Il problema del consenso nel contesto lavorativo è stato puntualmente individuato dall’Art.29WP[1] nella presunzione di una mancata libera prestazione dello stesso in ragione dello squilibrio di potere nei termini che seguono:
«Data la dipendenza risultante dal rapporto datore di lavoro/dipendente, è improbabile che l’interessato sia in grado di negare al datore di lavoro il consenso al trattamento dei dati senza temere o rischiare di subire ripercussioni negative come conseguenza del rifiuto. È improbabile che il dipendente sia in grado di rispondere liberamente, senza percepire pressioni, alla richiesta del datore di lavoro di acconsentire, ad esempio, all’attivazione di sistemi di monitoraggio, quali la sorveglianza con telecamere sul posto di lavoro, o alla compilazione di moduli di valutazione.»
Perché il consenso sia valido, infatti, occorre l’espressione di una manifestazione di volontà libera, informata ed inequivocabile da parte dell’interessato nei confronti di una specifica attività di trattamento dei dati personali. Per le attività svolte nell’ambito del rapporto di lavoro, la base del consenso è da ritenere generalmente invalida o inadeguata, ponendo (in ragione dell’art. 24 GDPR) sul datore di lavoro l’eventuale dimostrazione delle garanzie poste a tutela della libera prestazione dello stesso.
Negli ultimi anni, però, forse in ragione di una logica di paper compliance per cui vale l’adagio del “più si fan carte, meglio è” e l’inevitabile deriva del “nel più c’è il meno” e del “meglio chiedere il consenso, non si sa mai”, si sono andati a generare degli scenari decisamente scollegati dalla corretta e logica applicazione della normativa.
Di seguito, tre esempi di consensi insensati spesso rilevati nel corso delle attività di verifica della documentazione.
Consenso per adempiere ad obblighi di legge. Questo viene richiesto sull’onda del “non si sa mai”. Purtroppo, però, ciò significa che l’attività di trattamento sarà svolta comunque, sia che il lavoratore presti o neghi il proprio consenso e dunque appare un consenso inutile in quanto ingenera l’erronea convinzione nell’interessato di poter avere il controllo dell’attività svolta sui propri dati personali. Chi propone tale consenso per giustificare l’attività di trattamento di categorie particolari di dati personali dei lavoratori evidentemente non sa (e mai ha saputo) dell’esistenza dell’art. 9 par. 2 lett. b) GDPR.
Consenso prestato per comunicare i dati dei familiari a carico. Questa è forse l’ipotesi più grottesca, in quanto viene richiesto al lavoratore di prestare un consenso a trasmettere dati non propri, attribuendogli non si sa quale potere di rappresentanza di terzi soggetti interessati. Serve aggiungere altro? Non credo.
Consenso
per l’installazione di impianti di videosorveglianza. Qui la normativa in materia di
protezione dei dati personali si incontra con l’art. 4 dello Statuto dei
Lavoratori, dando luogo a reinterpretazioni piuttosto creative. Una fra tutte è
ritenere che se si installa un impianto di videosorveglianza a tutela del
patrimonio aziendale non serva alcuna autorizzazione in quanto l’attività non è
orientata al controllo a distanza dei lavoratori. Peccato però che non esista
alcuna autorizzazione possibile per attivare sistemi che abbiano come esclusiva
finalità il controllo a distanza dei lavoratori. La norma citata regola infatti
l’installazione degli strumenti dai quali derivi anche la possibilità di
controllo a distanza, e sono previsti dei regimi autorizzativi per rispondere
ad esigenze (leggasi, in chiave GDPR: finalità perseguite dal titolare del
trattamento) organizzative e produttive, di sicurezza del lavoro e di la tutela
del patrimonio aziendale, salvo non si rientri nell’eccezione del secondo comma
(rilevazione presenze o strumenti per rendere la prestazione lavorativa).
Inoltre, la Cassazione[2] ha ribadito un orientamento consolidato circa l’invalidità del consenso del
lavoratore per l’installazione di sistemi di videosorveglianza e la sua
inefficacia come scriminante. Figuriamoci dunque se possa aver valore come base
giuridica.
[1] http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051
[2] Da ultima, Cass. Pen. Sez. 3, sent. 1733/2020 http://www.italgiure.giustizia.it/xway/application/nif/clean/hc.dll?verbo=attach&db=snpen&id=./20200117/snpen@s30@a2020@n01733@tS.clean.pdf
