In quasi tutti i posti di lavoro si maneggiano dati di persone. Chi sta alla reception annota il nome di un visitatore. Chi serve in un negozio prende un indirizzo di consegna. Chi lavora in amministrazione vede buste paga, certificati di malattia e contratti. Per questo le norme sulla protezione dei dati non riguardano solo la direzione: riguardano anche Lei.
Le norme che si applicano in Spagna
- Il Regolamento generale sulla protezione dei dati (GDPR, in Spagna RGPD, Regolamento (UE) 2016/679) si applica direttamente in tutti i Paesi dell'Unione europea.
- La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD, la legge organica spagnola sulla protezione dei dati personali e la garanzia dei diritti digitali) completa il regolamento in Spagna. Disciplina, per esempio, l'età del consenso, il dovere di riservatezza, la videosorveglianza e i diritti digitali sul lavoro.
- La Agencia Española de Protección de Datos (AEPD, aepd.es, l'agenzia spagnola per la protezione dei dati) è l'autorità che vigila sul rispetto di queste norme.
Che cos'è un dato personale
È qualsiasi informazione riguardante una persona fisica identificata o identificabile (articolo 4, punto 1, del GDPR). Per esempio:
- nome, cognome, indirizzo, telefono ed e-mail
- numero di DNI (Documento Nacional de Identidad, la carta d'identità spagnola) o di NIE (numero di identificazione degli stranieri), numero di dipendente o di cliente
- fotografie, video e registrazioni vocali in cui la persona è riconoscibile
- indirizzi IP, dati di ubicazione e targhe associate a una persona
- stipendio, orari, assenze, valutazioni e dati della vita lavorativa
Il dato non deve essere segreto. Un indirizzo e-mail pubblicato su un sito web resta un dato personale. I dati di una società (il suo CIF o le sue vendite) non lo sono, ma lo sono quelli della persona che sta dietro a un'attività da lavoratore autonomo.
I dati anonimi, che non permettono più di identificare nessuno, restano fuori dalle norme. I dati pseudonimizzati, in cui il nome è sostituito da un codice ma si può risalire alla persona con una chiave conservata a parte, restano dati personali.
Che cos'è un trattamento
Trattamento è tutto ciò che si può fare con i dati: raccogliere, registrare, conservare, consultare, cercare, inviare, modificare, condividere e cancellare (articolo 4, punto 2). Quando guarda soltanto una scheda sullo schermo, sta già trattando dati. Le norme si applicano ai trattamenti automatizzati e anche agli archivi cartacei, se sono ordinati secondo criteri, per esempio una cartella archiviata per cognome.
Chi è chi
- L'interessato è la persona a cui si riferiscono i dati: una cliente, un paziente, un alunno o un collega di lavoro.
- Il titolare del trattamento decide per quali finalità e con quali mezzi si trattano i dati (articolo 4, punto 7). Di solito è l'azienda o l'ente per cui Lei lavora, non Lei personalmente.
- Il responsabile del trattamento tratta dati per conto del titolare, per esempio una gestoría (studio che tiene la contabilità e prepara le buste paga) o il fornitore di un programma nel cloud (articolo 4, punto 8). Tra i due deve esserci un contratto o altro atto giuridico scritto (articolo 28).
Chi lavora sotto l'autorità dell'azienda può trattare i dati solo seguendo le sue istruzioni (articolo 29 del GDPR). Non può decidere da sé di usare l'elenco dei clienti per un'altra finalità.
Perché è importante
I dati usati male possono causare danni reali: truffe, furto d'identità, molestie, discriminazione o la perdita di un lavoro. Un errore danneggia anche l'azienda e può finire in una sanzione.
Ricordi: prima di usare i dati di una persona, si chieda se Le servono per il Suo lavoro e se l'azienda Le consente di usarli in quel modo.