Tra i tanti momenti dell’attività lavorativa di un libero professionista in cui si entra in contatto con il trattamento di informazioni relative agli individui, e in cui si deve dunque tenere presente la “normativa privacy” (il Regolamento UE 2016/69, il c.d. GDPR, ma anche, in questo caso, il “vecchio” D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018), oggi affronteremo il tema del modo con cui il dentista deve gestire i curricula vitae et studiorum dei collaboratori dello studio, o aspiranti tali: soggetti che certamente devono essere qualificati come “interessati del trattamento”, e a cui dunque devono essere garantite le tutele stabilite dalla disciplina in materia.
Il problema si pone perché, come è intuibile, nei curricula sono presenti dati personali, spesso riservati (si pensi al numero di cellulare), e talvolta anche di natura “particolare” (nella vecchia legge si chiamavano “dati sensibili”): come ad esempio nel caso in cui sia presente l’indicazione relativa all’appartenenza a categorie protette. E seppure si tratti di utilizzo di informazioni in linea di massima non di grande rilevanza, utilizzate in un contesto determinato, e dunque con bassa potenzialità lesiva, occorre tenere presenti alcune (semplici) regole, nell’ambito di una complessiva attenzione alla protezione dei dati personali utilizzati nell’attività dello studio odontoiatrico.
In generale, e schematicamente, le ipotesi che si devono esaminare sono due: quella in cui è il dentista che richiede il curriculum, e quella in cui quest’ultimo lo riceva senza averlo chiesto, magari senza nemmeno conoscere chi lo invia (ad esempio per e-mail da parte di chi cerca lavoro). E se nella prima ipotesi è percepibile la necessità di “fare qualcosa per la privacy”, nel secondo, al contrario, non è facile comprendere perché, oltre ad essere “infastiditi”, si deve poi perdere tempo per rispettare la legge. In realtà i motivi sono diversi, ma visto che in questo caso è più semplice adeguarsi al disposto del GDPR che capire perché, vediamo cosa si deve fare.
Così nel primo caso, curriculum richiesto dal dentista (a soggetti determinati o in modo indistinto, ad esempio tramite un annuncio), le procedure da adottare nel trattamento dei dati personali contenuti all’interno dello stesso sono essenzialmente due: consegnare, insieme alla richiesta, l’informativa in cui si spiega come verrà utilizzato il documento, da parte di chi, per quanto tempo; e poi decidere i termini temporali per la sua conservazione, ricordandosi di provvedere alla cancellazione quando tali termini sono stati raggiunti. Non si deve invece ritenere necessario richiedere il consenso al trattamento da parte del collaboratore, futuro o già assunto: adempimento che nella precedente normativa era ritenuto necessario, ma che il Regolamento 2016/679 ha eliminato, ritenendo l’uso del curriculum come un passaggio legato all’avvio del rapporto di lavoro, e quindi già sufficiente per legittimarlo (tecnicamente la “base giuridica del trattamento” non è il consenso, ma il contratto, o comunque l’esecuzione di misure precontrattuali).
Se poi il dentista non richiede il curriculum, ma lo riceve in seguito all’invio spontaneo del soggetto interessato, rimane la necessità di fornirgli l’informativa, ma questa volta “al momento del primo contatto utile” (così l’art. 111-bis del D.Lgs. 196/2003 modificato), dunque ad esempio nell’ipotesi in cui decida di fissare un colloquio o esaminare altrimenti la risorsa. Confermando poi che anche in questo caso non si debba chiedere il consenso (a meno che poi non si voglia usare le informazioni in esso contenute per qualche altro scopo diverso dall’avvio del rapporto di lavoro), mentre, con riferimento ai tempi di conservazione, si distingue da una parte l’ipotesi in cui il soggetto interessato venga poi assunto, e allora stabilire per quanto tempo si ritiene utile conservarlo (ad esempio per tutta la durata della collaborazione), e quindi cancellarlo quando si raggiunge tale termine, rientra in una più generale attività di adeguamento alla legge; e, dall’altra, quella in cui non si considera utile nemmeno fare il colloquio, nel qual caso si dovrebbe cancellarlo immediatamente, o comunque senza (inutile) ritardo.
Gianluigi Ciacci
Consulente privacy ANDI
