Garante per la protezione
    dei dati personali


Attività di ricerca e selezione delpersonale e trattamento dei dati personali

PROVVEDIMENTO DEL 4 APRILE 2013

Registro dei provvedimentin. 162del 4 aprile 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali);

ESAMINATEle risultanze istruttorie degli accertamenti effettuati a seguito dellasegnalazione presentata da XY;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla prof.ssa Licia Califano;

PREMESSO

1. Segnalazione relativa al trattamento di datimediante l'acquisizione di copia del documento d'identità

Consegnalazione del 3 agosto 2012 XY ha lamentato una possibile violazione delladisciplina di protezione dei dati personali in relazione all'acquisizione, daparte della filiale di Ancona di Umana s.p.a., di copia del proprio documentodi identità in occasione dello svolgimento di un "colloquioconoscitivo" effettuato dopo aver inserito i propri dati personali nelsito web della società.

Ilsegnalante ha chiesto a questa Autorità di verificare la liceità del di taletrattamento (cui lo stesso, peraltro, anche in considerazione della propriaposizione di candidato, aveva consentito in occasione del colloquio) alla lucedel principio di pertinenza e non eccedenza di cui all'art. 11, comma 1, lett.d) del Codice.

2. Le risposte della società

2.1.La società, con le note di riscontro presentate in data 6 settembre e 22novembre 2012, ha rappresentato:

a. diessere iscritta nell'Albo informatico delle Agenzie per il lavoro (le cuimodalità di iscrizione sono disciplinate dal decreto 23 dicembre 2003 delMinistero del lavoro e delle politiche sociali);

b. di essere autorizzata (autorizzazione del 13 dicembre 2004, in atti)all'esercizio di tutte le attività di cui all'articolo 4, comma 1, lett. a),d.lg. 10 settembre 2003, n. 276 ("Attuazione delle deleghe in materia dioccupazione e mercato del lavoro, di cui alla legge 14 febbraio 2003, n.30"). Nell'ambito dello svolgimento delle menzionate attività, secondoquanto rappresentato, "la richiesta di copia del documento di identità halo scopo di consentire la verifica della correttezza dei dati anagraficiforniti dal candidato. Tali dati, infatti, in caso di instaurazione di unrapporto di lavoro, devono essere comunicati ad enti e soggetti, anche dinatura pubblica, e la scrivente si trova a dover garantire la correttezza delleinformazioni raccolte" (nota del 6 settembre 2012).

2.2.La società, rispondendo all'ulteriore specifica richiesta formulatadall'Ufficio circa le ragioni che determinerebbero, già in fase di selezionedei candidati, la necessità di acquisire copia del documento di identità (senzalimitarsi alla sua sola esibizione per verificare l'identità del candidato odel lavoratore), ha specificato che "stante l'afflusso di persone in cercadi occupazione [] l'acquisizione del documento di identità in fotocopiapermette di svolgere un più accurato controllo, in un secondo momento,dell'esattezza dei dati trascritti. [] la correttezza dei dati èindispensabile per la preventiva redazione del contratto di lavoro. Infatti, inmolti casi, il candidato viene accompagnato o gli viene richiesto dipresentarsi presso la società utilizzatrice richiedente la somministrazione,anche in orari fuori ufficio []" (cfr. nota del 22 novembre 2012).

3. Liceità, pertinenza e non eccedenza deltrattamento effettuato

3.1La società, in base alla disciplina di settore che ha istituito uno specificoregime autorizzatorio in ordine allo svolgimento delle attività delle c.d.agenzie per il lavoro (cfr. d.lg. n. 276/2003, spec. art. 4), risulta dalladocumentazione in atti, autorizzata a svolgere, tra le altre, l'attività diintermediazione in materia di lavoro (consistente nella "mediazione tradomanda e offerta di lavoro [] comprensiva tra l'altro: della raccolta deicurricula dei potenziali lavoratori; della preselezione e costituzione direlativa banca dati; della promozione e gestione dell'incontro tra domanda eofferta di lavoro; della effettuazione, su richiesta del committente, di tuttele comunicazioni conseguenti alle assunzioni avvenute a seguito della attivitàdi intermediazione; dell'orientamento professionale; della progettazione ederogazione di attività formative finalizzate all'inserimento lavorativo"ex art. 2, comma 1, lett. b), d.lg. n. 276/2003).

Inrelazione allo svolgimento di tale attività, devono ritenersi lecite leoperazioni poste in essere dagli incaricati della società necessarie allacorretta identificazione, a seconda dei casi, dei candidati che ad essa sirivolgono, essendo ciò prodromico e funzionale all'esecuzione delle prestazionifacenti capo alla società. L'identità dell'interessato, ove non già nota, puòquindi essere verificata chiedendo l'esibizione di un documento di identità edeventualmente annotandone gli estremi al fine di provare la diligenteesecuzione della prestazione dovuta.

Pereffettuare tali operazioni di trattamento, che risultano pertinenti e noneccedenti ai sensi dell'art. 11, comma 1, lett. d), del Codice, non è peraltronecessario il consenso dell'interessato, essendo le stesse strumentali ad"eseguire obblighi derivanti da un contratto del quale è partel'interessato o per adempiere, prima della conclusione del contratto, aspecifiche richieste dell'interessato" (art. 24, comma 1, lett. b), delCodice).

3.2.Tanto premesso, deve ritenersi invece eccedente (ai sensi dell'art. 11, comma1, lett. d), del Codice), con riguardo alla vicenda oggetto di segnalazione concernente l'attività diraccolta dei curricula di candidati allo scopo di effettuare una preselezione ecostituire un'apposita banca dati (come previsto in termini generali dallacitata normativa di riferimento) ,l'acquisizione e la successiva conservazione di copia del documento di identitàdell'interessato (senza peraltro che sia previsto un termine massimo diconservazione dello stesso).

Népuò ritenersi sufficiente a legittimare l'acquisizione e la successivaconservazione di copia di documenti identificativi come allegato dalla società la possibilità di riservarsi"un più accurato controllo, in un secondo momento, dell'esattezza dei datitrascritti" (nota del 22 novembre 2012). La qualità dei dati (nel rispettodel principio di pertinenza e non eccedenza) deve infatti essere assicurata,mediante opportune misure organizzative (volte peraltro ad assicurare lacorretta identificazione degli interessati), fin dal momento della raccolta eregistrazione dei dati personali, limitando la raccolta ai soli dati pertinentie prevenendo, in pari tempo, il rischio di smarrimento della documentazioneacquisita in copia. Ciò anche alla luce del numero elevato – stando alledichiarazioni della società circa il sensibile incremento delle persone incerca di occupazione che chiedono di usufruire dei servizi offerti dalla stessa– di copie di documenti di identità, che contengono peraltro anche datipersonali non rilevanti per il conseguimento delle finalità perseguite dallasocietà (si pensi alla fotografia dell'interessato ma, a seconda del documentoin questione, eventualmente anche di ulteriori informazioni quali lecaratteristiche fisiche e lo stato civile).

Aciò si aggiunga che, in considerazione del preoccupante fenomeno del c.d. furtodi identità cheanche nell'ordinamento nazionale ha richiesto l'adozione di apposite misurenormative volte alla sua prevenzione e contrasto (cfr. d.lg. 11 aprile 2011, n.64, Ulteriori modifiche ed integrazioni al decreto legislativo 13 agosto 2010,n. 141, per l'istituzione di un sistema pubblico di prevenzione, sul pianoamministrativo, delle frodi nel settore del credito al consumo, con specificoriferimento al furto d'identità) , lamassima cautela deve imporsi nell'acquisizione di copie di documenti di identità,limitandola ai casi in cui puntuali previsioni normative ne richiedanol'acquisizione – ipotesi la cui ricorrenza, nel caso di specie, non èstata rappresentata dal titolare del trattamento – ovvero ne risultiprovata l'indispensabilità (in questo senso cfr. già, nel contesto bancario,Provv. 27 ottobre 2005).

Taleorientamento, peraltro, trova riscontro nelle puntuali disposizioni normativeche espressamente prevedono, in alcuni specifici contesti, obblighi puntualiper il titolare del trattamento di acquisizione e conservazione di copia deldocumento identificativo (cfr., ad esempio, art. 7, comma 5, D.M. Ministerodello sviluppo economico 28 dicembre-2012, Incentivazione della produzione dienergia termica da fonti rinnovabili ed interventi di efficienza energetica dipiccole dimensioni; art. 7, comma 3, D.Dirett. Ministero delle politicheagricole, alimentari e forestali 27 settembre 2012, Individuazione delleiniziative da attuare per la realizzazione delle attività prioritarie per losviluppo della filiera pesca definite dall'articolo 1 del decreto 19 settembre2012; art. 5, D.M. Ministero dell'economia e delle finanze 20 giugno 2012 n.144, Regolamento concernente le modalità di iscrizione e cancellazione dalRegistro dei revisori legali, in applicazione dell'articolo 6 del decreto legislativo27 gennaio 2010, n. 39, recante attuazione della direttiva 2006/43/CE relativaalle revisioni legali dei conti annuali e dei conti consolidati; artt. 38 comma3 e 45, comma 2, d.P.R. 28 dicembre 2000, n. 445, rispetto alle modalità peridentificare i cittadini da parte di organi della pubblica amministrazione e digestori di pubblici servizi; art. 6, comma 2, d.l. 27 luglio 2005, n. 144,conv. in l. 31 luglio 2005, n. 155, in materia di contrasto del terrorismointernazionale e in riferimento all'identificazione di schede elettroniches.i.m.").

3.3Alla luce di quanto esposto, si ritiene che il trattamento dei dati personaliconsistente nella conservazione di copia del documento identificativo nellosvolgimento delle prestazioni rese dalla società nell'ambito dell'attività diintermediazione in materia di lavoro (oggetto della segnalazione), si ponga inviolazione del principio di pertinenza e non eccedenza rispetto agli scopilegittimamente perseguiti (art. 11, comma 1, lett. d), del Codice). Conseguentemente,ai sensi degli artt. 154, comma 1, lett. d), 144 e 143, comma 1, lett. c), delCodice, il Garante ritiene di doverne vietare l'ulteriore trattamento per lamenzionata finalità, con effetto immediato dalla data di ricezione del presenteprovvedimento.

Siritiene altresì di dover prescrivere alla società, quale misura necessarianell'ambito dello svolgimento dell'attività di ricerca e selezione delpersonale, al fine di rendere il trattamento conforme alle disposizioni vigentiai sensi dell'art. 154, comma 1, lett. c), del Codice, di procedereall'identificazione dei candidati secondo le modalità indicate nel presenteprovvedimento, senza provvedere alla conservazione di documenti identificatividei candidati, in applicazione del principio di pertinenza e non eccedenza dicui all'art. 11, comma 1, lett. d), del Codice.

4. Prescrizioni circa l'informativa da rendere agliinteressati

Deveinfine rilevarsi che, il modello presente in atti predisposto dalla società conil quale viene resa l'informativa agli interessati (denominato"Informativa sulla privacy per i candidati") presenta alcunecontraddizioni in ordine al profilo dei tempi di conservazione dei datitrattati dalla società: mentre, correttamente da un lato si precisa – pursenza indicare un definito intervallo temporale – che "iltrattamento avrà una durata non superiore a quella necessaria agli scopi per iquali i dati sono stati raccolti", in corrispondenza dell'acquisizione delconsenso informato da parte dell'interessato (cfr. punto 2 del modello) ricorreinvece la seguente diversa locuzione: l'interessato "autorizza UMANAs.p.a. ad effettuare il trattamento dei dati fino a quando ritenuto utiledall'azienda []". Tale ultima formulazione non è conforme alla disciplinavigente in materia di protezione dei dati personali, in base alla quale i datipersonali "devono essere conservati per un periodo di tempo non superiorea quello necessario agli scopi per i quali essi sono stati raccolti osuccessivamente trattati" (art. 11, comma 1, lett. e), del Codice).

Pertantoil Garante prescrivere a Umana s.p.a., quale misura necessaria al fine direndere il trattamento conforme alle disposizioni vigenti ai sensi dell'art.154, comma 1, lett. c), del Codice di modificare l'informativa resa agliinteressati con riguardo alla determinazione del termine di conservazione deidati.

Incaso di inosservanza del presente provvedimento, si renderanno applicabili lesanzioni di cui agli artt. 162, comma 2-ter e 170 del Codice.

TUTTO CIO' PREMESSO IL GARANTE

neiconfronti di Umana s.p.a.:

1.vieta, ai sensi degli artt. 154, comma 1, lett. d), 144 e 143, comma 1, lett.c), del Codice, l'ulteriore conservazione di copia del documento di identitàdel segnalante (punto 3.3);

2.prescrive, ai sensi degli artt. 154, comma 1, lett. c), 144 e 143, comma 1,lett. b), del Codice:

a. qualemisura necessaria nell'ambito dello svolgimento dell'attività di ricerca eselezione del personale, di procedere all'identificazione dei candidati secondole modalità indicate nel presente provvedimento, senza provvedere altresì allaconservazione di documenti identificativi dei candidati (punto 3.3);

b. qualemisura necessaria al fine di rendere il trattamento conforme alle disposizionivigenti ai sensi dell'art. 154, comma 1, lett. c), del Codice di modificarel'informativa resa agli interessati con riguardo alla determinazione deltermine di conservazione dei dati (punto 4).

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 4 aprile 2013

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia