Premessa

La presente relazione si pone in continuità con l’analisi del principio di accountability e degli obblighi del titolare del trattamento, approfondendo un aspetto fondamentale della disciplina della protezione dei dati personali: le basi giuridiche del trattamento.

La corretta individuazione della base giuridica costituisce il presupposto indefettibile di qualsiasi attività di trattamento e rappresenta una delle scelte più delicate che il titolare è chiamato a compiere nell’esercizio della propria responsabilità.

Il Regolamento (UE) 2016/679 subordina la liceità del trattamento dei dati personali alla sussistenza di una delle condizioni tassativamente elencate all’art. 6, applicando il principio del divieto generale con riserva di autorizzazione.

Non esiste, in altre parole, un diritto generale del titolare a trattare dati personali: ogni trattamento deve trovare fondamento in una specifica base giuridica, la cui scelta deve essere effettuata dal titolare prima dell’inizio del trattamento e deve essere comunicata all’interessato attraverso l’informativa.

Il fondamento di liceità: l’art. 6 del GDPR

L’art. 6 del GDPR costituisce la norma cardine in materia di liceità del trattamento. Il paragrafo 1 elenca sei basi giuridiche alternative, ciascuna delle quali è sufficiente a rendere lecito il trattamento. La Corte di Giustizia dell’Unione Europea ha più volte ribadito che tale elenco è esaustivo e tassativo: per essere considerato legittimo, un trattamento deve rientrare in uno dei casi previsti dalla disposizione (si veda, da ultimo, CGUE, sentenza 4 ottobre 2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond, punto 29, disponibile su https://curia.europa.eu).

È importante sottolineare che le sei basi giuridiche hanno pari dignità e forza giuridica. Come chiarito dall’EDPB nelle Linee guida 1/2024 sul trattamento dei dati personali basato sul legittimo interesse (disponibili su https://www.edpb.europa.eu), nessuna base giuridica deve essere considerata di “serie B” o da utilizzarsi solo come ultima risorsa. La scelta spetta al titolare, che deve individuare la base più appropriata in relazione alle finalità del trattamento, nel rispetto del principio di accountability.

Le singole basi giuridiche

Il consenso (art. 6, par. 1, lett. a)

Il consenso dell’interessato rappresenta storicamente la base giuridica più nota e, per certi versi, emblematica del diritto alla protezione dei dati personali. L’art. 4, punto 11, del GDPR lo definisce come qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento.

Le caratteristiche del consenso sono stringenti. Deve essere libero, il che significa che l’interessato deve poter rifiutare o revocare il consenso senza subire pregiudizio. Deve essere specifico, riferito cioè a finalità determinate: il GDPR vieta il consenso generico o onnicomprensivo. Deve essere informato, presupponendo che l’interessato abbia ricevuto tutte le informazioni necessarie per comprendere a cosa sta acconsentendo. Deve essere inequivocabile, risultando da una dichiarazione o da un comportamento attivo (è quindi escluso il consenso tacito o presunto).

Contrariamente a quanto spesso si ritiene nella prassi, il consenso non è la base giuridica “preferita” dal GDPR, né quella da utilizzare in via prioritaria. Come osservato dalla CGUE nella sentenza del 4 luglio 2023, causa C-252/21, Meta Platforms (disponibile su https://curia.europa.eu), il fatto che un’impresa occupi una posizione dominante sul mercato non impedisce agli utenti di prestare un consenso valido, ma tale posizione costituisce un elemento rilevante per valutare se il consenso sia stato effettivamente libero. La Corte ha evidenziato che quando esiste uno squilibrio evidente tra l’interessato e il titolare del trattamento, diventa più difficile dimostrare che il consenso sia stato prestato liberamente.

Il consenso presenta inoltre un’intrinseca fragilità: è revocabile in qualsiasi momento, con effetto per il futuro. Se l’interessato revoca il consenso, il titolare deve interrompere il trattamento, il che può risultare problematico in contesti in cui il trattamento è strutturale all’attività svolta. Per questa ragione, ove possibile, è preferibile fondare il trattamento su basi giuridiche più stabili.

Il consenso diviene tuttavia obbligatorio in specifici contesti: per il trattamento delle categorie particolari di dati (art. 9), per le attività di profilazione con effetti significativi, per il trattamento di dati biometrici a fini di identificazione univoca, e in tutti i casi in cui nessun’altra base giuridica sia applicabile.

L’esecuzione di un contratto (art. 6, par. 1, lett. b)

Il trattamento è lecito quando è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso. Questa base giuridica si applica quando il trattamento dei dati è strettamente funzionale all’adempimento delle obbligazioni contrattuali.

Il concetto di “necessità” deve essere interpretato in senso rigoroso. Come chiarito dalla CGUE nella sentenza Meta Platforms del 4 luglio 2023, il trattamento può essere giustificato dalla necessità contrattuale solo a condizione che sia oggettivamente indispensabile, cosicché l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. La Corte ha espresso dubbi significativi sulla possibilità che la personalizzazione dei contenuti o la pubblicità mirata possano soddisfare tale criterio nel contesto dei social network.

Quando si fa affidamento su questa base giuridica, il consenso al trattamento può considerarsi implicito nella conclusione del contratto stesso: sottoscrivendo il contratto, l’interessato accetta che i suoi dati siano trattati per le finalità contrattuali. Resta tuttavia obbligatoria la fornitura dell’informativa, che deve essere resa prima della conclusione del contratto.

L’adempimento di un obbligo legale (art. 6, par. 1, lett. c)

Il trattamento è lecito quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento. In questo caso, la liceità del trattamento deriva direttamente dalla legge e non richiede il consenso dell’interessato.

Numerose disposizioni normative impongono ai titolari obblighi che comportano necessariamente il trattamento di dati personali: gli obblighi fiscali e contabili, gli obblighi in materia di sicurezza sul lavoro, gli obblighi di conservazione documentale, gli obblighi di comunicazione alle autorità pubbliche. In tutti questi casi, il titolare non ha discrezionalità: deve trattare i dati per conformarsi alla legge.

L’obbligo legale deve derivare dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare. Il Regolamento precisa che la base giuridica per i trattamenti fondati su obblighi legali non deve essere necessariamente una legge in senso formale, ma deve comunque essere chiara e precisa e la sua applicazione prevedibile per i destinatari.

La salvaguardia di interessi vitali (art. 6, par. 1, lett. d)

Il trattamento è lecito quando è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica. Questa base giuridica ha carattere residuale e trova applicazione principalmente in situazioni di emergenza, quando l’interessato non è in grado di prestare il proprio consenso.

L’espressione “interessi vitali” deve essere interpretata in senso restrittivo, con riferimento a situazioni che mettono a rischio la vita o l’incolumità fisica della persona. Il considerando 46 del GDPR chiarisce che questa base giuridica dovrebbe costituire il fondamento del trattamento solo qualora lo stesso non possa manifestamente fondarsi su altra base giuridica.

L’esecuzione di un compito di interesse pubblico (art. 6, par. 1, lett. e)

Il trattamento è lecito quando è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Questa base giuridica trova applicazione principalmente nel settore pubblico, ma può riguardare anche soggetti privati investiti di funzioni pubbliche.

La base giuridica per il trattamento deve essere stabilita dal diritto dell’Unione o dello Stato membro, che deve determinare anche le finalità del trattamento. Il diritto nazionale può inoltre specificare le condizioni generali per la liceità del trattamento, i tipi di dati oggetto del trattamento, gli interessati coinvolti, i soggetti cui possono essere comunicati i dati e le relative finalità, la limitazione della finalità, il periodo di conservazione e altre misure per garantire un trattamento lecito e corretto.

Il legittimo interesse (art. 6, par. 1, lett. f)

Il trattamento è lecito quando è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.

Il legittimo interesse rappresenta la base giuridica più flessibile ma anche la più complessa da applicare correttamente. A differenza delle altre basi giuridiche, richiede al titolare di effettuare un giudizio di bilanciamento tra il proprio interesse e i diritti dell’interessato, documentando tale valutazione.

Le Linee guida 1/2024 dell’EDPB (disponibili su https://www.edpb.europa.eu) individuano tre condizioni cumulative che devono essere soddisfatte per poter fondare il trattamento sul legittimo interesse. La prima condizione è l’esistenza di un interesse legittimo del titolare o di terzi. L’interesse deve essere lecito (non contrario al diritto dell’Unione o degli Stati membri), articolato in modo chiaro e preciso, e reale e attuale (non speculativo o ipotetico).

La seconda condizione è la necessità del trattamento per il perseguimento di tale interesse. Ciò significa che il titolare deve verificare se l’interesse perseguito non possa essere ragionevolmente conseguito con mezzi altrettanto efficaci ma meno invasivi per i diritti e le libertà degli interessati.

La terza condizione richiede che gli interessi, i diritti e le libertà fondamentali dell’interessato non prevalgano sull’interesse legittimo del titolare. Questa valutazione, nota come test di bilanciamento o Legitimate Interest Assessment (LIA), deve considerare la natura dei dati trattati, le ragionevoli aspettative dell’interessato, l’impatto del trattamento sui diritti fondamentali e l’esistenza di garanzie aggiuntive.

La giurisprudenza recente della CGUE ha fornito importanti chiarimenti sull’applicazione di questa base giuridica. Nella sentenza del 4 ottobre 2024, causa C-621/22, Koninklijke Nederlandse Lawn Tennisbond (disponibile su https://curia.europa.eu), la Corte ha affrontato il caso di una federazione sportiva olandese che aveva ceduto a titolo oneroso i dati dei propri iscritti a sponsor commerciali, tra cui un operatore di giochi d’azzardo, fondando il trattamento sul legittimo interesse.

La CGUE ha chiarito che un interesse meramente commerciale può in linea di principio costituire un legittimo interesse, non essendo richiesto che l’interesse sia previsto o riconosciuto dalla legge. Tuttavia, la Corte ha evidenziato che nel caso specifico l’interesse del titolare poteva essere perseguito con modalità meno invasive, ad esempio chiedendo preventivamente ai soci se desiderassero che i loro dati fossero trasmessi a terzi per finalità di marketing. La Corte ha inoltre sottolineato che i soci non potevano ragionevolmente attendersi che i loro dati fossero ceduti a un operatore di giochi d’azzardo, attività che potrebbe esporli a rischi connessi allo sviluppo di ludopatie.

È importante ricordare che il legittimo interesse non può essere invocato dalle autorità pubbliche nell’esecuzione dei loro compiti istituzionali. Inoltre, non può essere utilizzato per trattamenti che richiedono il consenso in base a normative speciali, come nel caso del tracciamento online disciplinato dalla Direttiva ePrivacy (2002/58/CE).

Le basi giuridiche per le categorie particolari di dati (art. 9)

L’art. 9 del GDPR disciplina il trattamento delle cosiddette “categorie particolari di dati personali”, che nella terminologia previgente erano denominate “dati sensibili”. Si tratta di dati che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.

Il paragrafo 1 dell’art. 9 stabilisce un divieto generale di trattamento di tali categorie di dati. Il divieto trova giustificazione nel fatto che questi dati, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali (considerando 51).

Il paragrafo 2 elenca dieci eccezioni al divieto, che consentono il trattamento in presenza di specifiche condizioni. È importante sottolineare che tali eccezioni devono essere interpretate in senso restrittivo.

Il consenso esplicito dell’interessato (lett. a) consente il trattamento quando l’interessato ha prestato il proprio consenso esplicito per una o più finalità specifiche. Il consenso richiesto per le categorie particolari è più stringente rispetto a quello previsto dall’art. 6: deve essere esplicito, escludendosi quindi forme di consenso implicito o desumibile da comportamenti concludenti. Gli Stati membri possono tuttavia prevedere che l’interessato non possa revocare il divieto generale in determinati settori.

Gli obblighi in materia di diritto del lavoro (lett. b) legittimano il trattamento necessario per assolvere obblighi ed esercitare diritti specifici del titolare o dell’interessato in materia di diritto del lavoro, sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo. Questa eccezione copre, ad esempio, il trattamento di dati sanitari per la gestione delle assenze per malattia o di dati relativi all’appartenenza sindacale per le trattenute sulla retribuzione.

La tutela degli interessi vitali (lett. c) consente il trattamento quando è necessario per tutelare un interesse vitale dell’interessato o di un’altra persona fisica, qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso.

Il trattamento da parte di organismi senza scopo di lucro (lett. d) è consentito quando è effettuato, nell’ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con l’organismo e che i dati non siano comunicati all’esterno senza il consenso dell’interessato.

I dati resi manifestamente pubblici (lett. e) possono essere trattati quando l’interessato li ha resi manifestamente pubblici. La CGUE ha chiarito nella sentenza del 4 ottobre 2024, causa C-446/21, Schrems c. Meta (disponibile su https://curia.europa.eu), che il fatto di menzionare pubblicamente un’informazione che rientra nelle categorie particolari non equivale automaticamente a renderla “manifestamente pubblica” ai fini dell’art. 9, e che tale circostanza non può retroattivamente giustificare trattamenti precedenti.

L’accertamento, esercizio o difesa di un diritto in sede giudiziaria (lett. f) consente il trattamento necessario per tali finalità o quando le autorità giurisdizionali esercitino le loro funzioni giurisdizionali.

Motivi di interesse pubblico rilevante (lett. g) legittimano il trattamento sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate per tutelare i diritti fondamentali e gli interessi dell’interessato.

Finalità di medicina preventiva o del lavoro (lett. h) consentono il trattamento per finalità di medicina preventiva o del lavoro, valutazione della capacità lavorativa, diagnosi, assistenza o terapia sanitaria o sociale, o gestione dei sistemi e servizi sanitari o sociali. Il trattamento deve essere effettuato da o sotto la responsabilità di un professionista soggetto al segreto professionale.

Motivi di interesse pubblico nel settore della sanità pubblica (lett. i), quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria, consentono il trattamento sulla base del diritto dell’Unione o degli Stati membri.

Infine, i fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici (lett. j) legittimano il trattamento in conformità all’art. 89, paragrafo 1, sulla base del diritto dell’Unione o nazionale proporzionato alla finalità perseguita.

È opportuno segnalare che l’art. 9 non prevede eccezioni equivalenti a tutte le basi giuridiche dell’art. 6. In particolare, non è prevista un’eccezione generale per l’esecuzione di un contratto o per l’adempimento di obblighi legali generici. Questa asimmetria può creare difficoltà applicative in alcuni contesti, come evidenziato dalla dottrina e dalla prassi.

La scelta della base giuridica: profili operativi

La scelta della base giuridica non è una mera formalità documentale, ma una decisione che produce conseguenze significative sui diritti dell’interessato e sugli obblighi del titolare.

Se il trattamento è fondato sul consenso, l’interessato ha il diritto di revocarlo in qualsiasi momento e ha diritto alla portabilità dei dati (art. 20). Se il trattamento è fondato sull’esecuzione di un contratto, l’interessato ha parimenti diritto alla portabilità. Se il trattamento è fondato sul legittimo interesse, l’interessato ha il diritto di opporsi in qualsiasi momento per motivi connessi alla sua situazione particolare (art. 21, par. 1), e il titolare deve astenersi dal trattamento a meno che dimostri l’esistenza di motivi legittimi cogenti che prevalgono sugli interessi dell’interessato.

La base giuridica deve essere individuata prima dell’inizio del trattamento e deve essere indicata nell’informativa resa all’interessato ai sensi degli artt. 13 e 14 del GDPR. Non è possibile modificare la base giuridica in corso di trattamento se non in presenza di specifiche condizioni, e la modifica deve essere comunicata all’interessato.

Nella scelta della base giuridica, il titolare deve applicare il principio di accountability documentando le valutazioni effettuate. Nel caso del legittimo interesse, la documentazione del test di bilanciamento costituisce una best practice raccomandata dalle autorità di controllo e può essere rilevante in caso di verifica da parte dell’autorità garante.

Conclusioni

La corretta individuazione della base giuridica rappresenta uno degli aspetti più qualificanti della compliance al GDPR. Non si tratta di un adempimento formale, ma di una scelta sostanziale che definisce il perimetro del trattamento, i diritti dell’interessato e le responsabilità del titolare.

Il principio di accountability impone al titolare non solo di scegliere correttamente la base giuridica, ma anche di essere in grado di dimostrare tale scelta e le valutazioni che l’hanno supportata. Le recenti Linee guida dell’EDPB e la giurisprudenza della CGUE forniscono criteri sempre più definiti per orientare tale scelta, con particolare attenzione al legittimo interesse quale base giuridica che richiede una valutazione articolata e documentata.

La tendenza emergente dalla giurisprudenza europea è quella di valorizzare le ragionevoli aspettative dell’interessato come criterio guida: se l’interessato non può ragionevolmente attendersi un determinato trattamento, sarà difficile per il titolare fondarlo su basi diverse dal consenso esplicito. Questo orientamento, che pone l’interessato al centro del sistema di protezione, costituisce la migliore traduzione operativa del principio di trasparenza che permea l’intero Regolamento.

Premessa

La gestione del personale rappresenta uno degli ambiti più delicati sotto il profilo della protezione dei dati personali. Ogni organizzazione che intenda operare in conformità al Regolamento UE 2016/679 (GDPR) deve, in via preliminare, acquisire piena consapevolezza delle informazioni trattate, delle finalità perseguite, delle modalità operative e degli strumenti utilizzati.

Il principio di accountability, cardine del sistema normativo europeo, impone infatti al Titolare del trattamento di essere in grado di dimostrare, in qualsiasi momento, la conformità delle proprie attività agli obblighi di legge. Ciò presuppone necessariamente lo svolgimento di un’accurata attività di mappatura dei dati, propedeutica alla corretta tenuta del registro dei trattamenti ai sensi dell’art. 30 GDPR.

1. Il contesto normativo e la peculiarità dei trattamenti HR

L’amministrazione del personale comporta, per sua natura, il trattamento di un’ampia gamma di dati personali. Accanto alle informazioni anagrafiche e contrattuali, vengono frequentemente trattate categorie particolari di dati ai sensi dell’art. 9 GDPR: dati relativi alla salute (certificati medici, idoneità alla mansione), all’appartenenza sindacale (trattenute per iscrizione, permessi), alle convinzioni religiose o filosofiche (festività, obiezione di coscienza), nonché, in taluni casi, dati genetici e biometrici.

Tale eterogeneità richiede al Titolare di resistere alla tentazione di effettuare valutazioni approssimative, procedendo invece a una catalogazione puntuale e sistematica di tutti i trattamenti effettuati. Questi ultimi possono essere raggruppati in macro-categorie funzionali:

• ricerca, selezione e assunzione del personale;
• esecuzione del contratto di lavoro e adempimenti retributivi;
• obblighi di legge e contrattuali collettivi;
• organizzazione del lavoro e pianificazione;
• sicurezza sul lavoro e sorveglianza sanitaria;
• cessazione del rapporto e gestione del contenzioso.

2. La mappatura dei trattamenti: una check-list operativa

Per evitare che la ricognizione dei trattamenti si riveli superficiale o incompleta, è opportuno che il Titolare si ponga una serie di quesiti puntuali. Si riportano di seguito alcuni esempi significativi, senza pretesa di esaustività:

Strumenti informatici e controllo: I computer aziendali registrano le attività di navigazione dei dipendenti? Sono installati software in grado di monitorare l’operato dei lavoratori? Tale aspetto assume particolare rilevanza alla luce dell’art. 4 della L. 300/1970 (Statuto dei Lavoratori), come modificato dal D.Lgs. 151/2015, che disciplina gli strumenti di controllo a distanza.

Recruiting e selezione: Le procedure di selezione vengono gestite internamente o affidate a soggetti terzi (agenzie, head hunter, piattaforme online)? Nel sito web aziendale è presente una sezione per la raccolta di candidature spontanee? In tali casi, occorre verificare la corretta informativa ex art. 13 GDPR e l’eventuale nomina a responsabile del trattamento ai sensi dell’art. 28 GDPR.

Servizi cloud e trasferimento dati: L’attività di gestione del personale si avvale di servizi di cloud computing? Le buste paga vengono erogate tramite piattaforme digitali? In presenza di trasferimenti di dati verso Paesi terzi, il Titolare deve verificare l’esistenza di garanzie adeguate ai sensi degli artt. 44-49 GDPR.

Geolocalizzazione e dispositivi elettronici: Sui veicoli aziendali sono installati sistemi GPS o satellitari? I dipendenti sono dotati di dispositivi elettronici (badge intelligenti, rilevatori di presenza, wearable) idonei a localizzarli o a monitorarne i comportamenti? Tali trattamenti richiedono specifica valutazione ai sensi dell’art. 4 Stat. Lav. e, ove necessario, l’esperimento della procedura di accordo sindacale o autorizzazione amministrativa.

Dati biometrici: La rilevazione delle presenze avviene mediante sistemi biometrici (impronta digitale, riconoscimento facciale, iride)? Ai sensi dell’art. 9 GDPR, il trattamento di dati biometrici è consentito solo in presenza di specifiche condizioni di liceità, da valutarsi caso per caso anche alla luce dei provvedimenti del Garante.

Videosorveglianza: All’interno o nelle aree adiacenti al luogo di lavoro sono installate telecamere? Vengono utilizzate tecnologie di riconoscimento facciale? Anche in questo caso, trovano applicazione le disposizioni dell’art. 4 Stat. Lav. e le prescrizioni del Garante in materia.

Valutazione delle performance e rimborsi spese: L’ufficio risorse umane gestisce schede valutative o report sulle prestazioni dei dipendenti? L’azienda rimborsa spese da cui è possibile desumere spostamenti, acquisti e abitudini personali? Ai dipendenti sono state assegnate carte di credito aziendali i cui estratti conto consentono di monitorare le transazioni?

Comunicazioni e uso di strumenti non ufficiali: I dati del personale vengono comunicati esclusivamente tramite canali autorizzati dalla direzione, oppure si utilizzano anche strumenti di messaggistica (WhatsApp, Telegram, Signal) o piattaforme di file sharing (Dropbox, WeTransfer, Google Drive)? L’impiego di tali strumenti solleva questioni in ordine alla sicurezza dei dati e alla loro tracciabilità.

Cessazione del rapporto: Gli account di posta elettronica e i profili utente rimangono attivi anche dopo la cessazione del rapporto di lavoro? La conservazione di tali dati deve essere limitata nel tempo e giustificata da esigenze specifiche, nel rispetto del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e) GDPR.

3. Il ciclo di vita dei dati personali e le risorse (asset) coinvolte

Un processo di mappatura efficace deve contemplare non soltanto l’identificazione dei trattamenti, ma anche la descrizione del ciclo di vita dei dati: dall’acquisizione alla conservazione, dalla comunicazione all’eventuale cancellazione. In particolare, occorre:

1. identificare le attività di trattamento effettuate e le relative finalità;
2. fornire una descrizione qualitativa e quantitativa delle categorie di dati trattati, con particolare attenzione alle categorie particolari ex art. 9 GDPR;
3. descrivere le modalità di acquisizione, elaborazione, comunicazione e archiviazione;
4. mappare le articolazioni aziendali, le società esterne e i professionisti coinvolti nel trattamento;
5. identificare le interazioni con altri processi aziendali e con ulteriori soggetti destinatari dei dati.

L’individuazione delle risorse (asset) utilizzate nelle operazioni di trattamento completa il quadro: sistemi informativi, applicativi gestionali, archivi cartacei, dispositivi mobili, servizi in outsourcing costituiscono tutti elementi da censire e sottoporre a valutazione sotto il profilo della sicurezza.

4. I trattamenti mediante sistemi di intelligenza artificiale

Un capitolo a parte meritano i trattamenti di dati personali effettuati mediante sistemi di intelligenza artificiale, sempre più diffusi anche nell’ambito della gestione HR. L’impiego di algoritmi per lo screening dei curricula, la valutazione delle performance, la predizione del turnover o la definizione di percorsi di carriera comporta rischi specifici che il Titolare deve attentamente presidiare.

In particolare, l’art. 22 GDPR disciplina le decisioni basate unicamente sul trattamento automatizzato che producono effetti giuridici o incidono significativamente sulla persona interessata. In tali casi, fatte salve le eccezioni previste, l’interessato ha diritto di ottenere l’intervento umano, di esprimere la propria opinione e di contestare la decisione.

Il Regolamento UE 2024/1689 (AI Act), inoltre, classifica i sistemi di IA utilizzati per la gestione dei lavoratori tra quelli ad alto rischio, imponendo obblighi stringenti in termini di trasparenza, documentazione tecnica, supervisione umana e gestione dei rischi. L’interazione tra GDPR e AI Act richiede quindi un approccio integrato alla compliance.

Conclusioni

La gestione dei dati personali nell’ambito delle risorse umane richiede un approccio strutturato e consapevole. La mappatura dei trattamenti non costituisce un mero adempimento formale, ma rappresenta il presupposto indispensabile per garantire la conformità normativa, tutelare i diritti degli interessati e prevenire i rischi sanzionatori.

In un contesto caratterizzato dalla crescente digitalizzazione dei processi e dall’adozione di tecnologie innovative, il Titolare del trattamento deve dotarsi di strumenti adeguati e, ove necessario, avvalersi di competenze specialistiche per presidiare efficacemente questo delicato ambito.

* * *

Il nostro Studio offre assistenza specializzata in materia di protezione dei dati personali e diritto del lavoro. Per una consulenza personalizzata sulla mappatura dei trattamenti, la redazione del registro ex art. 30 GDPR, la valutazione d’impatto (DPIA) o l’adeguamento alla normativa vigente, contattateci per un primo colloquio conoscitivo.