Parere 10 gennaio 2002

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Mauro Paissan;

PREMESSO:

1. Annunci di lavoro curati da società di selezione e ricerca di personale
Già in passato questa Autorità ha indicato alcuni criteri per la corretta applicazione della legge n. 675/1996 in relazione al trattamento di dati personali raccolti tramite coupon o mediante la diversa tipologia di richiesta dei dati rappresentata da annunci ed offerte di lavoro pubblicati su quotidiani e periodici con i quali viene sollecitato l’invio di curricula (v. il provvedimento del 13 gennaio 2000, in Bollettino n. 11-12/2000, pag. 39 e ss).

In tale circostanza il Garante ha riscontrato la mancanza delle necessarie idonee informative ai sensi dell’art. 10 della legge n. 675/1996 e ha conseguentemente accertato l’invalidità del consenso al trattamento dei dati che si chiede di esprimere unitamente all’invio dei curricula (consenso che, secondo quanto precisato nel ricordato provvedimento, è peraltro superfluo ove i dati da inserire nel curriculum non abbiano natura sensibile o non siano comunicati a terzi).

Nel corso di un successivo monitoraggio effettuato su annunci più recenti pubblicati su quotidiani e periodici, concernenti offerte di lavoro curate da società di ricerca e selezione del personale, si è però nuovamente constatato che, in vari casi, è presente solo una sintetica richiesta ai candidati interessati di inviare i curricula e, contestualmente, di "autorizzare il trattamento dei dati personali ai sensi della legge n. 675/1996", peraltro priva delle informazioni prescritte dal citato art. 10.

Oltre a quanto emerso dal menzionato monitoraggio, sono pervenute a questa Autorità segnalazioni, anche telefoniche, con le quali è stata lamentata l’assenza negli annunci di idonee indicazioni sulle modalità di trattamento dei dati contenuti nei curricula e circa i tempi della loro conservazione; sono state espresse preoccupazioni anche in ordine alla possibile divulgazione a terzi dei dati e al loro eventuale utilizzo per scopi ulteriori rispetto alla sola selezione del personale (ad esempio, per promuovere corsi di formazione a pagamento).

L’Ufficio del Garante ha pertanto effettuato nel novembre del 2001 un’ulteriore verifica su un campione significativo di annunci pubblicati in alcuni quotidiani su iniziativa di società di selezione o di ricerca del personale, di società di lavoro temporaneo e di altri soggetti intermediari che offrono analoghi servizi.

2. Esiti della verifica in relazione all’informativa
Sulla base della verifica sopra menzionata sono stati individuati circa trenta casi per i quali, contestualmente al presente provvedimento, vengono avviati i procedimenti per applicare la sanzione amministrativa pecuniaria prevista per la violazione degli obblighi in tema di informativa (art. 39, comma 2, legge n. 675).

Gli annunci per i quali è in corso la contestazione della violazione non recano un’idonea informativa e contengono solo un invito nei confronti dei candidati interessati a rilasciare, nel curriculum o nei documenti che intendono inviare, un consenso al trattamento dei dati personali, peraltro impropriamente definito "autorizzazione ai sensi della legge n. 675/1996".

Dai medesimi annunci, o dal contesto in cui essi sono inseriti, l’interessato non può quindi ricavare, neanche indirettamente, le informazioni relative alle caratteristiche del trattamento dei dati che le società si accingono ad effettuare.

Le uniche, dettagliate informazioni contenute in alcuni annunci esaminati riguardano il recapito delle aziende che ne curano la pubblicazione, all’evidente fine di assicurare la ricezione dei curricula.

Se, in base a tali recapiti, può ritenersi talvolta desumibile l’identità del titolare del trattamento, mancano spesso, invece, idonee indicazioni su:

• modalità del trattamento ed eventuali finalità ulteriori;
• natura facoltativa del conferimento dei dati o di alcune informazioni, e conseguenze della loro mancata indicazione anche parziale;
• ambito di comunicazione o diffusione dei dati conferiti, con la specificazione almeno delle categorie dei destinatari (solo in alcuni avvisi figura una generica descrizione del tipo di società per conto delle quali viene svolta la selezione o la ricerca di personale);
• diritti di accesso ai dati, di aggiornamento, rettifica, cancellazione e di opposizione al loro successivo utilizzo per altri scopi;
• eventuale responsabile del trattamento e relativi dati identificativi

In taluni casi, poi, manca finanche l’identità del titolare del trattamento: si tratta delle ipotesi in cui viene fatto uso di modalità volte a preservare l’anonimato dell’autore dell’annuncio il quale, di regola, si avvale di caselle postali cui inviare i curricula (anche in questo caso, sollecitando - e senza la prescritta informativa - l’invio di una "autorizzazione" che, come si è detto, va qualificata come "consenso") ed in relazione alle quali si rendono necessari ulteriori accertamenti, specie di carattere ispettivo, per individuare i diversi soggetti che utilizzano i dati, ai quali dovrà essere contestata anzitutto la violazione di cui agli artt. 10 e 39, comma 2, della legge n. 675 e, ove ne ricorrano i presupposti, di altre disposizioni rilevanti anche sul piano penale.

3. Vizi dell’informativa
Le prassi sopra evidenziate, con specifico riferimento ai profili dell’informativa da rendere agli interessati, non sono conformi alla legge n. 675/1996.

Come già affermato nel citato provvedimento in materia di coupon, la ricezione di un curriculum sollecitato tramite il ricorso ai menzionati annunci comporta una successiva raccolta di dati personali rispetto alla quale l’interessato deve essere previamente informato delle caratteristiche del trattamento di dati che lo riguarda (art. 10, l. n. 675/1996), a prescindere dalla circostanza che sia necessario raccogliere il suo consenso o che la selezione abbia un esito positivo.

L’art. 10 della legge n. 675/1996 mira, infatti, a rendere edotto l’interessato, prima che conferisca i dati, delle ragioni per le quali li fornisce, delle conseguenze del loro conferimento e della sorte, sotto vario profilo, delle informazioni personali comunicate, esprimendo ove necessario un consenso libero e informato (art. 11, comma 3, legge n. 675).

Pertanto, se il titolare del trattamento non fornisce la prescritta informativa al momento in cui richiede l’invio dei curricula, proprio in ragione della peculiare modalità utilizzata (annuncio di lavoro pubblicato sui giornali), si trova nella condizione di non poter adempiere correttamente all’obbligo di informare gli interessati.

Ai fini dell’osservanza del citato art. 10, si rivelerebbe inutile, perché ormai tardiva, un’informativa successiva al conferimento dei dati già effettuato, su invito del titolare, con l’invio dei curricula.

Nel rispetto dei principi di lealtà e di correttezza del trattamento, occorre quindi assicurare che i candidati siano informati già al momento della pubblicazione degli annunci in ordine alle principali caratteristiche del trattamento dei dati richiesti.

4. Informative inesatte o incomplete
Per pochi casi, tra quelli esaminati, non si rende invece necessario applicare sanzioni, in quanto negli annunci sono comunque presenti alcune notizie la cui incompletezza o imprecisione denota una difformità dalla legge n. 675/1996 cui va posto pronto rimedio, ma non tale da implicare l’applicazione di una sanzione.

Per queste ipotesi, appare tuttavia necessario segnalare alle singole società, ai sensi dell’art. 31, comma 1, lett. c), della legge n. 675, la necessità di adottare le modifiche necessarie per conformare il trattamento dei dati alle disposizioni della legge e per assicurare il rispetto dei principi di lealtà e correttezza nel rapporto con gli interessati.

5. Informativa ai candidati interessati
Gli annunci di lavoro richiedono dunque una chiara informativa, che evidenzi l’insieme degli elementi necessari per un conferimento consapevole dei dati e, ove necessario, per l’acquisizione di un consenso informato e specifico.

L’informativa può essere fornita anche attraverso messaggi brevi e in stile colloquiale (omettendo superflue "assicurazioni" circa il rispetto della normativa sulla privacy), che permettano ai candidati interessati di comprendere i seguenti aspetti:

• l’identità del/i titolare/i del trattamento dei dati riportati nei curricula e le finalità e modalità del medesimo trattamento, specificando se vi siano ulteriori finalità oltre quelle connesse alla specifica ricerca di personale, o particolari modalità di organizzazione, di raffronto o di elaborazione dei dati. Devono essere indicati altresì i tempi della conservazione (anche per permettere agli interessati di poter eventualmente aggiornare ed integrare i dati), i quali devono risultare brevi e proporzionati rispetto alle finalità e modalità del trattamento;
• l’eventualità che i dati siano divulgati a terzi, individuati almeno per categorie;
• la circostanza che il conferimento dei dati è facoltativo e che la mancata indicazione di alcuni di essi può avere determinate conseguenze, invitando ad omettere dati non pertinenti in relazione all’offerta di lavoro e a manifestare per scritto il consenso al trattamento di dati sensibili (ad esempio, per quanto riguarda l’appartenenza a particolari categorie protette);
• una descrizione dei diritti riconosciuti al candidato interessato ai sensi dell’art. 13 della legge n. 675;
• i dati identificativi di almeno un responsabile del trattamento, ove questi sia designato (preferibilmente indicato nel soggetto preposto ai rapporti con gli interessati ai sensi dell’art. 13 della legge n. 675).

6. Curricula inviati spontaneamente
Riguardo alla corretta esecuzione degli obblighi dell’informativa agli interessati, va inoltre osservato che risulta in parte diversa l’ipotesi dei curricula che i soggetti in cerca di occupazione inviano spontaneamente ad aziende senza rispondere ad annunci o ad avvisi.

In questa ipotesi, la raccolta dei dati conseguente alla ricezione del curriculum non avviene su iniziativa del titolare del trattamento, che, in questo caso, si trova nell’impossibilità di fornire una previa informativa (anche se si limita ad effettuare unicamente alcune operazioni di trattamento come la sola consultazione delle informazioni riportate nel documento ricevuto e la loro semplice conservazione anche temporanea), né può acquisire in anticipo il consenso eventualmente necessario alla luce dell’inclusione nel curriculum di alcuni dati sensibili (come, ad esempio, l’appartenenza a particolari categorie protette).

Questa ed altre difficoltà nella corretta esecuzione degli adempimenti previsti dalla legge sono state già prese in considerazione dal Garante nell’ambito di un parere rilasciato ad una società di lavoro temporaneo in cui sono state fornite alcune prime indicazioni in materia (v. il provvedimento del 28 dicembre 1998, pubblicato sul Bollettino n. 6/1998, pag. 119 e ss.).

Per i casi in cui l’interessato provvede all’invio del curriculum di propria iniziativa, il problema potrà essere risolto anche attraverso le specifiche disposizioni del codice di deontologia relativo al trattamento dei dati necessari per finalità previdenziali o per la gestione del rapporto di lavoro, il quale dovrà definire "anche specifiche modalità per l’informativa all’interessato e per l’eventuale prestazione del consenso relativamente alla pubblicazione di annunci per finalità di occupazione e alla ricezione di curricula contenenti dati personali anche sensibili" (art. 20, comma 2, lett. b), del decreto legislativo recante modificazioni ed integrazioni alla legge n. 675/1996, approvato dal Consiglio dei Ministri il 21 dicembre scorso ed in fase di pubblicazione nella G.U.).

In questa prospettiva, sempre in riferimento al caso dell’invio spontaneo di curricula e in vista di una sollecita predisposizione delle citate disposizioni deontologiche, il Garante invita gli operatori interessati ad adempiere comunque, senza ritardo, agli obblighi dell’informativa - e di richiesta dell’eventuale consenso - in caso di successivo trattamento dei dati contenuti nei curricula ricevuti.

7. Raccolta dei consensi
In relazione alle richieste ai candidati interessati di trasmettere, con il curriculum, anche l’"autorizzazione" per il trattamento dei dati personali, si è già potuto rilevare che tale forma di acquisizione preventiva del consenso, peraltro generico, è spesso slegata da una idonea informativa.

Le "autorizzazioni" rilasciate con le descritte modalità non risultano quindi valide in quanto difettano dei requisiti stabiliti dalla legge n. 675/1996 (art. 11, comma 3), rendendo così illecito il trattamento dei dati, quando sia richiesto il consenso.

Va peraltro ribadito che non è necessario sollecitare una manifestazione di consenso riguardo al trattamento di dati personali non sensibili. Le società che curano la selezione del personale possono infatti applicare il presupposto equipollente al consenso previsto per il trattamento "necessario per l’esecuzione di obblighi derivanti da un contratto del quale è parte l’interessato o per l’esecuzione di misure precontrattuali attivate adottate su richiesta di quest’ultimo" (art. 12, comma 1, lett. b), della legge n. 675/1996, come modificato dall’art. 5, comma 1, del menzionato d.lg. in fase di pubblicazione).

Anche per la comunicazione dei dati a talune altre aziende interessate ad instaurare un rapporto di lavoro - menzionate nell’informativa almeno per categorie - non è necessario richiedere il consenso degli interessati, potendosi applicare l’ipotesi poc’anzi citata (introdotta dall’art. 7, comma 1, del d.lg. cit., che entrerà in vigore dal 1° febbraio 2002).

In caso di una ricerca di personale suscettibile di interessare altre aziende per successive selezioni, va peraltro tenuto conto dell’eventuale volontà contraria dell’interessato, cui andrebbe dato spazio con un’apposita avvertenza nello schema di informativa utilizzato.

In sostanza, il consenso è necessario solo per il trattamento delle informazioni di natura sensibile eventualmente contenute nei curricula o nei documenti inviati dagli interessati (v. l’art. 22 della legge n. 675/1996, nonché le autorizzazioni generali nn. 1 e 5, capo IV, del 2000, di cui è stato disposto con provvedimento del 31 dicembre 2001 un breve differimento dell’efficacia in vista del rilascio delle nuove autorizzazioni per il 2002).

Va al tempo stesso ricordato che le suesposte modalità di sollecitazione del consenso legittimano il trattamento dei dati e la loro comunicazione ad aziende clienti sempre e comunque per le sole finalità riguardanti la possibile instaurazione di un rapporto di lavoro o di collaborazione professionale.

8. Formule-tipo per l’informativa e la richiesta di consenso
La necessità di rendere preventivamente un’idonea informativa già nell’annuncio di lavoro appare compatibile con le esigenze di funzionalità e di speditezza delle selezioni o delle ricerche di personale, anche per ciò che attiene ai costi derivanti da attività informative e contatti intrapresi caso per caso per corrispondenza o per telefono.

E’ peraltro possibile evitare l’inserimento dell’intera informativa direttamente nell’annuncio, per motivi di spazio, rendendo però agevolmente disponibili agli interessati, prima del conferimento dei dati, informazioni più dettagliate su un indirizzo web indicato nell’annuncio o mediante altre idonee modalità alternative (quale ad esempio un messaggio telefonico pre-registrato).

Questa Autorità ritiene comunque utile suggerire un possibile schema di informativa -riproducibile anche in parte nell’annuncio, a seconda dello spazio disponibile e della complessa utilizzazione dei dati-, di seguito indicato a titolo meramente esemplificativo:

"Nel curriculum vanno indicati i dati necessari a valutare il profilo del candidato. Saranno utilizzati con modalità strettamente riferite a questa selezione di personale. Potranno essere comunicati all’azienda ns. cliente (o ad altre società nel/i settore/i … e/o che ne facciano richiesta per valutare un’eventuale assunzione …). In caso di esito negativo saranno cancellati dopo .… E’ possibile rivolgersi al servizio ... per verificare i propri dati e farli integrare, aggiornare o rettificare e/o per esercitare gli altri diritti previsti dall’art. 13 della legge 675/1996.".

Si potrebbero poi inserire altre formule-tipo eventualmente necessarie del tipo:

"Si prega di non indicare dati sensibili (relativi, in particolare, a salute, convinzioni religiose e opinioni politiche)".

"Eventuali dati sensibili indicati (relativi, in particolare, a salute, convinzioni religiose e opinioni politiche) saranno immediatamente cancellati in mancanza di una dichiarazione scritta di consenso dell’interessato al loro trattamento da parte della nostra società (e dell’azienda nostra cliente)".

Oltre alle indicazioni fornite con il presente provvedimento, il Garante ritiene infine opportuno avviare forme di collaborazione con i vari enti, organismi ed associazioni del settore, per individuare soluzioni operative che favoriscano un più ampio rispetto della legge n. 675/1996 e una omogeneità dei comportamenti degli operatori coinvolti, anche in vista del citato codice di deontologia.

CIÒ PREMESSO, IL GARANTE:

segnala alle società titolari di cui all’elenco in atti redatto dall’Ufficio, ai sensi dell’art. 31, comma 1, lett. c), della legge n. 675/1996, la necessità di conformare la raccolta ed il successivo trattamento dei dati personali ai principi affermati nella legge n. 675/1996 e richiamati nel presente provvedimento;
dispone che copia del presente provvedimento sia trasmessa per conoscenza agli organismi pubblici e privati rappresentativi dei settori interessati.

Roma, 10 gennaio 2002

IL PRESIDENTE
Rodotà
IL RELATORE
Paissan
IL SEGRETARIO GENERALE
Buttarelli