IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;
VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");
VISTA la nota del 7 novembre 2014 dell'Istituto nazionale della previdenza sociale (INPS), con la quale si sottopongono al Garante uno schema di convenzione e un correlato schema di nomina dell'INPS quale responsabile esterno del trattamento;
ESAMINATA la documentazione in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
RELATORE la dott.ssa Augusta Iannini;
PREMESSO
1.1. Con il quesito contenuto nella comunicazione del 7 novembre 2014, prot. n. 31896, è stato richiesto al Garante di formulare il proprio avviso con riguardo allo schema di convenzione tra l'Istituto nazionale della previdenza sociale (INPS) e Confindustria, CGIL, CISL e UIL "per l'attività di raccolta ed elaborazione dati relativi alla rappresentanza delle organizzazioni sindacali per la contrattazione collettiva nazionale di categoria" e il correlato schema di nomina dell'INPS quale responsabile esterno del trattamento.
Tali atti costituiscono attuazione di quanto previsto dall'Accordo interconfederale del 28 giugno 2011 in materia di rappresentatività delle organizzazioni sindacali dei lavoratori, dal Protocollo d'intesa del 31 maggio 2013 e, da ultimo, dall'Accordo del 10 gennaio 2014 denominato "Testo unico sulla rappresentanza".
1.2. Lo schema di convenzione sopra menzionato concerne l'implementazione di "un servizio avente ad oggetto [il trattamento] dei dati relativi all'appartenenza del singolo lavoratore all'organizzazione sindacale di categoria cui ha conferito la delega" che sarebbe erogato dall'INPS al fine di pervenire alla "determinazione della rappresentanza delle organizzazioni interessate" (cfr. nota del 7.11.2014, cit.).
In particolare, secondo lo schema di convenzione "ciascun datore di lavoro, attraverso il modulo Uniemens, indicherà nell'apposita sezione, il codice del contratto collettivo nazionale di lavoro applicato a ciascun lavoratore [e] il codice della federazione di categoria cui il lavoratore aderisce […]" (art. 2 schema convenzione, cit.). Sulla base di tali indicazioni l'INPS dovrebbe provvedere, poi, all'aggregazione del dato relativo "alle deleghe raccolte da ciascuna organizzazione sindacale di categoria relativamente al periodo gennaio-dicembre di ogni anno" e alla trasmissione dei dati così elaborati al CNEL (artt. 3 e 4, schema convenzione, cit.). L'INPS svolgerebbe, pertanto, un servizio di raccolta, elaborazione su base annuale e comunicazione al CNEL del numero delle deleghe sindacali relative a ciascun ambito di applicazione dei contratti collettivi nazionali di lavoro riferibili all'area di rappresentanza di Confindustria (art. 1, schema convenzione, cit.).
1.3. Da queste previsioni della convenzione emerge che ciascun datore di lavoro, in concreto, deve indicare all'INPS per ciascun lavoratore, attraverso il modulo Uniemens, oltre al nome e cognome, anche il sindacato di iscrizione, individuato attraverso il relativo codice.
2.1. Deve rilevarsi che al trattamento dei dati personali in esame – di natura sensibile ai sensi dell'art. 4, comma 1, lett. d), del Codice, atteso che "il codice della federazione di categoria cui il lavoratore aderisce" (art. 2 schema convenzione, cit.) costituisce informazione idonea a rivelare l'adesione sindacale dell'interessato – trovano anzitutto applicazione gli artt. 3, 11 e 26 del Codice.
In via generale, il trattamento dei dati sensibili − che devono essere strettamente necessari ed indispensabili rispetto agli scopi perseguiti (art. 3 e 11 del Codice) − può essere lecitamente effettuato da parte dei soggetti privati e degli enti pubblici economici "solo con il consenso scritto dell'interessato e previa autorizzazione del Garante, nell'osservanza dei presupposti e dei limiti stabiliti" dal Codice, "nonché dalla legge e dai regolamenti" (art. 26, comma 1, del Codice) ovvero "anche senza consenso, previa autorizzazione del Garante" (nei casi previsti dall'art. 26, comma 4, del Codice).
2.2. I dati idonei a rivelare l'adesione all'associazione sindacale di ogni singolo lavoratore sono conosciuti da parte del datore di lavoro al fine di effettuare le trattenute per il versamento delle quote di iscrizione ad associazioni od organizzazioni sindacali nell'ambito della gestione del rapporto con il lavoratore e per tale finalità sono lecitamente trattati (cfr. art. 26, l. 20 maggio 1970, n. 300; sul punto, da ultimo con riguardo al versamento dei contributi anche a favore delle organizzazioni sindacali non firmatarie di CCNL, Cass. civ., 7 marzo 2012, n. 3546, che ha riconosciuto la liceità delle cessioni parziali di crediti retributivi ai fini di contribuzione sindacale; Autorizzazione al trattamento dei dati sensibili nei rapporti di lavoro n. 1/2014, punto 4), lett. b).
2.3. La diversa finalità di "misura e certificazione della rappresentanza [delle organizzazioni sindacali] ai fini della contrattazione collettiva nazionale di categoria" (cfr. "Testo unico sulla rappresentanza", Parte prima, cit.; sul punto v. anche C. Cost. n. 231/2013 in merito all'art. 19 l. n. 300/70), che mediante lo schema di convenzione si intende perseguire, non può farsi rientrare tra quelle per le quali è consentito al datore di lavoro di effettuare il trattamento di informazioni di natura sensibile anche senza il consenso dell'interessato, previa autorizzazione del Garante, in quanto tale finalità esula dalla gestione del rapporto di lavoro (art. 26, comma 4, lett. d) del Codice; v. anche art. 11, comma 1, lett. b) del Codice).
In particolare, ai fini dell'applicazione dell'art. 26, comma 4, lett. d) del Codice, rilevano solo quegli adempimenti, posti dalla normativa in materia sindacale, che siano strettamente correlati alla gestione del singolo rapporto di lavoro - come nel caso indicato del versamento delle quote associative all'organizzazione sindacale da parte del lavoratore che a tal fine conferisce delega al datore di lavoro -, mentre esulano da tale fattispecie gli adempimenti funzionali alla generale e complessiva attività delle organizzazioni sindacali.
Anche l'Autorizzazione n. 1/2014 laddove consente trattamenti indispensabili ai fini dell'applicazione della normativa in materia sindacale in applicazione di quanto previsto dall'art. 26, comma 4, lett. d) del Codice, che ne costituisce la base normativa, va intesa nel senso che sono autorizzati solo adempimenti strettamente inerenti alla gestione del singolo rapporto lavorativo.
2.4. Va, inoltre, considerato in termini generali il principio di necessità, che impone di configurare i sistemi informativi e i programmi informatici "riducendo al minimo l'utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l'interessato solo in caso di necessità" (art. 3 del Codice).
Nel caso di specie, allo stato degli atti deve ritenersi che la finalità di accertamento e misurazione della rappresentatività possa essere parimenti perseguita mediante dati numerici, non nominativi, ossia attraverso la rilevazione del mero numero delle deleghe riferite a ciascuna sigla sindacale.
In proposito, si osserva che nel diverso settore del pubblico impiego le modalità di accertamento della rappresentatività delle organizzazioni sindacali non comportano la raccolta presso le pubbliche amministrazioni, che agiscono in qualità di datori di lavoro, di dati sensibili idonei a rivelare l'adesione sindacale dei singoli lavoratori che hanno rilasciato delega (art. 43 d. lg. 30 marzo 2001, n. 165).
3. Pertanto al trattamento di dati personali disciplinati dallo schema di convenzione non può trovare applicazione la citata Autorizzazione n. 1/2014, resa ai sensi degli artt. 40 e 41 comma 5 e 26, comma 4, lett. d), con la quale il Garante ha autorizzato, fissando prescrizioni a garanzia degli interessati, il trattamento dei dati sensibili, finalizzato alla gestione dei rapporti di lavoro.
4. Per quanto riguarda, infine, il ruolo assunto dall'Inps, deve rilevarsi che esso potrà trattare, in conformità alle indicazioni sopra evidenziate, i soli dati numerici relativi al numero delle deleghe riferite a ciascuna sigla sindacale.
TUTTO CIO' PREMESSO
il Garante, con riferimento allo schema di convenzione stipulato tra l'Istituto nazionale della previdenza sociale (INPS) e Confindustria, CGIL, CISL e UIL "per l'attività di raccolta ed elaborazione dati relativi alla rappresentanza delle organizzazioni sindacali per la contrattazione collettiva nazionale di categoria" e il correlato schema di nomina dell'INPS quale responsabile esterno del trattamento, ravvisa la non conformità del trattamento di dati personali previsto dallo schema di convenzione agli artt. 3, 11, 26 del Codice nei termini di cui in motivazione.
Roma, 18 dicembre 2014
FONTE GARANTE PRIVACY
