Il GDPR interviene in aiuto dei lavoratori che non riescono a ottenere dal loro ex datore gli attestati di formazione conseguiti. In particolare, è fondamentale l’articolo 15 del Regolamento europeo. Vediamo la situazione, affrontando un caso pratico.
Indice degli argomenti
Perché è difficile ottenere gli attestati dall’ex datore: il caso
Nel corso delle mie attività di redazione dei documenti di valutazione rischio in materia di Salute e sicurezza sul lavoro (d.Lgs. 81/08), al momento di verificare la formazione svolta dai dipendenti neoassunti presso i precedenti Datori di lavoro (in caso di mantenimento della mansione), una delle risposte più comuni suona più o meno così “i corsi li ho fatti, ma il mio vecchio titolare non mi vuole dare gli attestati perché dice che li ha pagati lui”.
Sinceramente non ho mai approfondito il tema e ho sempre liquidato la questione ribadendo che servivano gli attestati: “se non ci sono quelli, bisogna rifare il corso”.
Recentemente mi sono imbattuto nel caso di un’azienda che avendo rilevato un appalto, aveva preso in carico anche i dipendenti precedente occupati presso la vecchia appaltatrice. La tipologia di formazione in materia di Salute e Sicurezza sul lavoro di cui necessitavano i “neoassunti” risultava essere particolarmente onerosa sia dal punto di vista economico, sia per la tipologia dei corsi (alto rischio e formazione specifica per le attrezzature), ma soprattutto per le ore di mancata produzione. Ovviamente la precedente azienda, indispettita, si rifiutava di consegnare gli attestati di formazione agli ex dipendenti.
A questo punto mi sono deciso ad affrontare la questione “di petto”: ho provato a ricercare nel D.lgs. 81/08 (Salute e Sicurezza sul Lavoro) un appiglio che obbligasse il precedente datore di lavoro a consegnare la documentazione e ho cominciato ad analizzare con attenzione l’art. 37, trovando i seguenti riferimenti:
- il paragrafo 14 prevede l’istituzione del fantomatico libretto formativo del cittadino destinato a “seguire” il lavoratore ad ogni cambio di “casacca”. Progetto mai del tutto partito perché lasciato alla volontà delle singole Regioni;
- il paragrafo 9 recita: “Si intende che per consentire ai lavoratori, preposti, dirigenti e, di conseguenza, anche ai datori di lavoro di poter usufruire dei crediti formativi, copia dell’attestato relativo alla formazione effettuata è opportuno venga rilasciata al lavoratore, al preposto o al dirigente”. È appunto la parola “opportuno” che non stabilendo un sicuro obbligo, viene utilizzata dal vecchio Datore di lavoro per non consegnare copie degli attestati;
- il paragrafo 12 chiarisce invece che i costi dell’erogazione della formazione, non sono lasciati al buon cuore del datore di lavoro, ma: “La formazione dei lavoratori e quella dei loro rappresentanti deve avvenire, in collaborazione con gli organismi paritetici, ove presenti nel settore e nel territorio in cui si svolge l’attività del datore di lavoro, durante l’orario di lavoro e non può comportare oneri economici acarico dei lavoratori”.
I dati negli attestati
Sinceramente non ho trovato poi molto per convincere il vecchio datore di lavoro, ma una volta vestiti i panni del consulente privacy mi sono chiesto se gli attestati di formazione non contenessero informazioni relative o riconducibili a persone fisiche (i lavoratori) e non ricadessero nella definizione di dato personale ai sensi dell’art. 4 del Regolamento EU 679/2016 (di seguito GDPR).
Confermata l’applicabilità della normativa privacy, sono applicabili anche tutti i diritti dell’interessato (sempre il lavoratore) previsti dagli artt. 15-22 del GDPR.
Da non dimenticare che anche un vecchio Provvedimento del Garante Privacy, chiariva “che il lavoratore ha diritto di accesso non solo ai dati identificativi, ma a tutte le informazioni contenute nel suo fascicolo personale e quindi anche le informazioni inerenti ai giudizi e alle note di qualifica professionale”.
Il tutto mi riporta al diritto di accesso dell’interessato previsto dall’art. 15 del GDPR che al paragrafo 3 prevede: “Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall’interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l’interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell’interessato, le informazioni sono fornite in un formato elettronico di uso comune”.
Il diritto alla portabilità
Si potrebbe anche pensare di applicare l’art. 20 del GDPR “diritto alla portabilità dei dati”, che a prima lettura sembrerebbe analogo al paragrafo 3 dell’art. 15, ma invece è diverso e non applicabile a questo caso specifico, infatti l’interessato lo può esercitare quando:
- “i dati personali sono trattati sulla base del consenso preventivo dell’interessato oppure in esecuzione di un contratto di cui l’interessato è parte, o ancora di misure precontrattuali adottate su sua richiesta. Tale diritto non sarà quindi applicabile ai dati il cui trattamento è fondato su ragioni di interesse pubblico o sull’interesse legittimo del titolare”. Nel caso specifico si potrebbe pensare al contratto di lavoro come un contratto di cui l’interessato è parte, invece la corretta interpretazione è che i dati per essere portabili, siano stati forniti consapevolmente e in modo attivo da parte dell’interessato (quindi trattati sulla base del suo consenso preventivo) oppure che siano diventati oggetto di trattamento a seguito di attività da lui stesso svolte, quali la fruizione di un servizio o l’utilizzo di un dispositivo;
- che il trattamento sia effettuato con mezzi automatizzati. Saranno esclusi quindi i dati conservati in archivi cartacei, come invece avviene spesso per gli attestati di formazione.
Il diritto alla portabilità dei dati è un diritto nuovo legato alla volontà di sviluppare un’economia digitale all’interno dell’UE, mettendo fine a monopoli e garantendo i diritti degli interessati: si potrebbe pensare al diritto di “spostarsi” da un provider di posta elettronica ad un altro o alla possibilità di esportare i propri dati personali da un social network prima della chiusura di un account.
Per ottenere gli attestati il riferimento normativo corretto rimane l’art. 15 e non il 20, che essendo simile a volte viene male interpretato.
Conclusione
Individuati tutti i riferimenti normativi applicabili rimane da trovare le modalità per far valere le ragioni dei lavoratori.
È stato sufficiente che i lavoratori inviassero una mail al loro precedente datore di lavoro richiedendo in maniera formale di esercitare il diritto di accesso ai dati attraverso l’apposita modulistica reperibile al sito del Garante ed intimando di ricevere un riscontro nei tempi stabiliti dal GDPR, magari ricordando che l’art. 83 prevede che la violazione delle norme relative ai diritti degli interessati (tra cui l’art. 15) è punita con sanzioni amministrative pecuniarie fino a 20 000 000 di Euro, o per le imprese, fino al 4 % del fatturato mondiale totale annuo dell’esercizio precedente.
Risultato: gli attestati sono stati consegnati in una settimana. Molto spesso il consumatore/interessato non è consapevole delle tutele che vengono offerte dal GDPR.
