In data 29 luglio 2019, l’Autorità Garante per la protezione dei dati personali ha pubblicato sulla Gazzetta Ufficiale le prescrizioni relative al trattamento di categorie particolari di dati, così come previsto dall’art. 21, comma I del D.Lgs. 101/2018.
Il provvedimento in esame, emanato a conclusione della consultazione pubblica avviata nel dicembre 2018 e che riprende le autorizzazioni generali emanate nel 2016 dal Garante, contiene vari obblighi nei confronti dei Titolari del trattamento sul trattamento delle categorie particolari di dati ex. art. 9 del GDPR.
Le prescrizioni contenute nel provvedimento in esame sono le seguenti:
- trattamento di categorie particolari di dati nei rapporti di lavoro
- trattamento di categorie particolari di dati da parte degli organismi di tipo associativo, delle fondazioni, delle chiese e associazioni o comunità religiose;
- trattamento di categorie particolari di dati da parte degli investigatori privati;
- trattamento dei dati genetici;
- trattamento dei dati personali effettuato per scopi di ricerca.
In linea generale il provvedimento prevede che il trattamento delle categorie particolari di dati sia lecito solo a condizione che vi siano determinati presupposti; di seguito una breve disamina dei punti toccati dalle prescrizioni.
Nei rapporti di lavoro si ribadisce come categorie particolari di dati, quali l’associazione sindacale o la fede religiosa del dipendente, debbano essere trattate dal datore di lavoro solo ed esclusivamente in casi eccezionali. Nondimeno, si prescrive un divieto generale per il datore di lavoro di trattare dati genetici dell’interessato per stabilirne l’idoneità professionale. In relazione al trattamento di dati relativi alla salute del candidato, qualora non strettamente necessario, il datore di lavoro deve astenersi da qualsiasi trattamento dei suddetti dati.
In relazione alle prescrizioni per gli investigatori privati, l’Autorità Garante legittima tale tipo di trattamento solo ed esclusivamente in caso di conferimento di formale incarico, escludendo quindi che l’investigatore privato possa intraprendere di propria iniziativa qualsiasi attività concernente un trattamento di dati particolari.
Particolare attenzione anche nei confronti del trattamento dei dati genetici, ove il Garante ribadisce l’importanza per i Titolari del trattamento di adottare misure di sicurezza tecniche ed organizzative idonee ed adeguate a tale tipo di dato, ritenuto sempre più oggetto di maggiore tutela. Le prescrizioni in esame possono essere considerate una rielaborazione più puntuale dell’autorizzazione generale n. 8/2016.
In materia di ricerca scientifica, il provvedimento afferma come non sia sempre richiesto un consenso agli interessati qualora la suddetta ricerca sia effettuata sulla base di disposizioni di legge nazionale o europea.
Il provvedimento conclude revocando ogni efficacia alle autorizzazioni nn. 2/2016, 4/2016, 5/2016 (riguardanti rispettivamente il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale, il trattamento dei dati sensibili da parte dei liberi professionisti e il trattamento dei dati sensibili da parte di diverse categorie di titolari) in quanto incompatibili con il quadro normativo del GDPR.