Frequentemente capita che le Società farmaceutiche chiedano agli informatori scientifici neoassunti di voler produrre il certificato giudiziale. Tale richiesta è legittima?

No, in base alla normativa privacy non sussistono i presupposti per richiedere agli Informatori neoassunti la produzione del certificato del casellario giudiziale.

È, invece, possibile per le società richiedere ai candidati di sottoscrivere una dichiarazione sostitutiva circoscritta ai reati rilevanti per quella specifica figura professionale.

Sul punto si ricorda che l’art. 10 del Regolamento 2016/679/UE (“GDPR”) stabilisce che il trattamento dei dati personali di terzi relativi ai reati commessi e alle condanne riportate può avvenire solo se:

–       vi è il controllo della pubblica autorità;

–       il trattamento è autorizzato da una norma di diritto interno;

–       il diritto UE o degli Stati membri che autorizza il trattamento prevede garanzie appropriate per i diritti e le libertà degli interessati.

Tale previsione nel diritto italiano è altresì richiamata dall’art. 2 octies d.lgs. n. 196/2003, introdotto dal d.lgs. n. 101/2018, che:

1. richiama l’art. 10 GDPR;
2. stabilisce che in assenza delle disposizioni di legge o di regolamento richieste ex art. 10 GDPR, i trattamenti di tali dati, nonché le garanzie richieste debbano essere individuati con decreto del Ministro della Giustizia, previo parere del Garante;
3. consente il trattamento dei dati giudiziari anche in materia di diritto di lavoro o comunque nell’ambito dei rapporti di lavoro, solo se autorizzato da una norma di legge o da un regolamento.

La normativa nazionale che legittima il trattamento dei dati giudiziari nei rapporti di lavoro, allo stato, può essere rinvenuta nel combinato disposto degli artt. 8 l. n. 300/1970 (Statuto dei Lavoratori) e 10 d.lgs. n. 276/2003 (Legge Biagi), concepito quale strumento di tutela preventiva contro le incursioni del datore di lavoro nella sfera privata del prestatore.

Tale assetto normativo si interseca necessariamente con quello privacy, trattandosi in ogni caso di raccolta e trattamento dati. Più precisamente, i diversi piani normativi coinvolti si pongono in un rapporto di complementarità, grazie al quale la normativa privacy assume valore di norma generale, alla quale la regolamentazione settoriale deve conformarsi.

Una simile interpretazione pare confermata dall’ art. 113 Codice Privacy, che ha espressamente fatto salva l’operatività della norma di cui all’art. 8 dello Statuto dei Lavoratori e all’ art. 10 d.lgs. n. 276/2003. In tal modo, il legislatore ha voluto mantenere integra l’operatività dell’art. 8 S.L. e dell’art. 10 della Legge Biagi evitando dunque conflitti tra questi e la normativa privacy, che ne avrebbero potuto compromettere l’applicabilità.

Principio di proporzionalità e di minimizzazione

Alla luce del combinato disposto dei menzionati articoli, dunque, emerge che i dati giudiziari possono essere raccolti dal datore di lavoro, purché rilevanti per la valutazione dell’attitudine professionale del lavoratore e comunque nel rispetto della normativa privacy.

Dunque, i dati possono essere trattati, ma nel rispetto del principio di proporzionalità di cui all’art. 4 GDPR, per il quale rileva il rapporto tra la peculiare responsabilità affidata al lavoratore e i rischi connessi a uno svolgimento scorretto della prestazione.

Secondariamente, nel rispetto del principio di minimizzazione del trattamento, i dati raccolti dovranno essere circoscritti a quelle categorie di reati e condanne individuati come ostativi ai fini dell’assunzione per quelle specifiche mansioni, individuando le sole fattispecie effettivamente espressive di una condotta o di una personalità pericolose rispetto al contesto lavorativo.

Entrambi i parametri sopra menzionati poi, risultano altresì idonei a specificare il significato della locuzione “purché rilevanti per la valutazione dell’attitudine professionale del lavoratore”, integrando e completando dunque le disposizioni di settore.

Il garante della privacy

Una simile interpretazione viene altresì confermata dal Garante del Privacy, il quale con Provvedimento del 16.12.2021 si riferisce espressamente proprio ai criteri di proporzionalità e circoscrizione (Audizione del Presidente del Garante per la protezione dei dati personali nell’ambito della proposta di legge C. 1779 Paolo Russo e C. 1782 Molinari).

Attraverso tali misure, dunque, il trattamento così effettuato può considerarsi legittimo ai sensi dell’art. 10 GDPR e dell’art. 2 octies d.lgs. n. 196/2003, poiché basato su una disposizione di legge e dotato delle garanzie appropriate per i diritti e le libertà degli interessati.

Infine, si precisa che il trattamento di dati giudiziari eccedente i limiti di proporzionalità e circoscrizione non possa essere considerato legittimo neppure a fronte del consenso prestato dall’interessato, così come specificato dal Gruppo di lavoro articolo 29 nel parere 2/2017, in quanto mai considerabile quale manifestazione di volontà libera in seno a un rapporto di lavoro.

Note conclusive

Alla luce del quadro normativo di riferimento di cui sopra, si deve quindi concludere che non appare lecita la raccolta dei dati rinvenibili nel casellario giudiziale degli Informatori in modo indiscriminato, in quanto tali informazioni:

• potrebbero attestare la sussistenza di fattispecie delittuose non rilevanti al fine della valutazione del rischio connesso alla mansione;
• in tal caso, verrebbero trattati dati per cui non vi è nessun interesse da parte del datore di lavoro a conoscerli.

Tali criticità non potrebbero neppure essere superate con il consenso dell’interessato, poiché esso non è a tal fine ritenuto sufficiente.

Appare invece maggiormente conforme ai principi di proporzionalità e minimizzazione la richiesta di sottoscrivere una dichiarazione sostitutiva da far compilare al soggetto, avente i seguenti requisiti:

• che sia circoscritta alle fattispecie delittuose che effettivamente potrebbero influire sullo svolgimento della specifica mansione, evitando un modello generico per tutte le mansioni;
• che sia proposta ai soli candidati/prestatori la cui mansione effettivamente può essere posta a rischio dalla commissione di una o più precise fattispecie delittuose.

Si precisa inoltre che la Società dovrà consegnare agli interessati, al momento della raccolta dei dati, un’adeguata informativa per la quale chiedere relativo consenso per raccolta ed eventuale trasferimento a terzi, che tenga comunque nella debita considerazione tutti gli aspetti sino ad ora evidenziati.