Il rifiuto a sottoscrivere la lettera di autorizzazione al trattamento equivale a non poter trattare alcun dato e, di conseguenza, non poter svolgere il lavoro per cui si è assunti: in caso contrario, i dati degli interessati verrebbero trattati in nome del titolare da persone non autorizzate.
L’ “incaricato” o “autorizzato al trattamento” è quel soggetto persona fisica che, dietro apposita autorizzazione, effettua materialmente le operazioni di trattamento sui dati personali sotto la diretta autorità del Titolare del trattamento e del Responsabile del trattamento.
Rispetto a quanto previsto dall’abrogato art. 4, comma 1, lett.h) del D.Lgs. 196/2003 (Codice Privacy) che identificava gli incaricati al trattamento come “le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile”, il GDPR non prevede espressamente un preciso inquadramento formale di tale figura ma all’art. 4 n. 10 GDPR fa riferimento a “persone autorizzate al trattamento dei dati sotto l’autorità diretta del Titolare o del Responsabile”.
Per quanto riguarda la forma delle autorizzazioni ad incaricato del trattamento, il Regolamento non prescrive in maniera tassativa che gli atti di autorizzazione debbano essere sempre individuali (ossia, uno per ciascun dipendente) e firmati per accettazione da parte di ogni singolo lavoratore; la designazione degli autorizzati può, infatti, avvenire anche con unico atto per più persone cioè per aree o settori organizzativi. Ugualmente, non rileva la circostanza che l’incarico sia a pagamento o gratuito. Ciò che il Regolamento prevede all’art. 29 GDPR è che vengano fornite agli autorizzati le istruzioni operative, compresi gli obblighi inerenti le misure di sicurezza e che sia fornita loro la necessaria formazione.
Nella realtà quotidiana capita di imbattersi in episodi dove il datore di lavoro, in qualità di titolare del trattamento, si veda opporre da un proprio dipendente o collaboratore il rifiuto di sottoscrivere la lettera di autorizzazione al trattamento. Talvolta, infatti, viene percepita come un aggravio ingiustificato e non ulteriormente retribuito dei propri carichi di lavoro. Tale prassi è sicuramente riconducibile a una percezione distorta da parte del personale di quelli che sono i propri compiti sotto il profilo del trattamento dati. Questo scenario, tutt’altro che infrequente in svariati contesti di lavoro sia pubblici che privati, evidenzia alcune importanti questioni giuridiche trattate recentemente dal Tribunale di Udine, sezione Lavoro, con l’ordinanza nella causa n. 504/2024 del 2 agosto 2024.
Nel caso di specie, una dipendente di una società con mansioni di caposquadra portalettere è stata sospesa dal servizio e dalla retribuzione per non avere firmato e accettato la lettera con la quale l’impresa l’ha designata come autorizzata al trattamento dei dati personali. La dipendente ha negato espressamente il consenso a trattare dati sensibili altrui per ragioni di servizio e ha chiesto dunque di essere adibita ad altre mansioni. L’impresa ha, tuttavia, sospeso la lavoratrice dal servizio e dalla retribuzione sostenendo che in quell’ufficio postale ogni mansione presuppone un trattamento di dati personali. La dipendente si è dunque rivolta al Tribunale chiedendo, in via di urgenza, la sospensione delle sanzioni ricevute. Il giudice si è pronunciato respingendo le richieste della dipendente ritenendo legittima la sospensione dal servizio e della retribuzione poiché la mancata firma rende impossibile lo svolgimento della prestazione lavorativa che implica nel caso di specie necessariamente il trattamento di dati altrui. Inoltre, il giudice ha dato particolare rilevanza al fatto che la dipendente avesse sottoscritto una dichiarazione in cui si rendeva non disponibile a trattare dati altrui, così facendo si era infatti messa volontariamente nella condizione di non poter svolgere alcun’ altra mansione all’interno di quell’ufficio postale.
Il lavoratore che si rifiuta di sottoscrivere la lettera di autorizzazione al trattamento di dati personali nonostante la propria mansione lo preveda, di fatto sta rifiutando di svolgere il lavoro per cui è stato assunto e ciò comporta sanzioni disciplinari.
Se un dipendente non accetta la designazione ad incaricato del trattamento, il datore di lavoro non può far altro che sospenderlo dal servizio poiché, in caso contrario, i dati degli interessati verrebbero trattati in nome del titolare da persone non autorizzate in violazione del GDPR.
L’atto di autorizzazione al trattamento di dati personali non è altro che una specificazione degli effetti del contratto di lavoro subordinato, già accettato a monte dal lavoratore al momento dell’assunzione. Quindi, il lavoratore nel caso si rifiuti a trattare dati personali sta rifiutando di svolgere le prestazioni lavorative e ciò comporta sanzioni disciplinari. Per questo motivo, è importante che già nell’atto di assunzione vengano specificate quali siano le conseguenze sul rapporto di lavoro derivanti dalla normativa sulla privacy.
Questo articolo ti è stato utile?
Consulta le nostre sezioni dedicate al Regolamento 679/2016 (GDPR) e privacy e al supporto alle stazioni appaltanti. Puoi anche iscriverti alla nostra newsletter e non perdere le notizie più importanti in tema di Appalti, anticorruzione, digitalizzazione della PA e D.Lgs. 231 responsabilità delle persone giuridiche. Non preoccuparti, saremo moderati. Anche noi odiamo lo SPAM.
