Conclusione del rapporto di lavoro e adempimenti privacy

Il principio di limitazione della conservazione di cui all’articolo 5 del GDPR, rivela la sua piena applicazione proprio nella fase conclusiva del rapporto di lavoro. Secondo questo principio, affinché il trattamento dei dati sia lecito, deve essere determinato, prima dell’inizio del trattamento, dal datore di lavoro. La conclusione del rapporto di lavoro, nella maggior parte delle attività di trattamento dei dati, determina anche la fine del periodo di conservazione. Tale fase d segna quindi l’obbligo di stabilire una procedura in grado di guidare il datore di lavoro e l’organizzazione verso le corrette pratiche circa la gestione degli adempimenti privacy relativi ai dati dei lavoratori.  

Come anzidetto, fin dall’inizio del trattamento, il datore di lavoro deve aver determinato il periodo di conservazione relativo allo scopo, il termine deve essere indicato chiaramente al dipendente dall’inizio del rapporto di lavoro. L’Autorità Garante per la protezione dei dati personali è intervenuta ripetutamente sulla questione, sottolineando come il periodo di conservazione non possa essere indicato in modo generico. Invece, il periodo di conservazione deve essere chiaramente definito fin dall’inizio delle operazioni di trattamento. In questo contesto, si rivela l’importanza del registro delle attività di trattamento di cui all’art. 30 del GDPR, uno strumento sia obbligatorio che necessario per la fase di mappatura e per definire il periodo di conservazione dei dati. Pertanto, l’aggiornamento del registro diventa lo strumento principale per guidare l’organizzazione nella gestione dei requisiti relativi al periodo di conservazione dei dati dei dipendenti.

Ai fini della corretta implementazione delle procedure di data retention risulta utile coinvolgere l’organizzazione aziendale. Infatti, in prima facie sarà necessario informare tutti i singoli responsabili aziendali, che dovranno poi verificare i periodi di conservazione e procedere con la regolarizzazione dei termini per procedere, in un secondo momento, con l’eliminazione dei dati. Prima della conclusione del rapporto di lavoro, il dipendente deve ricevere un avviso riguardante l’obbligo di cancellare qualsiasi informazione personale sui dispositivi aziendali e le procedure da seguire per tale cancellazione. In questa fase, è importante anche effettuare una revisione di tutte le applicazioni e i servizi digitali che richiedono un account dipendente costituito da un nome utente e una password per procedere con la disattivazione del servizio. Tali azioni sono necessarie non solo in termini di sicurezza delle informazioni, ma anche per garantire la continuità operativa dell’azienda.

Particolare attenzione deve essere rivolta ai termini di conservazione relativi ai servizi di posta elettronica. A questo proposito, l’Autorità Garante è intervenuta a più battute, sanzionando le aziende che utilizzavano pratiche di inoltro delle e-mail del ex dipendente ad altri colleghi. Questa pratica, sebbene possa sembrare di garantire la continuità operativa, è in contrasto con i principi di trasparenza, necessità e pertinenza e viola la privacy dell’ex dipendente. Per questo motivo, l’Autorità è intervenuta per specificare che al termine del rapporto di lavoro, l’account e-mail del dipendente deve essere disattivato. La sua conservazione deve essere limitata, e il datore di lavoro deve procedere con la sua cancellazione nel più breve tempo possibile.

Nell’implementare le politiche di cancellazione dei dati, il datore di lavoro deve tenere conto del diritto di accesso che può essere esercitato dall’ex dipendente. Pertanto, il dipendente deve essere messo nelle condizioni di accedere ai propri dati se richiesto, fermo restando rispettando il limite di conservazione stabilito. Per facilitare l’esercizio di tali diritti e per migliorare la gestione organizzativa, potrebbe essere utile consegnare tutta la documentazione pertinente al dipendente al termine del loro rapporto di lavoro documentando anche questo processo.

Infine, il registro delle attività di trattamento deve essere aggiornato, così come la politica di conservazione dei dati, che durante il processo descritto rappresentano strumenti utili per gestire la conclusione del rapporto di lavoro.