GDPR: obbligo di protezione per i dati sindacali

Il datore di lavoro non può comunicare ad una organizzazione sindacale la nuova sigla alla quale ha aderito un suo ex iscritto.

È quanto emerge dal contenuto della Newsletter n. 447 del Garante delle Privacy resa nota in data 7 dicembre 2018.

Più in particolare, il Garante si è espresso in materia di protezione dei dati riguardanti i lavoratori iscritti ad un’organizzazione sindacale: si tratterebbe, in tal caso, di dati sensibili, atteso che ineriscono una libera ed autonoma scelta fatta dello stesso lavoratore.

Inoltre, il Garante ha fornito indicazioni circa le modalità di comunicazione degli iscritti al sindacato da parte del datore di lavoro.

La vicenda prende origine dal reclamo presentato da alcuni dipendenti di una Azienda socio-sanitaria territoriale che si erano rivolti all’Autorità affinché valutasse la correttezza del datore di lavoro nel trattamento dei loro dati sensibili, quale è - appunto - l’appartenenza sindacale.

In pratica, il datore di lavoro ha inviato a tutti i componenti della sigla sindacale una e-mail cui erano allegati dei documenti nei quali era espressamente indicata l’iscrizione dei lavoratori che avevano aderito ad un altro sindacato.

Per giustificare tale comportamento, l’Azienda ha affermato di aver ritenuto necessario informare la Rappresentanza sindacale della variazione per evitare il rischio che senza questa comunicazione l’organismo avrebbe continuato ad operare in una composizione non più aderente alla realtà, con inevitabili ricadute sulla validità della contrattazione aziendale.

In merito alla questione sollevata, l’Autorità ha espresso quanto segue:

Le informazioni sull’adesione sindacale rientrano nella categoria dei dati sensibili ai quali la disciplina di protezione dei dati riconosce particolari forme di tutela. Il datore di lavoro può lecitamente trattarli in base alla legge per adempiere agli obblighi derivanti dal rapporto di lavoro, ad esempio per effettuare il versamento delle quote di iscrizione ad associazioni o organizzazioni sindacali su delega e per conto del dipendente. In questo caso invece l’amministrazione non si è limitata a comunicare alla Rappresentanza sindacale la revoca dell’affiliazione di alcuni lavoratori, ma ha inviato a tutti i componenti della sigla sindacale una e-mail cui erano allegati dei documenti nei quali era espressamente indicata l’iscrizione dei lavoratori che avevano aderito ad un altro sindacato. Ciò ha determinato una illecita comunicazione di dati personali sensibili dei reclamanti.

Secondo il Garante della privacy, dunque, il datore di lavoro avrebbe dovuto limitarsi a comunicare la sola scelta del lavoratore di non aderire più alla precedente sigla sindacale, nulla più.

A conclusione dell’istruttoria, sulla base di dette considerazioni, il Garante ha ritenuto che dalla valutazione degli elementi acquisiti la condotta dell’Azienda, pur difforme dalla disciplina applicabile, abbia esaurito i suoi effetti e non sussistono quindi i presupposti per promuovere l’adozione di un provvedimento prescrittivo o inibitorio.

Tuttavia, l’Autorità si è riservata di avviare un autonomo procedimento per valutare la contestazione di una eventuale violazione amministrativa per l’illecita comunicazione dei dati sindacali.