Nei mesi scorsi si è concluso un interessante confronto tra l’Agenzia per la rappresentanza negoziale delle pubbliche amministrazioni (di seguito ARAN) e l’Autorità Garante Privacy sui diritti dei lavoratori e delle rappresentanze sindacali, al termine del quale la prima ha adottato lo scorso 20 novembre 2024 una Circolare, la n.1 del 2024.
Indice degli argomenti
Contenuti della circolare di ARAN
Con la Circolare, che ha per oggetto “Diritto di affissione / Art. 5 comma 1 del CCNQ per la ripartizione dei distacchi e dei permessi del 4/12/2017, come integrato dall’art.1, comma 2 dell’analogo CCNQ sottoscritto il 30/11/2023” ARAN., ed in particolare la sua “Direzione Contrattazione 1” è recentemente intervenuta sul tema del “Diritto di affissione” e della gestione dei dati dei lavoratori nel pubblico impiego.
La stessa riporta allegata la nota n. 126839 del 29 ottobre 2024 dell’Autorità Garante, che ha per oggetto “Comunicazione degli indirizzi e-mail istituzionali del personale dipendente da parte delle amministrazioni pubbliche alle organizzazioni sindacali. Riscontro.”
Il ruolo del datore di lavoro nella protezione dei dati
Nella Circolare il Direttore dell’Agenzia ha ricordato a tutta la pubblica amministrazione che spetta al datore di lavoro, titolare del trattamento, assicurare il rispetto della disciplina in materia di protezione dei dati personali alla luce degli articoli 5, paragrafo 2, e 24 del Regolamento UE 2016/679, valutando la sussistenza di idonei presupposti di liceità prima di dare corso a qualunque comunicazione di dati personali, anche nel caso in cui sussista lo specifico interesse delle organizzazioni sindacali all’esercizio del diritto di affissione.
Evoluzione storica del diritto di affissione
Il “Diritto di affissione” o alla bacheca sindacale è un diritto già previsto dalla legge 300 del 1970, più nota come “Statuto dei lavoratori” che a tal proposito, all’articolo 25 “Diritto di affissione” stabilisce che “Le rappresentanze sindacali aziendali hanno diritto di affiggere, su appositi spazi, che il datore di lavoro ha l’obbligo di predisporre in luoghi accessibili a tutti i lavoratori all’interno dell’unità produttiva, pubblicazioni, testi e comunicati inerenti a materie di interesse sindacale e del lavoro”
Lo stesso diritto è stato poi ripreso dal CCNQ (Contratto Collettivo Nazionale Quadro) per la ripartizione dei distacchi e dei permessi tra le associazioni sindacali rappresentative nei comparti e nelle aree di contrattazione del 4 dicembre 2017, che ha stabilito all’articolo 5 “Diritto di affissione” che i Dirigenti sindacali e la RSU o Rappresentanza Sindacale Unitaria, l’organismo sindacale che esiste in ogni luogo di lavoro, hanno diritto di affiggere, in appositi spazi che l’amministrazione ha l’obbligo di predisporre in luoghi accessibili a tutto il personale all’interno dell’unità operativa pubblicazioni, testi e comunicati inerenti a materie di interesse sindacale e del lavoro, utilizzando, ove disponibili, anche ausili informatici.
Problemi sollevati dalla comunicazione degli indirizzi email
Con l’articolo 1, comma 2 dell’analogo CCNQ sottoscritto il 30/11/2023 a tale primo periodo del succitato articolo 5 è stato aggiunto il periodo “Agli stessi le amministrazioni forniscono, a richiesta, l’elenco degli eventuali indirizzi mail istituzionali del personale dipendente.”
Tale emendamento ha fatto nascere sin da subito una serie di interrogativi che si sono posti alla luce delle prime richieste di comunicazione degli indirizzi mail formulate alle pubbliche amministrazioni dai dirigenti sindacali e delle RSU, vista, alla luce della vigente normativa, la necessità di contemperare i diritti sindacali con il diritto alla protezione dei dati dei lavoratori, necessità alla luce della quale un interessato ha inoltrato una specifica segnalazione all’Autorità Garante Privacy.
L’intervento del Garante Privacy
Il Garante Privacy, considerata, in particolare, la delicatezza della questione in ragione della sua rilevanza a livello nazionale e del rischio che le Amministrazioni, datrici di lavoro, intraprendano iniziative non conformi alla disciplina della protezione dei dati, ha reputato necessario svolgere una compiuta valutazione della tematica.
Osservazioni sulla comunicazione degli indirizzi email
Alla luce di tale segnalazione la previsione che le amministrazioni pubbliche possano fornire ai soggetti beneficiari del diritto di affissione, qualora questi lo richiedano, l’elenco degli indirizzi mail istituzionali del personale dipendente è stata oggetto di osservazione da parte del Garante per la Protezione dei Dati Personali in quanto la consegna di elenchi di indirizzi mail, ancorché istituzionali, configura una comunicazione di dati personali.
Pertanto, viste le specifiche competenze di ARAN in materia di negoziazione e definizione dei contratti collettivi del personale dei comparti del pubblico impiego e la già pregressa collaborazione istituzionale tra le due parti, ha chiesto all’Agenzia gli elementi di informazione utili allo svolgimento degli approfondimenti istruttori, sotto il profilo della protezione dei dati, nell’ambito delle negoziazioni conclusesi con la stipulazione del CCNQ del 30 novembre 2023, in ordine alle modifiche introdotte all’art. 5, comma 1, del CCNQ del 4 dicembre 2017.
Necessità di armonizzazione normativa
Come noto ogni comunicazione di dati personali è infatti ammessa per l’adempimento di obblighi e l’esercizio di diritti in materia di diritto del lavoro solo e quando prevista da una norma di legge e a tal proposito il Garante ha rappresentato all’Agenzia la necessità di introdurre dei correttivi finalizzati alla armonizzazione della clausola aggiunta all’articolo 5 del CCNQ nel novembre 2023 con la disciplina della protezione dei dati.
Tentativi di ARAN per una soluzione condivisa
A sua volta l’Agenzia ha dato evidenza delle sottese ragioni di tutela del diritto delle organizzazioni sindacali ad effettuare proselitismo attraverso una modalità aggiuntiva di esercizio del diritto di affissione e che nell’intento di pervenire ad una soluzione che contemperasse i diversi interessi coinvolti nell’ambito del vigente quadro ordinamentale, ha aperto un confronto con le confederazioni aventi titolo.
ARAN però ha segnalato che, dopo diversi incontri di confronto con tali confederazioni, le parti nella riunione del 28 maggio 2024 hanno dovuto prendere atto dell’impossibilità di raggiungere una soluzione concordata.
Conseguenze della non applicazione della clausola contrattuale
Inoltre ha evidenziato al Garante Privacy i possibili effetti della non applicazione della clausola contrattuale, qualora eventuali indicazioni di parte datoriale fornite dall’Agenzia avessero limitato la portata applicativa della norma, con probabili ricorsi di organizzazioni sindacali cui il diritto all’accesso agli elenchi delle email istituzionali del personale fosse negato, esponendo così i datori di lavoro pubblici (circa 24.000) a contestazioni da parte dei sindacati che potrebbero intentare azioni ex art. 28 Legge 300/1970 per ottenere la condanna delle amministrazioni per comportamento antisindacale con conseguenti danni erariali a carico delle stesse in caso di soccombenza.
Chiarimenti del Garante Privacy sulle comunicazioni di dati
A sua volta l’Autorità con una serie di note precedenti a quella di fine ottobre 2024 ha precisato che la messa a disposizione alle organizzazioni sindacali dell’elenco degli account istituzionali rilasciati ai lavoratori da parte delle pubbliche amministrazioni costituisce, alla luce della vigente disciplina in materia di protezione dei dati personali, un trattamento di dati personali.
Il Regolamento citato prevede che ogni attività di trattamento debba trovare una sua base giuridica e può svolgersi solo rispettando le previsioni del Regolamento UE 2016/679 e del Decreto Legislativo 196 del 2003, che, specificatamente, con l’articolo 2-ter stabilisce che la comunicazione dei dati personali da parte di un soggetto pubblico a soggetto terzo è ammessa esclusivamente se prevista da una norma di legge o di regolamento.
Inoltre i soggetti pubblici, anche quando operano quali datori di lavoro, possono trattare i dati personali dei dipendenti se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a “un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento”.
La disciplina nazionale ha infatti introdotto disposizioni più specifiche per adeguare l’applicazione delle norme del Regolamento, determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto e in tale ambito, ha previsto che le operazioni di trattamento che consistono nella “comunicazione” di dati personali sono ammesse solo in presenza di un’idonea base giuridica.
Il Garante Privacy ha ricordato ad ARAN di aver più volte indicato in diversi Provvedimenti quali sono i presupposti che regolano i flussi di dati personali dalle Amministrazioni pubbliche, datrici di lavoro, alle organizzazioni sindacali, anche in presenza di specifiche disposizioni che prevedano prerogative sindacali che comportano comunicazioni di informazioni personali alle medesime organizzazioni.
Tali flussi devono infatti comunque avvenire nel rispetto dei principi di protezione dei dati e, in particolare, del principio di necessità, così come stabilito anche nel punto 2.3 delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14 giugno 2007 che sebbene adottate nel contesto del previgente quadro normativo in materia di protezione dei dati personali, forniscono tutt’ora indicazioni e orientamenti ancora compatibili con il rinnovato quadro normativo.
Nelle note di chiarimento fornite all’Agenzia l’Autorità ha citato anche i contenuti di una sua nota, la n. 49472 del 28 dicembre 2020, e di due Sentenze del Consiglio di Stato, la Sentenza n. 7064 del 9 agosto 2022 della Sezione Settima e la Sentenza n. 6098 del 30/08/2021 della Sezione Sesta, tutti atti che confermano che le comunicazioni di dati personali delle pubbliche amministrazioni alle organizzazioni sindacali devono rispettare, pur nel caso in cui ciò sia previsto da un obbligo di legge, le norme in materia di protezione dei dati personali, fornendo soltanto i dati che si siano dimostrati indispensabili.
Base giuridica per il trattamento dei dati personali
In riferimento, inoltre, alle comunicazioni di dati personali alle organizzazioni sindacali, il Garante, con nota prot. n. 49472 del 28 dicembre 2020, indirizzata sia all’Agenzia che al Ministero dell’Istruzione e all’Avvocatura Generale dello Stato, aveva precisato, in particolare, che il contratto collettivo non costituisce di per sé una base giuridica idonea, visto che pur essendo applicabile erga omnes, ormai da tempo e a seguito dell’emanazione del D.Lgs. n. 29/1993, non viene più approvato con atto legislativo, e che, “in assenza di una disposizione normativa che soddisfi i requisiti previsti dalla disciplina di protezione dei dati”, i dati personali relativi ai lavoratori non possono essere lecitamente comunicati alle organizzazioni sindacali.
Pertanto l’articolo 5, comma 1, del CCNQ del 30 novembre 2023, ha introdotto un trattamento di dati personali – la comunicazione di dati a terzi– che, incidendo sui diritti e libertà individuali, allo stato, non risulterebbe contemplato da disposizione normativa nazionale, andando a costituire, per ipotesi, un flusso generalizzato di dati da parte del datore di lavoro verso le organizzazioni sindacali, che darebbe luogo ad una “comunicazione” di dati personali non sorretta da idonea base giuridica.
Necessità di armonizzazione normativa
Quindi l’Autorità Garante, nel rilevare il mancato coordinamento della predetta disposizione contrattuale con il quadro europeo e nazionale di protezione dei dati, ha richiamato l’attenzione dell’Agenzia, “che è rimasta a disposizione per la ricerca di ogni consentita soluzione alla problematica in argomento nell’ambito della necessaria collaborazione istituzionale” e nell’ambito delle proprie specifiche competenze in materia di negoziazione e definizione dei contratti collettivi del personale dei vari comparti del pubblico impiego, sulla necessità di introdurre dei correttivi, anche ove possibile sul piano interpretativo, finalizzati alla piena armonizzazione del predetto accordo con la disciplina di protezione di dati.
Ciò nella prospettiva di assicurare la tutela dei diritti e delle libertà degli interessati e prevenire trattamenti di dati personali non conformi alla normativa in materia di protezione dei dati, con il rischio della possibile applicazione di misure correttive e sanzionatorie nei confronti delle Amministrazioni e dunque allo scopo di mettere le Amministrazioni nella condizione di assicurare il pieno rispetto della disciplina in materia di protezione dei dati personali e, in pari tempo, il regolare svolgimento delle relazioni sindacali tutelate dalla l. 30 maggio 1970, n. 300, prevenendo iniziative di datori di lavoro non conformi alla disciplina della protezione dei dati, ponendo in essere trattamenti che potrebbero avere ad oggetto dati personali di milioni di interessati.
Responsabilità del datore di lavoro e soluzioni proposte
Il datore di lavoro, titolare del trattamento, è, in ogni caso, tenuto a rispettare i principi di “liceità, correttezza e trasparenza”, “limitazione delle finalità”, “minimizzazione”, “responsabilizzazione”, “protezione dei dati fin dalla progettazione” e “protezione dei dati per impostazione predefinita”.
In base ai principi in materia di protezione dei dati personali e, in particolare, al principio di responsabilizzazione, spetta a ciascun titolare individuare i presupposti e le condizioni di liceità del trattamento dei dati, nonché essere in grado di dimostrare che il trattamento venga effettuato conformemente al Regolamento e al Codice
Ciò anche considerando la possibilità che lo specifico interesse delle OOSS all’esercizio del diritto di affissione nel contesto organizzativo dell’amministrazione, datore di lavoro, possa essere parimenti conseguito senza dar luogo a comunicazione di dati personali, prevedendo l’adozione di “misure meno invasive” di comunicazione e affissione, tali da poter ovviare alla comunicazione di dati personali trattati dal datore di lavoro, ad esempio, istituendo account di posta elettronica dedicati e non individuali ovvero altri strumenti quali bacheche virtuali accessibili dalla intranet da parte di tutti i dipendenti.
