Non tutti i dati hanno lo stesso rischio. Alcuni richiedono un'attenzione speciale. In questa lezione vediamo il DNI, i dati abituali del personale e le categorie particolari dell'articolo 9 del GDPR.
Il numero di DNI e altri identificativi
Il numero del DNI, del NIE o del passaporto è un dato personale come qualsiasi altro. Non è un dato di categoria particolare, ma serve a sostituirsi a qualcuno, quindi conviene trattarlo con cura:
- Lo chieda solo se serve. Se basta il nome, non chieda anche il DNI. Il principio di minimizzazione dei dati vale qui come per ogni altro dato.
- Non lo pubblichi per intero accanto al nome. Per la pubblicazione di atti amministrativi che contengono dati personali, la disposizione aggiuntiva settima della LOPDGDD richiede di identificare la persona con nome e cognome più quattro cifre casuali del suo documento. È un buon modello di prudenza per elenchi, bacheche e avvisi.
- Non lasci copie in giro. Una fotocopia del DNI dimenticata su una scrivania o nel vassoio della stampante è una fuga di dati in attesa di accadere.
- Non lo usi come password né come codice di accesso, e non lo invii su canali poco sicuri.
I dati abituali del personale
Un'azienda tratta molti dati dei propri lavoratori: identificazione, conto bancario, contratto, busta paga, orario, ferie, assenze e formazione. Quasi tutti si trattano in base al contratto e agli obblighi di legge. Devono vederli solo coloro che ne hanno bisogno per la loro funzione: l'ufficio del personale e la gestoría vedono le buste paga, ma il resto del personale no.
Una regola semplice: un dato di un collega non si commenta, non si inoltra e non si pubblica senza un chiaro motivo di lavoro. Buste paga, sanzioni, certificati di malattia e problemi personali non sono argomento da corridoio né da gruppo di messaggistica.
Le categorie particolari di dati
L'articolo 9 del GDPR vieta in linea di principio di trattare questi dati:
- origine razziale o etnica
- opinioni politiche
- convinzioni religiose o filosofiche
- appartenenza sindacale
- dati genetici
- dati biometrici intesi a identificare in modo univoco una persona, per esempio un'impronta digitale per timbrare
- dati relativi alla salute
- dati relativi alla vita sessuale o all'orientamento sessuale
Esistono eccezioni e sul lavoro le più comuni sono gli obblighi del diritto del lavoro e della sicurezza sociale (articolo 9, paragrafo 2, lettera b) e la medicina del lavoro. Un esempio: l'azienda conosce il certificato di malattia e la sua durata, ma non ha bisogno di sapere la diagnosi. Un altro: la quota sindacale si trattiene in busta paga solo se la persona lo chiede.
Anche i dati relativi a condanne penali e reati hanno una protezione rafforzata. Secondo l'articolo 10 del GDPR, si trattano solo sotto il controllo di un'autorità pubblica o quando una norma lo consente. Per questo un'azienda non può chiedere semplicemente il casellario giudiziale a tutto il personale: solo quando la legge lo richiede per l'attività, per esempio il certificato dei reati di natura sessuale per lavorare con minori.
Dati sulla salute e dati di minori
Se nel Suo lavoro vede dati sulla salute (un centro medico, una residenza per anziani, una farmacia, un servizio di prevenzione) o dati di minori (una scuola, un'accademia), il rischio è maggiore. Applichi con più rigore le istruzioni della Sua azienda e usi solo i sistemi autorizzati.
Ricordi: più un dato è delicato, meno persone devono vederlo e più protetto deve essere.