Senza la nomina Data Processor il dipendente può essere sospeso
Il dipendente che non firma per accettazione la nomina di Data Processor come incaricato privacy può essere sospeso dal lavoro e dalla retribuzione
Il Tribunale di Udine, con l’ordinanza del 2 agosto 2024 (causa n. 504/2024), ha affrontato una questione di grande rilievo in materia di rapporto tra privacy e lavoro, stabilendo che la mancata accettazione da parte di un dipendente della nomina a “incaricato privacy” può legittimare la sospensione dal servizio e dalla retribuzione. Il caso specifico riguardava una dipendente di una società, con mansioni di caposquadra portalettere, che si è rifiutata di firmare la lettera con cui l’azienda, in attuazione del Regolamento Generale sulla Protezione dei Dati (GDPR, Regolamento UE n. 2016/679), la designava come autorizzata al trattamento dei dati personali. Oltre a non firmare, la lavoratrice ha espresso il proprio dissenso al trattamento di dati sensibili per ragioni di servizio, chiedendo di essere adibita a mansioni diverse.
In risposta a tale comportamento, l’azienda ha sospeso la dipendente sia dal servizio che dalla retribuzione. La lavoratrice, dal canto suo, ha intrapreso una causa per chiedere la sospensione delle sanzioni, ma il Tribunale ha rigettato la sua istanza, ritenendo legittima la decisione dell’azienda. La motivazione principale risiede nel fatto che la mancata accettazione della nomina privacy ha reso impossibile per la dipendente svolgere il proprio lavoro, il quale implicava necessariamente il trattamento di dati personali di terzi. La nomina ad autorizzato al trattamento dei dati personali, secondo il giudice, richiede l’accettazione da parte del dipendente, poiché senza tale accettazione la nomina non produce effetti concreti.
Il tribunale ha inoltre sottolineato come, nel caso specifico, la lavoratrice avesse esplicitamente dichiarato di non voler trattare dati personali, il che ha reso impossibile il suo inserimento in altre mansioni all’interno dell’ufficio postale. Tale rifiuto è stato interpretato dal giudice come un rifiuto di svolgere il proprio lavoro, aprendo così la strada alle legittime sanzioni disciplinari da parte del datore di lavoro.
Il giudice ha anche affrontato una questione di carattere più generale: la forma e la modalità di autorizzazione al trattamento dei dati personali. La normativa in materia di privacy, infatti, non richiede esplicitamente che l’autorizzazione al trattamento dei dati debba essere sempre individuale e firmata per accettazione. L’articolo 2-quaterdecies del Codice della Privacy (D.Lgs. 196/2003) concede alle imprese una certa flessibilità nel determinare le modalità più opportune per autorizzare i propri dipendenti al trattamento dei dati personali. Questo può includere, ad esempio, atti di designazione impersonali per aree o settori organizzativi, piuttosto che nomine individuali.
Dal punto di vista sostanziale, rifiutare di trattare dati personali equivale, in molti casi, a rifiutarsi di svolgere la propria attività lavorativa, dal momento che la gestione dei dati è parte integrante della maggior parte delle mansioni lavorative. La nomina privacy, quindi, non rappresenta altro che una specificazione degli obblighi già accettati dal lavoratore nel momento in cui firma il contratto di lavoro subordinato. Pertanto, un dipendente che rifiuti la designazione privacy si sta, di fatto, rifiutando di lavorare, aprendo la strada a misure disciplinari come la sospensione dal servizio e dalla retribuzione.
Il Tribunale di Udine ha inoltre osservato che è importante che, al momento dell’assunzione, vengano chiarite le conseguenze derivanti dalla normativa sulla privacy, per evitare fraintendimenti. Ad esempio, potrebbe nascere la convinzione che la nomina ad autorizzato al trattamento dei dati comporti un diritto a una retribuzione aggiuntiva, cosa che non è prevista dalla legge.
D’altro canto, l’accettazione da parte del lavoratore della nomina a incaricato privacy potrebbe essere vista come forzata, a causa della posizione di subordinazione del dipendente rispetto al datore di lavoro. Tuttavia, l’ordinanza del Tribunale di Udine è condivisibile nella parte in cui riconosce la correttezza delle sanzioni imposte dal datore di lavoro in seguito al rifiuto della nomina privacy, considerando tale rifiuto come un rifiuto a prestare servizio. È tuttavia legittimo autorizzare i dipendenti al trattamento dei dati attraverso forme diverse dalla nomina individuale, come la designazione per gruppi o settori organizzativi.