Alcuni dati sono più rischiosi per le persone, perché possono portare a discriminazioni o danni gravi. Il GDPR e il Codice li proteggono di più.
Le categorie particolari di dati (art. 9 GDPR)
Sono i dati che rivelano:
- origine razziale o etnica;
- opinioni politiche;
- convinzioni religiose o filosofiche;
- appartenenza sindacale;
e ancora i dati genetici, i dati biometrici usati per identificare una persona in modo univoco (per esempio l'impronta digitale o il riconoscimento del volto), i dati relativi alla salute e alla vita sessuale o all'orientamento sessuale.
Il trattamento è vietato in via generale, salvo che ricorra una delle eccezioni dell'art. 9, par. 2: per esempio il consenso esplicito, gli obblighi in materia di diritto del lavoro e della sicurezza sociale, la tutela della salute, l'accertamento di un diritto in giudizio. Il Codice aggiunge condizioni e misure di garanzia (artt. 2-sexies e 2-septies).
La salute sul lavoro
Dati sulla salute sono, per esempio, diagnosi, referti, certificati con la malattia, invalidità. Il datore di lavoro ha di regola bisogno di sapere che una persona è assente e fino a quando, non di che cosa soffre. Se Lei lavora in un ufficio del personale o in un'azienda sanitaria, tratti questi dati solo se è il Suo compito, in luoghi dove altri non possono vedere o ascoltare, e non ne parli con i colleghi.
Il medico competente fa parte di un sistema a parte: i suoi dati sanitari restano sotto il suo segreto e non vanno al datore di lavoro, che riceve solo il giudizio di idoneità.
Il divieto di indagini sulle opinioni
L'art. 8 dello Statuto dei lavoratori (legge 300/1970) vieta al datore di lavoro, per l'assunzione e durante il rapporto, di fare indagini sulle opinioni politiche, religiose o sindacali del lavoratore e su fatti non rilevanti per valutare l'attitudine professionale. Il Codice richiama il divieto all'art. 113. Un colloquio di selezione o un questionario interno non deve quindi chiedere questi dati.
Dati su condanne penali e reati
I dati relativi a condanne penali e reati hanno una regola propria (art. 10 GDPR). In Italia il trattamento è ammesso solo se lo autorizza una norma di legge o, nei casi previsti dalla legge, di regolamento, con garanzie adeguate per le persone (art. 2-octies del Codice). Non è quindi lecito chiedere a un candidato o a un cliente il certificato del casellario o i carichi pendenti solo "per sicurezza": serve una norma o una situazione prevista.
Il codice fiscale
Il codice fiscale non è un dato "particolare", ma è un dato personale molto potente, perché identifica una persona in modo preciso e permette di collegare banche dati diverse. Alcune regole di prudenza:
- Lo chieda e lo registri solo se serve per lo scopo (fatture, paghe, pratiche) e non per una semplice informazione al banco.
- Non lo scriva nell'oggetto di un'e-mail, in una chat aperta o su un foglio visibile ad altri.
- Non lo pubblichi in elenchi, bacheche o graduatorie accessibili a chiunque, insieme ad altri dati, se non c'è una norma che lo impone o un vero motivo.
- Lo stesso vale per tessera sanitaria, documento d'identità e IBAN: copie e fotografie di documenti vanno trattenute solo se necessario e protette.
Da ricordare
- Dati su salute, sindacato, religione, origine e simili: massima prudenza, solo chi deve, solo il necessario.
- Sul lavoro non si indaga su opinioni e vita privata (art. 8 Statuto).
- Su condanne e reati serve una norma (art. 2-octies).
- Il codice fiscale è un dato personale: non va ovunque.