Newsletter 22 - 28 aprile 2002

• Annunci di lavoro.Il Garante contesta violazioni della privacy
• I Garanti europei alla conferenza di Bonn
• Negli Usa una legge federale sulla privacy

Annunci di lavoro. Il Garante contesta violazioni della privacy

Sono ventidue le società di selezione o ricerca di personale, società di lavoro temporaneo e società di intermediazione nei confronti delle quali il Garante ha avviato altrettanti procedimenti per l’applicazione di sanzioni amministrative. Motivo: carenza di trasparenza e correttezza nei confronti dei candidati. Le società non hanno infatti informato i cittadini, che hanno inviato i loro curricula, dell’uso che esse avrebbero fatto dei dati personali raccolti, violando in tal modo norme specifiche della legge sulla privacy.

Non è la prima volta che l’Autorità si occupa del settore della selezione e ricerca del personale e del trattamento dei dati raccolti tramite coupon, annunci ed offerte di lavoro pubblicati su quotidiani e periodici.

Già nel 1998, infatti, l’Autorità aveva riscontrato la mancanza delle necessarie informative previste dalla legge sulla privacy e l’invalidità del consenso al trattamento dei dati che veniva richiesto di esprimere contestualmente all’invio dei curricula.

Questo nuovo intervento è stato determinato, oltre che da un successivo monitoraggio effettuato su recenti annunci pubblicati su quotidiani e periodici, anche da segnalazioni di cittadini che lamentavano l’assenza negli annunci di idonee indicazioni sulle modalità con le quali venivano utilizzati i dati contenuti nei curricula e sui tempi della loro conservazione. I cittadini hanno anche espresso la loro preoccupazione sulla possibile divulgazione a terzi dei dati e il loro eventuale utilizzo per scopi ulteriori o diversi rispetto alla sola selezione del personale (ad esempio, per promuovere corsi di formazione a pagamento).

Gli annunci di lavoro per i quali è in corso la contestazione della violazione della legge sulla privacy non recano anzitutto una idonea informativa: oltre a non essere spesso indicata l’identità del titolare della banca dati, mancano informazioni sulle modalità con le quali vengono utilizzati i dati e gli eventuali scopi ulteriori per i quali vengono raccolti, non viene chiarito se il conferimento dei dati è obbligatorio o facoltativo, non viene specificato se i dati vengono divulgati a terzi (non è quindi indicato nemmeno l’eventuale società per conto della quale viene svolta la selezione o la ricerca del personale), mancano indicazioni sui diritti di accesso ai dati, al loro aggiornamento, rettifica, cancellazione e opposizione al loro successivo utilizzo per altri scopi, così come non viene indicata la persona cui rivolgersi per esercitare tali diritti.

Gli annunci, nella maggioranza dei casi esaminati, contengono solo un mero invito nei confronti dei candidati interessati a rilasciare, nel curriculum o nei documenti che intendono inviare, un generico consenso al trattamento dei dati personali, oltretutto con formule improprie (come "autorizzazione ai sensi della legge n. 675/1996").

Consenso che, peraltro, non è affatto necessario se le società trattano dati personali comuni, e non li mettono a disposizione di terzi (per scopi diversi dall’esecuzione di obblighi contrattuali). Il consenso è, invece, obbligatorio se nei curricula sono contenute informazioni a carattere sensibile (ad esempio, appartenenza a particolare categorie protette).

Queste prassi, ha osservato l’Autorità, non sono conformi alla legge n. 675/1996 perché il rispetto dei principi di lealtà e correttezza del trattamento impongono che i candidati siano chiaramente informati, al momento della pubblicazione degli annunci, sulle modalità e sull’uso che verrà fatto dei dati personali richiesti. Le società devono, in sostanza, consentire una scelta libera e consapevole da parte dei candidati e acquisire, quando necessario, un consenso specifico.

Per quanto riguarda i curricula inviati spontaneamente da soggetti in cerca di lavoro, il problema dell’informativa potrà essere risolto adeguatamente anche attraverso le disposizioni che saranno contenute nel codice di deontologia relativo alla gestione del rapporto di lavoro. Il Garante ha invitato, comunque, le società a fornire l’informativa e a richiedere l’eventuale consenso in caso di successivo utilizzo dei dati contenuti nei curricula ricevuti.

L’Autorità ha, infine, indicato alle categorie interessate un possibile schema di informativa (riproducibile nell’annuncio di lavoro, con l’indicazione anche di formule-tipo) ed è in procinto di avviare forme di collaborazione con i vari enti, organismi ed associazioni del settore per individuare soluzioni operative che favoriscano un più ampio rispetto della legge sulla privacy e un’omogeneità nei comportamenti degli operatori, anche in vista del ricordato codice di deontologia.

I Garanti europei alla conferenza di Bonn

Si è svolta a Bonn, il 25 e 26 aprile, l’annuale Conferenza di primavera delle Autorità europee per la protezione dei dati personali. Presenti 20 paesi, per il Garante italiano hanno partecipato ai lavori il presidente Stefano Rodotà, i componenti Gaetano Rasi e Mauro Paissan e il segretario generale Giovanni Buttarelli.

La sessione d’apertura è stata dedicata alle conseguenze dei tragici eventi dell’11 settembre 2001: nuove norme sulla sicurezza e diritti dei cittadini alla protezione dei dati personali, un rapporto delicato. In nessun paese europeo, è stato comunque ribadito, le garanzie dei cittadini sono state travolte in nome delle maggiori esigenze della sicurezza nazionale, pur essendo stato ovunque molto forte l’impatto anche emotivo degli attentati terroristici.

Il dibattito della Conferenza di Bonn ha poi investito il tema delle procedure di identificazione biometrica, un settore in notevole sviluppo anche dal punto di vista tecnologico. L’identità personale è sempre più ricostruibile dalle impronte digitali, dai punti di riferimento facciali, dall’odore, dagli occhi, dal portamento e così via.

Tutto ciò comporta, ovviamente, problemi assai seri di intrusione nella sfera personale e di raccolta e conservazione di tali dati. Un argomento, questo, che è all’esame di tutte le Autorità garanti.

Altri temi discussi a Bonn: la collaborazione con i paesi dell’est, i programmi di informatizzazione della pubblica amministrazione, i processi di certificazione della politica della privacy di imprese e altri soggetti. E’ stata infine annunciata la costituzione a Berlino dell’Accademia europea per la libertà di informazione e la protezione dei dati.

Nel 2003 la Conferenza di primavera delle Autorità europee si terrà in Spagna.

Negli Usa una legge federale sulla privacy
(da un articolo di Bara Vaida su TechnologyDaily del 10 aprile 2002)

Nel corso di un’audizione dinanzi al Congresso, lo scorso 10 aprile, il presidente della Federal Trade Commission degli USA, Timothy Muris, ha dichiarato di non escludere l’opportunità di una legge federale sulla privacy - purché si tratti di una legge che contenga disposizioni specifiche rispetto a determinati settori.

La Federal Trade Commission è competente, fra l’altro, per l’applicazione negli USA dell’accordo di Safe Harbor raggiunto lo scorso anno con l’Unione Europea. Muris ritiene che sia opportuno introdurre norme federali per combattere reati come il furto di identità; tuttavia, resta contrario a leggi che, sul modello della direttiva UE, contengano disposizioni generali in materia di informativa e consenso del consumatore soprattutto se riferite ad Internet e commercio elettronico.

Muris ha negato di essere contrario ad un inasprimento della normativa in materia di privacy, ma ha sottolineato che, dal punto di vista della FTC, è preferibile concentrarsi sull’applicazione delle norme e dei regolamenti esistenti. Per questo ha chiesto un aumento dello stanziamento di bilancio pari a oltre 20 milioni di dollari per il 2003, in particolare allo scopo di migliorare l’attuazione delle disposizioni contenute nel Gramm-Leach-Bliley Act che regolamenta la privacy nelle transazioni finanziarie e bancarie.

La FTC intende proseguire con particolare vigore la lotta alla pornografia online e la campagna di sensibilizzazione dei consumatori. Muris ha annunciato la prossima pubblicazione di un rapporto sullo stato di attuazione negli USA della legge che tutela i minori rispetto all’uso di Internet (Children’s Online Privacy Protection Act).