Con il provvedimento n. 12 GPDP dell’11 gennaio 2024 [doc. web n. 9983415] il Garante ha approvato il codice di condotta per il settore delle agenzie per il lavoro. Si tratta di uno strumento di regolamentazione volontario. Il codice detta le regole per il corretto trattamento dei dati personali effettuato dalle agenzie nelle attività di:
- intermediazione
- ricerca e selezione del personale
- somministrazione di lavoro
- supporto alla ricollocazione
Ambito di applicazione e adesione
Il codice di condotta, promosso da Assolavoro, è stato pubblicato in G.U. il 6 marzo 2024 ed è efficace dal giorno successivo alla pubblicazione. Si applica a tutte le agenzie associate alla promotrice, ma possono aderirvi anche le agenzie non associate, purché con sede legale in Italia e iscritte all’Albo informatico Nazionale delle Agenzie per il Lavoro.
L’adesione è volontaria e richiede la compilazione on line della relativa domanda.
Il meccanismo di adesione e le relative istruzioni saranno messi a disposizione dei soggetti che intendono aderire sui siti internet di Assolavoro, www.assolavoro.eu, e dell’Organismo di Monitoraggio.
Effetti dell’adesione
L’adesione al codice non solleva l’agenzia dall’adempimento degli obblighi previsti dal GDPR e dal Codice privacy ma orienta nel senso della conformità alle regole vigenti e può essere valorizzata in termini di responsabilizzazione, in inglese “accountability”. Tale principio fondamentale del Regolamento, che trova espressione, fra l’altro, agli artt. 5.2 e 24 GDPR, emerge infatti dalla volontaria adozione di pratiche uniformi già oggetto di un vaglio preliminare da parte dell’Autorità di controllo italiana.
Ruoli del trattamento delle Agenzie
Il codice di condotta agenzie per il lavoro chiarisce che nello svolgimento delle attività di tipiche (somministrazione lavoro, ricerca e selezione del personale, intermediazione e supporto alla ricollocazione professionale), l’agenzia è individuata come di titolare autonomo.
Nell’ambito di un incarico di outsourcing, trattando i dati per conto del cliente titolare, l’agenzia è invece qualificata come responsabile del trattamento e dovrà essere designata con contratto ex art. 28 GDPR.
Tutela degli interessati
Il codice introduce importanti previsioni a tutela dei candidati a posizioni lavorative. Detta regole in merito alla selezione degli stessi e alla raccolta dei loro dati personali, puntando a evitare possibili discriminazioni nell’accesso al mercato del lavoro. Le previsioni non aggiungono elementi di rilievo rispetto alla normativa già applicabile, ma contribuiscono a chiarirla sul piano operativo.
Categorie di dati
Il codice di condotta identifica le principali categorie di dati comuni trattati dalle agenzie. Ad es. i seguenti:
- identificativi,
- di contatto
- esperienze professionali
- titoli di studio
- certificazioni
- patenti
- idoneità a svolgere determinate mansione.
Le agenzie trattano inoltre categorie particolari di dati. Ad es. i seguenti: dati idonei a rivelare lo stato di salute quali l’appartenenza a categorie protette o limitazioni allo svolgimento di determinate mansioni per disabilità e dati idonei a rivelare l’origine razziale ed etnica.
Occasionalmente, può venire in considerazione anche il trattamento di dati giudiziari.
Quanto ai dati particolari, è specificato, ad esempio, che nella fase di ricerca e selezione del personale tali dati possono essere trattati dalle agenzie solo se la loro raccolta sia giustificata da scopi determinati e legittimi e sia necessaria per instaurare il rapporto di lavoro/collaborazione. Il codice ricorda altresì che, nel rispetto dell’art. 113 del Codice privacy e delle norme ivi richiamate, non possono essere effettuate indagini su opinioni politiche o sindacali etc. e su fatti non rilevanti ai fini dell’attività lavorativa.
Le agenzie devono astenersi totalmente dall’utilizzare informazioni eventualmente presenti nei CV ma non pertinenti alla finalità perseguita. Si tratta, a ben guardare, di un’applicazione del principio di minimizzazione.
La regola si trova già specificata dal Garante nelle prescrizioni relative al trattamento di categorie particolari di dati nei rapporti di lavoro, cfr. provv. n. 146 del 5 giugno 2019 [9124510].
Quanto ai dati giudiziari il codice osserva che nella fase di instaurazione e gestione del rapporto di somministrazione di lavoro le agenzie possono trattare questa categoria di dati solo in presenza di una norma di legge, o nei casi previsti dalla legge, di regolamento, che autorizzi il trattamento (cfr. art. 2-octies d.lgs. 196/2003).
Può ad esempio essere il caso dell’obbligo, ex art. 2, d.lgs. 39/2014, di raccolta del certificato penale del casellario giudiziale nel caso di assunzione di lavoratori per lo svolgimento di attività che comportino contatti diretti e regolari con i minori.
Referenze professionali e illeciti disciplinari
Le agenzie possono raccogliere e comunicare ai propri clienti referenze professionali ottenute presso i precedenti datori di lavoro solo previa autorizzazione esplicita dell’interessato.
Il punto appare come una deroga volontaria degli aderenti rispetto all’art. 6.1.f) GDPR. Infatti non può astrattamente escludersi che costituisca interesse legittimo di un datore di lavoro conoscere le referenze del candidato, fermo restando l’obbligo di informativa. È disposto inoltre il divieto di trattare precedenti disciplinari o illeciti giudiziari, con la sola eccezione in cui siffatto trattamento sia imposto da una disposizione di legge.
Diffusione di dati
Il codice precisa che la diffusione dei dati è sempre vietata, salvo che non sia stato fornito dall’interessato un consenso “esplicito”, che non può quindi essere dedotto da comportamenti impliciti.
Informativa sul trattamento dei dati
Il codice chiarisce quali informazioni devono essere fornite agli interessati e il momento in cui fornirle. Precisa che tutte le informazioni devono essere reperibili in un unico luogo o in un documento completo e si premura di allegare un modello di informativa, non vincolante, ma di sicuro supporto per l’espletamento dell’obbligo informativo del titolare.
Raccolta dati presso l’interessato
In occasione dell’iscrizione sul portale web di una agenzia e al momento della raccolta dei dati (più precisamente prima della stessa) l’agenzia mette a disposizione dell’interessato un link all’informativa sul trattamento.
Raccolta dati a seguito di candidatura spontanea
Nei CV spontaneamente trasmessi dagli interessati non è dovuto il consenso al trattamento dei dati e le informazioni di cui all’art. 13 GDPR devono essere fornite al momento del primo contatto utile.
Raccolta dati presso terzi
Le agenzie possono avvalersi di informazioni pubbliche inerenti al profilo on line degli interessati solo se disponibili su social network di natura professionale, deve quindi ritenersi, per deduzione, esclusa ogni altra informazione pubblica eventualmente reperibile su social o siti generalisti.
Decisioni basate unicamente sul trattamento automatizzato
Il codice ribadisce la possibilità per le agenzie di effettuare i trattamenti automatizzati ove ciò sia necessario per lo svolgimento delle proprie attività ovvero previo consenso dell’interessato e valutazione d’impatto.
Devono, in ogni caso, essere adottate alcune misure di garanzia come ad esempio l’intervento umano e la possibilità per l’interessato di esprimere la propria opinione o contestare la decisione.
Organismo di Monitoraggio
L’organismo di monitoraggio, accreditato dal Garante con lo stesso provvedimento di approvazione del codice, è esterno all’organizzazione di Assolavoro. E’ composto da tre membri che devono avere riconosciuta esperienza giuridica e informatica in materia di tutela dei dati personali e approfondita conoscenza nello svolgimento di compiti di vigilanza.
L’organismo è dotato delle caratteristiche di onorabilità, indipendenza e imparzialità, come previsto dall’art. 41 GDPR e dall’All. 1 al provv. n. 98 del 10 giugno 2020 [9432569] del Garante, resta in carica per un periodo massimo di 5 anni, non rinnovabile.
Ha il compito di verificare la sussistenza dei requisiti necessari per l’adesione al codice e dell’assenza di circostanze ostative.
È altresì preposto alla ricezione, gestione e decisione dei reclami.
Nei confronti delle agenzie inadempienti, ad esito del procedimento di reclamo, l’organismo, in base alla gravità della violazione riscontrata, potrà adottare un invito a modificare la condotta, un richiamo formale, la sospensione temporanea o l’esclusione dal codice.