Privacy e durata del trattamento in materia di diritto del lavoro
di Anna Capoluongo
Come ormai noto, in ambito “privacy” vige il principio dell’accountability, ovvero sia della responsabilizzazione ed autodeterminazione del Titolare del trattamento, sulla base del quale è egli stesso – conoscendo la propria realtà societaria – a determinare finalità e mezzi del trattamento del proprio data flow.
Va evidenziato come la normativa in materia non definisca – proprio per tale motivo – una precisa durata del trattamento, né nel minimo né nel massimo, di talché sarà il Titolare a valutare sulla base del principio appena citato quale sarà il tempo adeguato per ciascun trattamento.
Questi potrà rifarsi ai più generali principi di minimizzazione e di limitazione della conservazione di cui all’articolo 5 del GDPR, ai sensi del quale i dati devono essere adeguati, pertinenti e limitati a quanto necessario e devono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità – di cui all’informativa- per le quali sono stati raccolti e per le quali vengono trattati.
Ciò doverosamente premesso, è interessante valutare come questo principio si estrinsechi e si armonizzi in ambito giuslavoristico con le indicazioni di massima già presenti relative agli obblighi di tenuta della documentazione da parte del datore di lavoro.
E così tali obblighi e tempistiche possono essere indicativamente riassunti come segue.
Innanzitutto, la tenuta dei curricula dei candidati non selezionati andrà parametrata (principio di pertinenza e non eccedenza) alla finalità specifica e quindi ridotta al minimo indispensabile, che sarà da intendersi nell’ordine massimo di alcuni mesi.
In secundis, è da rilevarsi come la comunicazione di assunzione e la lettera di assunzione vadano per legge[1] conservate entro il limite di prescrizione quinquennale.
In ottica privacy, però, si potrebbe pensare ad una dilatazione del tempo di conservazione sulla base del termine prescrizionale dei contributi in presenza di denuncia da parte del lavoratore o di un suo erede avente diritto. Tale documentazione, infatti, potrebbe fungere da prova dimostrativa della data di effettiva instaurazione del rapporto di lavoro e, di conseguenza, dell’inizio dell’insorgenza dell’obbligo contributivo. Ecco, quindi, che si potrebbe sostenere una modifica estensiva della durata del trattamento da 5 a 10 anni prendendo spunto da una base giuridica a sé stante quale, ad esempio, l’obbligo di legge e/o l’esercizio di un diritto specifico.
Il medesimo onere della prova relativo al corretto versamento contributivo potrebbe, però, fungere da “leva per la conservazione” anche in materia di documentazione relativa alle assenze[2] del lavoratore, relativa agli adempimenti in materia previdenziale e assicurativa e per la dichiarazione della contribuzione figurativa ai fini pensionistici richiesta al datore di lavoro in determinati casi quali la prossimità della pensione, i periodi di assenza dal lavoro per gravidanza o per malattia della prole. Il titolare in tali casi potrebbe, infatti, sostenere la valenza del sopracitato limite di conservazione decennale in virtù della medesima funzione probatoria.
E i vecchi libri paga e matricola, ora sostituiti[3] dal LUL? Andrebbero tutti conservati per 5 anni[4].
Si pensi, però, ai casi di denuncia da parte del lavoratore o degli eredi relativi al fondo pensioni proprio in limine e dunque vicino allo scadere dei 5 anni di prescrizione dei contributi. A fronte di ciò sembrerebbe lecito ipotizzare una tenuta superiore dei dati, e quindi l’applicazione del già visto termine di prescrizione decennale.
Per quanto attiene specificamente il LUL è il caso di ricordare che la sua tenuta era già stata prevista nel pieno rispetto del vecchio codice privacy ex D.M. 9 luglio 2008. Ad oggi quindi, in ottica GDPR, risulta enfatizzata la necessità di conservare i soli dati strettamente necessari ai sensi del principio di minimizzazione e per il solo tempo strettamente necessario, sulla base dell’autovalutazione del Titolare sottesa al trattamento ed alle finalità specificamente previste.
Quanto, invece, all’ambito più prettamente “sanitario”, in materia di lavoro subordinato le due casistiche principali riguardano senza dubbio la malattia e la cartella sanitaria.
E’ giusto il caso di ricordare che in tema di assenze per malattia, certificati medici e visite mediche è previsto per legge che al datore venga consegnata documentazione priva di diagnosi, ma contenente, ad esempio, la sola indicazione dell’idoneità (o meno) del soggetto o dell’inizio e della durata della malattia od infermità.
Ad ogni buon conto, quanto alla malattia professionale, il range di tenuta potrà variare dai 3 anni[5], previsti dalla legge per la denuncia, fino – potenzialmente – anche a decine di anni, sul presupposto che il datore dovrebbe essere a conoscenza della data del decesso per poter far partire il computo del periodo obbligatorio. Ma è facile ipotizzare come di rado – oggigiorno specialmente – il rapporto con il medesimo datore copra l’intera vita lavorativa del dipendente e che, pertanto, il datore sia all’oscuro dello status dell’-ormai – ex dipendente. In tali casi sembra sostenibile, opportuno e ragionevole un aumento dei termini di conservazione dei dati.
In materia di cartella sanitaria e di rischio, invece, i riferimenti temporali sembrano essere più chiari e definiti, ovvero sia il datore, una volta terminato il rapporto lavorativo, sarà tenuto alla conservazione dell’originale per almeno 10 anni[6], fatto salvo il caso in cui il dipendente sia stato esposto ad agenti cancerogeni. Laddove ciò avvenga sarà necessario l’invio della cartella all’Inail e la conservazione verrà esponenzialmente aumentata sino ad almeno 40 anni. E’ il caso di rilevare come, nella prassi, in Italia vi siano stati casi di esposizione ad amianto che hanno comportato una tenuta dei dati superiore ai 50 anni.
Infine, per il registro infortuni -ove redatto e conservato – il limite di tenuta di 4 anni previsto per legge risulta congruo con i principi previsti dal GDPR.
[1] Si vedano D.L. 112/2008; D.L. 510/1996; D.Lgs. 152/1997.
[2] Ad esempio, assenze per malattia, permessi ex L. 104/1992, permessi per cura degli invalidi.
[3] SI veda D.M. 9 luglio 2008.
[4] Dall’ultima registrazione.
[5] Successivi al decesso del lavoratore.
[6] Ex D.lgs. 81/2008, al termine del rapporto di lavoro, il medico competente designato consegnerà una copia della cartella al dipendente e l’originale sigillato al datore di lavoro.
Autore:
