinvolto.

Mentre per quanto riguarda il delicato aspetto delle decisioni basate su un trattamento automatizzato, le Agenzie dovranno effettuare una dettagliata valutazione di impatto e nell’informativa resa ai lavoratori, indicare in modo chiaro i meccanismi alla base dell’automatizzazione e le valutazioni periodiche adottate per verificare l’affidabilità del sistema automatizzato.

Nel caso di trattamenti totalmente automatizzati ai lavoratori deve essere comunque sempre garantito almeno il diritto di ottenere l’intervento umano, di esprimere la propria opinione e di contestare la decisione.

Pubblicate le norme di comportamento per le Agenzie per il lavoro predisposte da Assolavoro e APL Codice approvato dal Garante
download APL Codice 

No al controllo a distanza dei lavoratori

Il Garante per la protezione dei dati personali, nella Newsletter del 26 luglio 2023, informa di aver sanzionato una azienda per aver installato un sistema di allarme la cui attivazione e disattivazione si basava sull’uso delle impronte digitali, un impianto di videosorveglianza e un applicativo per la geolocalizzazione di alcuni lavoratori. Controllo a distanza dei lavoratori

Il rispetto della procedura di garanzia prevista dallo Statuto dei lavoratori e dal Codice privacy costituisce un requisito essenziale per la correttezza dei trattamenti dei dati personali dei lavoratori in azienda.

Non sono bastate le motivazioni presentate da un’azienda per evitare una sanzione di 20mila euro dal Garante per la protezione dei dati personali per aver installato un sistema di allarme la cui attivazione e disattivazione si basava sull’uso delle impronte digitali, un impianto di videosorveglianza e un applicativo per la geolocalizzazione di alcuni lavoratori.

Le violazioni sono emerse dall’ispezione avviata dall’Autorità in collaborazione con il Nucleo speciale tutela privacy della Guardia di finanza, a seguito di una segnalazione.

In particolare, con riferimento al sistema di videosorveglianza, è stato accertato che lo stesso, oltre alle riprese delle immagini in diretta, era in grado di captare anche i suoni ed effettuare registrazioni; avevano accesso attraverso uno smartphone il legale rappresentante della società e la sua famiglia. L’applicativo permetteva all’utente di ammonire verbalmente gli interessati, attraverso le casse dell’impianto.

Dall’ispezione è emerso inoltre che l’azienda utilizzava un applicativo che, quand’era in uso, tracciava, tramite GPS, in modo continuativo, la posizione del dipendente nel corso della propria attività, nonché data e ora del rilevamento, determinando così un controllo del lavoratore non consentito.

Il trattamento dei dati effettuato attraverso il sistema di videosorveglianza e quello di localizzazione erano effettuati senza che i lavoratori avessero ricevuto un’adeguata informativa e fossero state attivate le procedure di garanzia previste dallo Statuto dei lavoratori (accordo sindacale o, in alternativa, autorizzazione dell’Ispettorato del lavoro). Per quanto riguarda la videosorveglianza è stata rilevata anche l’assenza di cartelli informativi in loco.

Allo scopo di rinforzare ulteriormente le misure di sicurezza ai locali aziendali, la Società aveva installato anche un sistema di allarme la cui attivazione e disattivazione si basava sul trattamento dei dati biometrici (impronte digitali) di 21 soggetti, tra cui i dipendenti.

Al riguardo nel provvedimento è stato rilevato che il trattamento dei dati biometrici, di regola vietato in quanto dati rientranti nelle cc.dd. categorie particolari di dati (art. 9 GDPR), è consentito solo al ricorrere di una delle condizioni tassativamente previste dal paragrafo 2 dell’art. 9 GDPR e, per quanto riguarda i trattamenti effettuati nell’ambito del rapporto di lavoro, solo quando il trattamento sia necessario per assolvere gli obblighi ed esercitare i diritti del titolare del trattamento o dell’interessato e sia previsto da una disposizione normativa, circostanze non rinvenibili nel caso di specie.

Oltre al pagamento della sanzione, il Garante ha disposto il divieto del trattamento dei dati raccolti mediante il sistema di videosorveglianza e il monitoraggio continuo della posizione del lavoratore.

Decreto trasparenza indicazioni del Garante

Questioni interpretative e applicative in materia di protezione dei dati connesse all’entrata in vigore del d. lgs. 27 giugno 2022, n. 104 in materia di condizioni di lavoro trasparenti e prevedibili (c.d. “Decreto trasparenza”)

questioni interpretative e applicative in materia di protezione dei dati connesse all’entrata in vigore del d. lgs. 27 giugno 2022, n. 104 in materia di condizioni di lavoro trasparenti e prevedibili (c.d. “Decreto trasparenza”).Il Garante per la protezione dei dati personali ha fornito, al Ministero del Lavoro e all’Ispettorato Nazionale del Lavoro, le prime indicazioni sul Decreto trasparenza, in risposta ai numerosi quesiti ricevuti da Pa e imprese.

Inoltre, il Garante ha manifestato la propria disponibilità ad avviare un tavolo di confronto volto a definire una corretta interpretazione delle norme introdotte dal cosiddetto Decreto Trasparenza.

Oggetto: questioni interpretative e applicative in materia di protezione dei dati connesse all’entrata in vigore del d. lgs. 27 giugno 2022, n. 104 in materia di condizioni di lavoro trasparenti e prevedibili (c.d. “Decreto trasparenza”).

Come noto, in data 13 agosto 2022 è entrato in vigore il d.lgs. 27 giugno 2022, n. 104 di attuazione della direttiva (UE) 2019/1152 del Parlamento europeo e del Consiglio del 20 giugno 2019, relativa a condizioni di lavoro trasparenti e prevedibili nell’Unione europea (di seguito, il “Decreto”), che ha introdotto ulteriori obblighi informativi qualora il datore di lavoro utilizzi “sistemi decisionali o di monitoraggio automatizzati deputati a fornire indicazioni rilevanti ai fini della assunzione o del conferimento dell’incarico, della gestione o della cessazione del rapporto di lavoro, dell’assegnazione di compiti o mansioni nonché indicazioni incidenti sulla sorveglianza, la valutazione, le prestazioni e l’adempimento delle obbligazioni contrattuali dei lavoratori”.

Poiché le nuove disposizioni di legge presentano profili rilevanti in materia di protezione dei dati, in quanto l’impiego dei predetti sistemi dà luogo a “trattamenti” di dati personali, riferiti a “interessati”, identificati o identificabili (art. 4, par. 1, nn. 1) e 2), del Regolamento) nel contesto lavorativo, tale disciplina di settore deve essere necessariamente coordinata, in sede applicativa, con la normativa in materia di protezione dei dati personali (Regolamento (UE) 2016/679; d. lgs. 30 giugno 2003, n. 196 – Codice in materia di protezione dei dati personali).

Lo stesso Decreto prevede, infatti, che resta salva “la configurabilità di eventuali violazioni in materia di protezione dei dati personali ove sussistano i presupposti di cui agli articoli 83 del Regolamento UE 2016/679 e 166 del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni”.

Al riguardo, nel prendere atto dei primi chiarimenti forniti da codesti Enti, sui profili di propria competenza, rispettivamente con circolare n. 19 del 20/9/2022 e con circolare n. 4 del 10/8/2022, e al fine di coordinare le reciproche posizioni e le linee interpretative in merito all’applicazione del Decreto si trasmette l’allegato documento che reca un’interpretazione sistematica delle disposizioni del Decreto, alla luce della disciplina eurounitaria in materia di protezione dei dati.

L’esigenza di coordinamento è particolarmente avvertita dall’Autorità anche in considerazione del fatto che la menzionata circolare del Ministero, nell’esemplificare i casi in cui possono trovare applicazione gli obblighi informativi oggetto del Decreto, fa riferimento a strumenti e tecnologie, quali, ad esempio, “software per il riconoscimento emotivo”, “strumenti di data analytics o machine learning, rete neurali, deep-learning”, nonché “sistemi per il riconoscimento facciale, sistemi di rating e ranking”, che, specie se impiegati nel contesto lavorativo, determinano un elevato livello di rischio per i diritti e le libertà degli interessati oggetto di specifica tutela nell’ambito del sistema di protezione dei dati personali.

L’impiego di tali sistemi di monitoraggio particolarmente invasivi, pone, anzitutto, un tema di liceità dei trattamenti di dati personali effettuati mediante gli stessi, tenuto conto della disciplina di settore in materia di impiego di strumenti tecnologici nel contesto lavorativo (v. art. 114 del Codice, che rimanda all’art. 4 della L. 300/1970).

Le specificità delle tecnologie di questi sistemi, nonché la natura dei dati trattati (ad esempio, i dati biometrici e quelli relativi alle emozioni del lavoratore) e le funzionalità che spesso ad essi sono associate, sollevano, altresì, dubbi in ordine alla stessa proporzionalità del loro impiego, nonché di compatibilità con i principi generali in materia di protezione dei dati e con il quadro di garanzie in materia di libertà e dignità del lavoratore, potendosi, peraltro, porsi in contrasto con le disposizioni nazionali che vietano al datore di lavoro di trattare informazioni attinenti alla sfera privata del lavoratore (v. art. 113 del Codice, che rimanda all’art. 8 della L. 300/1970).

Tanto premesso, anche al fine di superare le incertezze generatesi sul piano interpretativo e orientare le scelte sul piano applicativo dei titolari del trattamento che hanno rivolto quesiti e richieste di chiarimento a questa Autorità, si manifesta la disponibilità del Garante ad avviare un confronto sui temi oggetto del documento allegato.

IL DIRIGENTE DEL DIPARTIMENTO
Claudio Filippi

IL DIRIGENTE DEL DIPARTIMENTO
Francesco Modafferi

Le linee guida sull’utilizzo di cookie

I cookie semplificano e velocizzano gli accessi ai siti web da parte degli utenti, in quanto memorizzano alcune informazioni relative agli stessi che non debbono più essere reperite ed elaborate dai dispositivi dopo il primo accesso.

I cookie inoltre semplificano la fruizione di alcuni servizi web: infatti, possono ad esempio essere impiegati per tenere traccia degli articoli in un carrello degli acquisti online o delle informazioni utilizzate per la compilazione di un modulo informatico.

Tuttavia, i cookie sono molto utili anche ai soggetti che gestiscono i siti web, perché consentono la raccolta e il trattamento di vari dati personali (es: indirizzo IP, nome utente, identificativo univoco o indirizzo e-mail) e dati non personali (come le impostazioni della lingua o informazioni sul tipo di dispositivo che una persona sta utilizzando per navigare nel sito): informazioni che possono essere utilizzate a fini di marketing e di profilazione, e condivise eventualmente anche con terze parti.

Lo scorso giugno il Garante ha approvato nuove Linee guida in materia di Cookie e altri strumenti di tracciamento tenendo conto:
1) del quadro giuridico di riferimento, soprattutto a seguito dell’introduzione del Regolamento 2016/679 (GDPR);
2) della rapida e continua innovazione tecnica e tecnologica delle reti e degli strumenti;
3) dell’evoluzione del comportamento degli utenti, che utilizzano sempre più spesso servizi (web, social media, app, ecc.) e strumenti plurimi (computer, tablet, smartphone, smart TV, ecc.), con il conseguente moltiplicarsi delle possibilità di raccolta e incrocio dei dati ad essi riferiti.

Gli elementi chiave delle nuove Linee guida sono:
Promozione dell’accountability;
Offerta agli utenti di informative trasparenti e chiare;
Rafforzamento del meccanismo del consenso;
Rispetto dei principi di privacy by design e by default.

Le nuove Linee guida, inoltre, estendono il loro ambito di applicazione oltre che ai cookie anche ad altri strumenti di tracciamento, come ad esempio il fingerprinting.

DOWNLOAD DOCUMENTI
Portaleconsulenti documenti da scaricare

Crea e gestisci password a prova di privacy

GARANTE PRIVACY

Suggerimenti per creare e gestire password a prova di privacy

La scheda ha mere finalità divulgative e sarà aggiornata in base alle evoluzioni tecnologiche e normative

Password: dal Garante i suggerimenti per sceglierle e conservarle in modo sicuro

Pochi e semplici suggerimenti per la sicurezza dei dispositivi e dei servizi digitali che utilizziamo ogni giorno. Il Garante lancia una nuova scheda con consigli di base per impostare password sicure e gestirle in modo accorto.

Il vademecum spiega ad esempio come scegliere una buona password, come gestire tutte quelle che fanno parte della nostra vita quotidiana (da quelle per accedere ai dispositivi a quelle per i vari servizi di e-mail, acquisto online, ecc.) e come conservarle in modo che non siano facile preda di eventuali malintenzionati.

La prima linea di difesa dei nostri dati personali è sempre la consapevolezza su come gestiamo, conserviamo ed eventualmente diffondiamo le informazioni che ci riguardano.

La scheda, che ha finalità divulgative, si inserisce nel quadro delle attività di educazione digitale di base che fanno parte della missione specifica dell’Autorità.

VALUTA SE USARE «GESTORI DI PASSWORD»
Si tratta di programmi specializzati che generano password sicure e consentono di appuntare in formato digitale tutte le password salvandole in un database cifrato sicuro. Ce ne sono di vario tipo, gratuiti o a pagamento.

scarica dal portale
portale consulenti download

Linee guida COOKIE

COOKIE: dal Garante privacy nuove Linee guida a tutela degli utenti

Linee guida cookie e altri strumenti di tracciamento – 10 giugno 2021
(Pubblicato sulla Gazzetta Ufficiale n. 163 del 9 luglio 2021)

Le presenti Linee guida hanno innanzitutto una funzione ricognitiva in relazione al diritto applicabile alle operazioni di lettura e di scrittura all’interno del terminale di un utente, con specifico riferimento all’utilizzo di cookie e di altri strumenti di tracciamento, nonché l’obiettivo di specificare, al riguardo, le corrette modalità per la fornitura dell’informativa e per l’acquisizione del consenso on-line degli interessati, ove necessario, alla luce della piena applicazione del Regolamento (UE) 2016/679 (di seguito, Regolamento).

Il quadro giuridico di riferimento è infatti, ad oggi, costituito tanto dalle disposizioni della direttiva 2002/58/CE (c.d. direttiva ePrivacy) e successive modifiche, come recepita nell’ordinamento nazionale all’art. 122 del d.lgs. 30 giugno 2003, n. 196 (di seguito Codice), quanto dal Regolamento, per ciò che concerne specificamente la nozione di consenso di cui agli artt. 4, punto 11) e 7 e al considerando 32, come da ultimo interpretati dalle Linee Guida del WP29 adottate il 10 aprile 2018, ratificate dal Comitato europeo per la Protezione dei dati personali, il 25 maggio 2018 e sostituite, da ultimo, dalle Guidelines 05/2020 on consent under Regulation 2016/679 adottate il 4 maggio 2020.

Per i cookie di profilazione rimane la necessità del consenso da richiedere attraverso un banner ben distinguibile sulla pagina web, attraverso il quale dovrà anche essere offerta agli utenti la possibilità di proseguire la navigazione senza essere in alcun modo tracciati, ad esempio chiudendo il banner cliccando sulla caratteristica X da inserire in alto a destra.

Riguardo in particolare allo scrolling, il Garante precisa che il semplice spostamento in basso del cursore (scroll down) non rappresenta una idonea manifestazione del consenso. I titolari dei siti (publisher) dovranno eventualmente inserire lo scrolling in un processo più articolato nel quale l’utente sia in grado di generare un evento, registrabile e documentabile presso il server del sito, che possa essere qualificato come azione positiva idonea a manifestare in maniera inequivoca la volontà di prestare un consenso al trattamento.

scarica
download documenti

Privacy in Estate

Sul sito del Garante pubblicata news E-state in privacy

Informazioni utili su selfie e foto, protezione di smartphone e tablet, acquisti on line, uso di app, chat e social network quando si è in vacanza (e non solo)

Sotto il sole estivo, non esporti troppo con selfie e foto: protezione alta soprattutto per i minori.

Non tutti vogliono apparire on line, essere riconosciuti o far sapere dove e con chi si trovano durante le ferie estive. Se si postano foto o video in cui compaiono altre persone, è sempre meglio prima accertarsi che queste siano d’accordo, specie se si inseriscono poi anche dei tag con nomi e cognomi.

E’ abitudine diffusa condividere foto e video dei propri figli.

E’ bene essere sempre consapevoli che le immagini dei minori pubblicate on line possono finire anche nelle mani di malintenzionati: meglio quindi evitare di “postarle”, oppure almeno utilizzare alcune accortezze, come rendere irriconoscibile il viso del minore (ad esempio, utilizzando programmi di grafica per “pixellare” i volti, semplici da usare e disponibili anche gratuitamente online, o posizionando semplicemente sopra una “faccina” emoticon), oppure limitare le impostazioni di visibilità delle immagini solo alle persone fidate.

Geolocalizzati anche in ferie? Per gli amanti della riservatezza che non vogliono far sapere dove sono durante le vacanze estive, il suggerimento è disattivare le opzioni di geolocalizzazione di smartphone e tablet (se non indispensabili per specifici servizi), oltre a quelle dei social network utilizzati.

I “social-ladri” non vanno in vacanza. Postando sui social network informazioni sulle vacanze si potrebbe far sapere ad eventuali malintenzionati che la propria casa è vuota.

Il pericolo aumenta se poi si scrive anche quando si parte e per quanto tempo si resterà in ferie.

Il suggerimento è innanzitutto quello di evitare di diffondere on line informazioni molto personali, come ad esempio l’indirizzo di casa o le foto del proprio appartamento.

scarica
download documento garante Privacy