Il GDPR per gli artigiani

Nella maggior parte dei casi gli artigiani non trattano dati personali "particolari" cioè quelli inerenti la salute e la vita sessuale della persona, l'orientamento sessuale, le opinioni politiche e convinzioni religiose o filosofiche, l'appartenenza sindacale, i dati genetici e biomentrici, l'origine raziale e etnica (gli ex dati sensibili descritti dal Codice Privacy per intenderci). Essi non sono, quindi, tenuti a nominare un Data Protection Officer (DPO, cioè un responsabile della Protezione dei Dati) e nemmeno sono tenuti a predisporre un Registro dei Trattamenti o ad effettuare un Data Protection Impact Assestment (DPIA).

Normalmente, infatti, l'artigiano tratta solo i dati personali identificativi dei clienti, necessari per effettuare le sue prestazioni, emettere fatture e incassare pagamenti; ciò non richiede alcun adempimento nuovo rispetto a quanto previsto dalla previgente normativa in materia di privacy. Egli dovrà esclusivamente prestare attenzione affinché i dati personali dei propri clienti, raccolti in archivi cartacei o informatici, non vengano divulgati a terzi o smarriti o involontariamente distrutti. Qualora sia presente un archivio cartaceo, per evitare la divulgazioni dei dati a terzi, egli dovrà ad esempio predisporre una armadiatura provvista di serratura; per evitare la distruzione involontaria dei dati dovrà, ad esempio, collocare un estintore in prossimità dell'archivio. Qualora sia invece presente un archivio informatico, l'artigiano dovrà garantirne la sicurezza mettendo in pratica tutti gli accorgimenti tecnologici necessari per impedire accessi non autorizzati, guasti tecnici o attacchi informatici (ex: password, firewall, antivirus, ecc.). Né più e né meno di ciò che già era tenuto a fare in base alla precedente normativa Privacy.

Discorso diverso va fatto quando l'artigiano utilizza personale dipendente. In questo caso egli acquisirà i dati personali "particolari" necessari alla gestione dei rapporti di lavoro. Avrà infatti contatti con gli enti assicurativi/previdenziali (ad esempio: indennità di malattia o infortunio) e con le associazioni sindacali (ad esempio: trattenuta della quota associativa in busta paga). Ciò comporta necessariamente la gestione da parte del datore di lavoro di detti dati che, come sappiamo, l'art. 9 del GDPR vieta di trattare se non con l'esplicito consenso dell'interessato o in determinati casi espressamente previsti dalla legge. Orbene, nonostante l'art. 9, paragrafo 2, lett. b) e h) del GDPR consenta espressamente all’interessato il trattamento dei dati personali "particolari" quando si tratta di adempiere agli obblighi previsti in materia di Diritto del Lavoro e Medicina del Lavoro, è in uso la pratica di raccogliere il consenso scritto del lavoratore al trattamento dei suoi dati. L'artigiano dovrà allora premurarsi di fornire al lavoratore l'informativa sul trattamento dei dati e raccogliere il consenso scritto al trattamento di quelli personali "particolari". Qualora poi il datore di lavoro deleghi a terzi la gestione dei i rapporti di lavoro, ad esempio un consulente del lavoro, ritengo opportuno nominare quest'ultimo, per iscritto con apposito contratto, quale Responsabile del Trattamento dei Dati.