| Garante per la protezione dei dati personali vedi anche PROVVEDIMENTO DEL 21LUGLIO 2011 IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI NELLA riunione odierna, in presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele DePaoli, segretario generale; VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezionedei dati personali); VISTA l'autorizzazione n. 1/2009 al trattamento dei dati sensibil inei rapporti di lavoro del 16 dicembre 2009 (in G.U. n. 13 del 18 gennaio 2010- suppl. ord. n. 12) VISTI gli atti d'ufficio; VISTE le osservazioni formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000; RELATORE il dott. Mauro Paissan; PREMESSO 1. Trattamento di dati personali nell'ambito di una selezione delpersonale Appreso da notizie di stampa (riportate il 12 maggio 2011) che,nell'ambito di una procedura di selezione di un dirigente tecnico pressol'Azienda Lombarda per l'Edilizia Residenziale (Aler) di Brescia, sarebberostati utilizzati questionari di personalità contenenti domande su aspetti,anche intimi, della sfera personale dei candidati, l'Autorità ha avviatoun'istruttoria volta ad accertare la liceità delle operazioni di trattamentoeffettuate. Alla luce degli elementi acquisiti in base alle dichiarazioni (dellacui veridicità gli autori rispondono anche ai sensi dell'art. 168 del Codice)rese da Aler, da Cispel Lombardia Services s.r.l. (C.L.S.) – società diselezione del personale che ha curato la procedura selettiva in questione –e dalla dott.ssa XY – psicologa che, su incarico di C.L.S., hasomministrato e valutato i questionari – è emerso che: a. Aler, ente pubblico economico, individuate le caratteristiche delprofilo individuale ricercato, ha affidato il processo preliminare di selezionea C.L.S. in base ad una convenzione dell'11.2.2010 integrata da un successivoincarico del 12.10.2010 nonché da una direttiva dell'1.2.2011, con la quale si èrichiesto che i candidati ritenuti idonei in base al profilo curricularevenissero "sottoposti ad un colloquio integrativo completo di: reattivipsicologici; colloquio"; b. C.L.S. ha provveduto a curare lapubblicazione degli annunci relativi alla selezione in esame su due testategiornalistiche, con l'invito rivolto ai soggetti interessati ad inviare ilproprio curriculum vitae, c. i menzionati annunci non contenevano tutti gli elementirichiesti dall'art. 13 del Codice, né si precisava (nell'ipotesi indicata subb.ii) il ruolo – di titolare o responsabile del trattamento –rivestito, nell'ambito della selezione, da C.L.S.; d. ricevuti icurriculum a sé indirizzati, Aler provvedeva a comunicarli a C.L.S. senza che,in base agli elementi in atti, di tale comunicazione fosse stata fornita previainformativa agli interessati, né che gli stessi avessero a tale comunicazioneacconsentito; e. C.L.S., qualificata nella menzionata convenzionedell'11.2.2010 quale autonomo titolare del trattamento con riguardo al processodi selezione, si è avvalsa della dott.ssa XY, psicologa, per lasomministrazione (e successiva valutazione) dei menzionati reattivi psicologiciad una rosa ristretta di candidati indicatale da C.L.S.; f. laprofessionista ha svolto la propria attività, a seguito di incarico conferitoleda C.L.S. mediante comunicazioni inviate per posta elettronica, senzaindicazione alcuna della qualifica dalla stessa rivestita (in qualità dititolare o responsabile del trattamento) rispetto ai dati personali riferiti aicandidati (cfr. comunicazioni elettroniche del 1° e 7 marzo 2011, in atti); g.quanto al contenuto dei questionari somministrati, il loro esame ha consentitodi confermare le prime informazioni rilevate dalle fonti giornalistiche. Inparticolare, il questionario CBA 2.0 contiene una pluralità di quesiti arisposta multipla (queste ultime assai circonstanziate), riferiti anche avicende intime riguardanti i candidati. A titolo esemplificativo, possono menzionarsii quesiti relativi ai rapporti affettivi, con richieste (puntuali) relative algrado di stabilità dei medesimi, alla vita sessuale (con richieste specifichecirca eventuali problemi o disturbi nonché ad esperienze con persone dellostesso sesso), alle condizioni di salute psico-fisica (con la richiestadell'indicazione della patologia e del medicinale assunto, di eventuali visitepsicologiche/psichiatriche effettuate, oltre alla richiesta di informazionirelative a disturbi del sonno o durante il sonno e, per le donne, diinformazioni relative al ciclo), nonché ad eventuali interruzioni dellagravidanza e, ancora, ad abitudini personali relative al fumo, al consumo dialcolici o di droghe ovvero inerenti alle abitudini alimentari; ed ancora,richieste relative a tentativi di suicidio effettuati o presi in considerazionedal candidato, nonché a precedenti giudiziari dello stesso (cfr. schede deiquesiti allegate alla comunicazione Aler del 9 giugno 2011);
h. i testsomministrati, ed in particolare la batteria CBA 2.0. (cfr. comunicazione delladott.ssa XY 27.6.2011),< i. la dott.ssa XY ha dichiarato che i candidati "potevano nonrispondere sia ai questionari, sia al colloquio psicologico: ciò influiscesulla diminuzione dei punteggi agli indici di attendibilità dei questionari" eha precisato che, nel corso della compilazione del questionario, a seguito dirichieste formulate dai candidati con specifico riferimento alla scheda 4, lastessa avrebbe puntualizzato che "non era importante rispondere a questa parte,che potevano non rispondere; che questo questionario non dava punteggisignificativi o rilevanti alla selezione" e che lo stesso indicava solo come ilcandidato "stava in questo momento" (cfr. comunicazione XY 27.6.2011); j. i tre interlocutori hanno fornito versioni discordanti circa la paternità nellascelta del contenuto specifico dei questionari, considerato che: i. ad Aler "non sono note, né conosce le ragioni per le quali sonostate sottoposte ai candidati le tipologie di domande concernenti la loro sferasessuale, tantomeno ne conosce la congruità e indispensabilità ai finidell'espletamento delle mansioni richieste". L'ente ha altresì precisato che "l'interoiter, dall'individuazione degli strumenti di selezione – somministrazionedei questionari e svolgimento dei colloqui individuali – alla redazionedelle relazioni finali, è stato condotto in completa autonomia e sotto la pienaresponsabilità di Cispel Lombardia Services s.r.l."; l'ente ha dichiarato diignorare che C.L.S. "avrebbe somministrato ai candidati i questionari inoggetto e le domande in essi contenute" (cfr. comunicazione 6.6.2011,rispettivamente punti 3, 5 e 8); 2. Applicabilità del Codice in materia di protezione deidati personali e titolarità dei trattamenti dei dati personali raccolti edutilizzati nell'ambito della procedura selettiva 2.1. La vicenda in esame riguarda la liceità del trattamento di datipersonali, sensibili e non, effettuato nell'ambito di una procedura diselezione di un dirigente tecnico cui trova applicazione (anche) la disciplinadi protezione dei dati personali. 2.2. Nell'ambito di detta procedura, articolatasi in più fasi, Aler,C.L.S. e la dott.ssa XY hanno assunto, rispetto a taluni trattamenti, la qualitàdi autonomi titolari e, rispetto ad altri – in particolare in relazioneal trattamento dei dati risultanti dall'esecuzione dei test materialmente curatadalla dott.ssa XY – di co-titolari ai sensi dell'art. 4, comma 1, lett.f), del Codice. Ciò, anche alla luce delle valutazioni comunemente espresse dalGruppo di lavoro articolo 29 per la protezione dei dati secondo cui "si è inpresenza di una situazione di corresponsabilità quando varie parti determinano,per specifici trattamenti, o la finalità o quegli aspetti fondamentali deglistrumenti che caratterizzano il responsabile del trattamento [Š]. Nel contestodella corresponsabilità, comunque, la partecipazione delle parti alladeterminazione congiunta può assumere varie forme e non deve esserenecessariamente ripartita in modo uguale" (così Parere 1/2010 sui concetti di"responsabile del trattamento" e "incaricato deltrattamento", WP 169, adottato il 16 febbraio 2010, p. 19; nello stessosenso v. già le decisioni del Garante 3 dicembre 2009, doc. web n. 1692917;Provv. 30 maggio 2007, doc. web n. 1412610). Invero, alla luce deglielementi acquisiti: a. Aler risulta: a. autonomo titolare del trattamento relativo alla raccolta dei daticontenuti nei curriculum direttamente inviatile dai candidati a seguitodell'annuncio pubblicato sulla testata "Giornale di Brescia" e dalla stessasocietà successivamente comunicati a C.L.S., dovendo già solo tali attivitàessere qualificate alla stregua di operazioni di trattamento ai sensi dell'art.4, comma 1, lett. a) del Codice (diversamente da quanto sostenuto da Aler nellacomunicazione del 6.7.2011); b. co-titolare del trattamento, unitamente aC.L.S. e alla dott.ssa XY, rispetto al trattamento dei dati personali (daquest'ultima curato) connessi alla somministrazione dei test psicologici: aquesto proposito, risulta in atti il ruolo attivo assunto da Aler, che –su esplicita richiesta di C.L.S. (cfr. nota datata 2.2.2011) – haimpartito univoche istruzioni affinché detti test venissero somministrati (cfr.comunicazioni Aler a C.L.S. dell'1.2.2011 ed ulteriore e-mail di confermadell'8.2.2011) e che ha successivamente trattato, nella forma della valutazioneindividuale redatta dalla psicologa, le informazioni derivanti dalla lororaccolta nell'ambito della procedura selettiva. In questo senso peraltro deponeanche la programmata "restituzione reattivi ed esiti colloquio psicologico" adAler (menzionata nella comunicazione C.L.S. del 2.2.2011), restituzione che, inbase alle dichiarazioni sopra riferite (cfr. punto 1 lett. k), non constaessere avvenuta; b. C.L.S. risulta: a. autonomo titolare del trattamento relativo alla raccolta dei daticontenuti nei curriculum testé menzionati (ad essa fatti pervenire da Aler) edi quelli direttamente inviatile dai candidati a seguito della pubblicazionedella notizia relativa alla selezione sulla testata "Il Giorno", nonché diquelli utilizzati avvalendosi di una propria banca dati (cfr. contratto dicollaborazione Aler – C.L.S. dell'1.2.2010). Tale valutazione risultaconfermata non solo dalle indicate circostanze di fatto, ma pure dal tenore delcitato accordo stipulato con Aler, nel quale C.L.S. è espressamente qualificata"titolare del trattamento" rispetto all'esecuzione della procedura selettiva; b.co-titolare del trattamento, unitamente ad Aler e alla dott.ssa XY, rispetto altrattamento dei dati personali (come detto, da quest'ultima curato) connessialla somministrazione dei test psicologici: a questo proposito, risulta in attiil ruolo attivo assunto anche da C.L.S., che ha tenuto direttamente i contatticon la psicologa – impartendo alla stessa univoche istruzioni affinchéprocedesse alla somministrazione dei test richiesti da Aler (cfr. comunicazionielettroniche scambiate con la psicologa del 1° e 7 marzo 2011) – e che hasuccessivamente trattato, nella forma delle valutazioni individuali redattedalla psicologa nell'ambito della procedura selettiva, i dati acquisiti mediantei predetti questionari (cfr., al riguardo, l'espresso riferimento alle societàdi selezione del personale fatto nel predetto parere del Gruppo di lavoroarticolo 29 per la protezione dei dati personali per esemplificare un'ipotesidi co-titolarità nel trattamento, p. 19, esempio n. 6); c. la dott.ssa XY è da ritenersi titolare del trattamento, comedetto unitamente ad Aler e a C.L.S., con riguardo all'insieme di operazionidirettamente effettuate con i dati, sensibili e non, raccolti presso ciascunodei candidati in occasione della somministrazione dei test, nonché in occasionedello svolgimento del colloquio psicologico, successivamente dalla stessatrattati per ricavarne valutazioni individuali e presso la stessa conservati(cfr. comunicazione del 16.6.2011). 3. Liceità delle operazioni di trattamento effettuate 3.1. Alla luce delle considerazioni svolte, conviene valutare,rispetto alle diverse operazioni di trattamento effettuate, l'osservanza delladisciplina di protezione dei dati personali, anzitutto con riguardo altrattamento dei dati contenuti nei test direttamente somministrati dalladott.ssa XY, come si è visto, su indicazione di Aler e, quindi, di C.L.S. Alriguardo deve rilevarsi che, sia alla luce della disciplina di settore, siaconsiderando la disciplina di protezione dei dati, sotto molteplici profili iltrattamento effettuato deve ritenersi illecito. In particolare alla luce: a. dell'art. 8, l. n. 300/1970, che fa "divieto al datore di lavoro,ai fini dell'assunzione [Š] di effettuare indagini, anche a mezzo di terzi,sulle opinioni politiche, religiose e sindacali del lavoratore, nonché su fattinon rilevanti ai fini dell'attitudine professionale del lavoratore"; b.dell'art. 10, d.lg. 10 settembre 2003, n. 276, in forza del quale "è fattodivieto alle agenzie per il lavoro e agli altri soggetti pubblici e privatiautorizzati o accreditati di effettuare qualsivoglia indagine o comunquetrattamento di dati ovvero di preselezione di lavoratori, anche con il loroconsenso, in base alle convinzioni personali, alla affiliazione sindacale opolitica, al credo religioso, al sesso, all'orientamento sessuale, allo statomatrimoniale o di famiglia o di gravidanza, alla età, all'handicap, alla razza,all'origine etnica, al colore, alla ascendenza, all'origine nazionale, algruppo linguistico, allo stato di salute nonché ad eventuali controversie con iprecedenti datori di lavoro, a meno che non si tratti di caratteristiche cheincidono sulle modalità di svolgimento della attività lavorativa o che costituisconoun requisito essenziale e determinante ai fini dello svolgimento dell'attivitàlavorativa. È altresì fatto divieto di trattare dati personali dei lavoratoriche non siano strettamente attinenti alle loro attitudini professionali e alloro inserimento lavorativo". Tale complessiva regolamentazione (peraltro tenuta presente dalGarante in occasione dell'emanazione dell'autorizzazione generale n.1/2009,alla quale di seguito si tornerà a fare riferimento), rende palese l'intenzionedel legislatore di tutelare con particolare attenzione i candidati alla ricercadi un posto di lavoro, vietando espressamente – ed indipendentemente dalconsenso dagli stessi eventualmente manifestato – (per quanto quiinteressa) in fase assuntiva, la raccolta di talune tipologie di informazionichiaramente individuate al fine di proteggere, oltre al diritto alla tuteladella vita privata (nonché, nel caso di specie, familiare), la dignità dellapersona. Dignità che ben può risultare lesa in relazione a soggetti – quii candidati ad una procedura selettiva – costretti a fornire dettagliatielementi informativi attinenti la propria sfera affettiva, sessuale, sanitariae lavorativa nonché ad altre abitudini personali o vicende individuali, chel'ordinamento stima irrilevanti ai fini della loro valutazione professionale;informazioni suscettibili di determinare turbamenti e comunque idonei adincidere, per il tramite di un'ingiustificata intrusione nella sfera intima,sulla dignità personale e sociale dei partecipanti ad una procedura selettiva(cfr. anche Cass., Sez. lav., 2.3.1988, n. 2225). Notizie, la cuiraccolta è vietata, non solo in quanto relative alla sfera intima di ognicandidato e quindi idonee ad incidere sul diritto alla riservatezza deglistessi, ma (più radicalmente) perché non significative rispettoall'accertamento dell'attitudine professionale al lavoro, da intendersi comeobiettiva capacità, intellettiva o manuale, di svolgere una determinata attivitàlavorativa (cfr. Cass., Sez. lav., 13 dicembre 1985 n. 6371; Consiglio diStato, sezione IV, 10 novembre 1999, n. 1671). Alla luce della disciplinarichiamata deve pertanto ritenersi che il trattamento relativo ai datipersonali tratti dall'esecuzione del test (in particolare quelli contenutinella batteria 4 del test CBA 2.0), con riguardo sia alle risposte formulatedai candidati, sia in relazione alla successiva valutazione che in base allestesse è stata effettuata dalla dott.ssa XY per essere successivamenteutilizzate nell'ambito della procedura selettiva, sia stato effettuato inviolazione del principio di liceità (art. 11, comma 1, lett. a), del Codice),con la conseguenza, in capo alla medesima nonché ai co-titolari di dettotrattamento, dell'inutilizzabilità dei dati riferiti ai candidati così raccoltio comunque in base ad essi rielaborati ai sensi dell'art. 11, comma 2 delCodice. 3.2. Anche sotto ulteriori profili il trattamento, effettuato con laraccolta di dati personali per mezzo della somministrazione delle domandecontenute nella batteria 4 del test CBA 2.0, deve ritenersi illecito,considerato che esso risulta altresì essere in violazione: a. del principio di indispensabilità, pertinenza e non eccedenza(artt. 11, comma 1, lett. d) e 26 del Codice), con riguardo anzitutto altrattamento dei dati sensibili sopra indicati al punto 1. lett. g). Leinformazioni raccolte, infatti, risultano non indispensabili e sono comunqueeccedenti rispetto alla finalità relativa all'accertamento delle attitudiniprofessionali dei candidati, oggetto specifico della selezione, come peraltrodichiarato dalla stessa dott.ssa XY (cfr. sopra punto 1, lett. i). Deve quindiritenersi che, nel caso di specie, siano del tutto irrilevanti ai fini dellavalutazione dell'attitudine professionale del lavoratore informazioni di naturapersonale relative alla vita intima, ad abitudini personali nonché allepreferenze sessuali, tendenti ad indagare aspetti della personalità e delcarattere inconferenti e comunque non congruenti con la valutazione delleattitudini professionali del lavoratore. La stessa psicologa, peraltro haconfermato, sotto un ulteriore angolo visuale, l'irrilevanza di taliinformazioni, atteso che le domande della batteria 4 avrebbero fornito soloindicazioni circa lo stato d'ansia dei candidati al momento dell'esecuzione deltest (v. sopra punto 1, lett. i) e, quindi, transeunti e non utili all'indaginefinalizzata a riscontrare, in via prospettica, le attitudini professionali deicandidati; b. degli artt. 26, comma 1, e 27, del Codice, non risultandoche il trattamento dei dati sensibili in esame, nonché dei dati giudiziari (suiquali pure si sofferma il questionario somministrato) risulti contemplatonell'autorizzazione generale n. 1/2009 adottata dal Garante ai sensi dell'art.40 del Codice. 4. Altri trattamenti effettuati in violazione di legge 4.1. Ai profili sopra menzionati deve aggiungersi che Aler non risultaaver fornito agli interessati tutti gli elementi informativi previsti dall'art.13, comma 1, del Codice, atteso che i candidati che hanno inviato i propricurriculum a seguito dell'annuncio pubblicato sul "Giornale di Brescia" nonsono stati messi preventivamente a conoscenza della loro successivacomunicazione a terzi (nel caso di specie, C.L.S.), né risulta che, rispetto atale comunicazione, sia stato acquisito il consenso degli stessi (artt. 23 e 24del Codice). Anche sotto tale profilo, pertanto, il trattamentoeffettuato presenta profili di illiceità e risultano prive di pregio lecontrarie argomentazioni della società che, richiamando l'art. 6, comma 2,lett. a), n. 2, d.l. 13 maggio 2011, n. 70 (convertito nella l. 12 luglio 2011,n. 106, pubblicata sulla G.U. n. 160 del 12 luglio 2011), ritiene non dovutal'informativa. Ciò, per un duplice ordine di ragioni: a. la disciplina alla quale si fa riferimento trova applicazione aisoli curriculum inviati "spontaneamente", mentre nel caso di specie essirisultano trasmessi a seguito (e in risposta) ad un annuncio di lavoropubblicato su un quotidiano; b. la disciplina introdotta con ilmenzionato decreto legge non trova applicazione rispetto ai fatti, piùrisalenti, qui considerati (né giova rispetto ad essi). 4.2. Anche C.L.S. non risulta aver fornito alcuna informativa, aisensi dell'art. 13, commi 1 e 3, del Codice, né ai soggetti che, dando seguitoal bando pubblicato su "Il Giorno", hanno inviato direttamente alla società ilproprio curriculum, né ai candidati il cui curriculum è stato invece trasmessoalla società da Aler. 5. Illiceità e divieto del trattamento Alla luce delle considerazioni svolte, il trattamento effettuato dalladott.ssa XY (punto 3), dall'Aler (punti 3 e 4.1) e da C.L.S. (punti 3 e 4.2)deve pertanto ritenersi illecito, con la conseguente inutilizzabilità dei datitrattati in violazione di legge ai sensi dell'art. 11, comma 2 del Codice. Anchein vista di un'eventuale acquisizione dei dati trattati da parte dell'autoritàgiudiziaria, cui atti e copia del presente provvedimento verranno trasmessi perle valutazioni di competenza (cfr. punto 6.3), il Garante, ai sensi degli artt.143, comma 1, lett. c), e 154, comma 1, lett. d), del Codice, dispone altresìil divieto del trattamento relativo ai dati personali comunque ricavati dallasomministrazione dei test, con effetto immediato dalla data di ricezione delpresente provvedimento. 6. Profili ulteriori 6.1. Alla luce delle considerazioni svolte – impregiudicatiprofili ulteriori relativi all'eventuale risarcimento del danno subito dagliinteressati nell'ambito del processo di selezione, le cui pretese potrannoessere fatte valere avanti all'autorità giudiziaria ordinaria (art. 15 delCodice) –, il Garante si riserva di valutare con autonomo procedimento lasussistenza delle violazioni di cui agli artt. 161 e 162, comma 2-bis delCodice, con particolare riferimento alle violazioni sopra indicate ai punti 3 e4. 6.2. Considerato inoltre che, ai sensi dell'art. 18, comma 5, d.lg. n.276/2003, in relazione al trattamento dei dati effettuato dalle agenzie per illavoro, si prevede che "in caso di violazione dell'articolo 10 trovanoapplicazione le disposizioni di cui all'articolo 38 della legge 20 maggio 1970,n. 300, nonché nei casi più gravi, l'autorità competente procede allasospensione della autorizzazione di cui all'articolo 4", il Garante dispone latrasmissione di copia del presente provvedimento al Ministero del lavoro edelle politiche sociali per le valutazioni di competenza (cfr. D.M. 23 dicembre2003, Modalità di presentazione delle richieste di autorizzazione perl'iscrizione all'Albo delle agenzie per il lavoro). 6.3. Considerati, infine, gli esiti degli accertamenti effettuati, ilGarante dispone altresì la trasmissione degli atti e di copia del presenteprovvedimento all'autorità giudiziaria per le valutazioni di competenza inordine agli illeciti penali che riterrà eventualmente configurabili. TUTTOCIÒ PREMESSO IL GARANTE nei confronti della dott.ssa XY, dell'Azienda Lombarda per l'EdiliziaResidenziale di Brescia e di Cispel Lombardia Services s.r.l.: 1. dichiara illecito il trattamento effettuato, con la conseguenteinutilizzabilità dei dati trattati in violazione di legge ai sensi dell'art.11, comma 2 del Codice (punti 3 e 4); 2. ai sensi degli artt. 143, comma 1, lett. c), e 154, comma 1, lett.d), del Codice, dispone il divieto del trattamento relativo ai dati personalicomunque ricavati dalla somministrazione dei test con effetto immediato dalladata di ricezione del presente provvedimento (punto 5); 3. si riserva di valutare con autonomo procedimento la sussistenzadelle violazioni di cui agli artt. 161 e 162, comma 2-bis del Codice (punto6.1); 4. dispone la trasmissione di copia del presente provvedimento alMinistero del lavoro e delle politiche sociali per le valutazioni di competenza(punto 6.2); 5. dispone la trasmissione degli atti e di copia del presenteprovvedimento all'autorità giudiziaria per le valutazioni di competenza inordine agli illeciti penali che riterrà eventualmente configurabili (punto6.3). Avverso il presente provvedimento, ai sensi dell'art. 152 del Codice,può essere proposta opposizione davanti al tribunale ordinario del luogo ove hasede il titolare del trattamento entro il termine di trenta giorni dallanotificazione del provvedimento stesso. Roma, 21 luglio 2011
|