Uffici Risorse Umane e GDPR. Manager a confronto durante il Colin Focus Day

05/05/2016
di roberto

Si è svolto il Colin Focus Day orientato alle finalità e alla gestione dei dati negli Uffici Risorse Umane, realizzato da Colin & Partners e In2law in qualità di partner organizzativo. Poche ore dopo la pubblicazione in Gazzetta Ufficiale del testo definitivo, l’evento è stato l’occasione per veicolare nelle aziende l’importanza del momento e l’opportunità da cogliere per ristrutturare l’organizzazione dei processi interni.

L’organizzazione dei processi

I relatori, Valentina Frediani ed Alessandro Cecchetti, hanno cercato di leggere il testo della GDPR secondo i flussi di informazione di dipendenti e fornitori che si muovono nell’ufficio HR. Necessarie le premesse in continuità con il Codice Privacy italiano: mappatura, elenco delle banche dati ed identificazione dei flussi di lavoro. In particolare, l’Ufficio risorse umane deve monitorare i processi che riguardano i dati in uscita, ovvero le informazioni dei dipendenti che fuoriescono verso soggetti esterni, ad esempio per l’elaborazione di buste paghe o per il funzionamento di sistemi di apprendimento.

Data retention e consensi

La prima domanda da porsi in veste di HR Manager è “Quanto si stanno controllando i dati e i flussi di processo dei dipendenti”? Un altro punto debole riguarda la Data Retention, ovvero la conservazione dei dati a conclusione di un rapporto o di un processo di selezione, per mettere un punto ed evitare di trattenere dei dati non più necessari.

Questa criticità risulta rilevante quando le raccolte di dati avvengono attraverso piattaforme elettroniche che gestiscono anche l’acquisizione del consenso: quando i dati sono necessari ad instaurare il rapporto contrattuale non serve un consenso ma ci possono essere dati ulteriori rispetto alla prestazione lavorativa (si pensi per attribuire premi o assegni familiari) il cui trattamento richiede il consenso: il Titolare deve essere in grado di dimostrare che l’interessato ha espresso il proprio consenso al trattamento dei propri dati personali.

Se invece si tratta di un richiedente impiego, l’azienda deve ottenere il consenso al primo contatto utile (il colloquio) e concedere a quel candidato la possibilità di revocarlo o aggiornare le sue informazioni in possesso dell’azienda.

Il principio dell’accountability per gli HR

Il principio dell’accountability fortemente rafforzato nel Regolamento Europeo stabilisce che spetta al titolare dimostrare l’aderenza dell’azienda alle disposizioni. Mentre è impegnativo ma teoricamente efficace prevedere ogni tipo di processo e di documentazione, è il dipendente la variabile più difficile da gestire: come dimostrare di aver messo in atto misure tecniche ed organizzative adeguate?

Si aggiungono alle Responsabilità del Titolare, che fanno dell’ufficio HR il nodo nevralgico della compliance del fattore umano.

  • Procedure: quando proporzionato al trattamento, si deve prevedere l’implementazione di policy relative alla tutela dei dati personali da tradurre a tutta la popolazione aziendale.
  • Formazione: diventa uno strumento dirimente come prova della compliance normativa, dimostrando di aver messo le persone in grado di capire quali sono i rischi che si corrono nella gestione dei dati.

Il tecnocontrollo

Di particolare interesse per gli Uffici Risorse Umane, sono gli aspetti collegati al nuovo art.4. Con l’evoluzione tecnologica vi è la necessità di ampliare i casi e dare garanzia che non si superi i limiti posti a tutela della libertà dei dipendenti.

Nella nuova definizione dell’art.4, la tutela del patrimonio riguarda tutto il know how aziendale e sappiamo quanto il secondo comma sugli strumenti per rendere la prestazione lavorativa ha suscitato interpretazioni e sollevato questioni: richiamando la nota del Ministero del Lavoro resa pubblica a Giugno 2015, precedentemente al Decreto Attuativo del Jobs Act, sembra che l’accordo sindacale vincoli solo le applicazioni successive installate su pc e tablet, non in dotazione di fabbrica degli strumenti. Ad esempio un proxy istallato sul pc, che permette la tracciabilità della navigazione, tecnicamente deve funzionare in un certo modo ed il dipendente deve esserne cosciente.

Molte domande hanno comprovato l’interesse dei partecipanti, soprattutto rispetto ai gestionali e software in dotazione nelle loro aziende che potenzialmente possono prevedere un controllo capillare e continuativo. Per questo, i fornitori dei servizi e dei software sono i principali destinatari della compliance normativa richiesta dal nuovo Regolamento.

DPO

Per quanto le aziende abbiano due impegnativi anni di adeguamento verso la nuova disciplina, per gli HR Manager l’individuazione e la formazione della figura deputata alla protezione dei dati in azienda (DPO- data protection officer) suscita molte domande. Per l’Avv. Valentina Frediani è l’ultimo passaggio nella lista di adempimenti da compiere nel prossimo anno e mezzo: serve capire quali siano le reali necessità dell’azienda e successivamente individuare una risorsa, interna, esterna o collegiale che abbia un peso effettivo e che conosca bene la realtà operativa.

Realtà multinazionali

Il regolamento impatta particolarmente sulle aziende multinazionali, sia per quelle che avendo solo filiali in Europa vedono armonizzarsi il quadro giuridico di riferimento, sia per quelle che hanno l’Head Quarter fuori dall’Europa, ma le cui attività di trattamento riguardano l’offerta di beni o prestazione di servizi ai suddetti interessati nell’Unione. La ratio è che i dati di cittadini europei e dei dipendenti portatori di diritti che circolano liberamente nel mondo siano soggetti alle stesse politiche individuate in Europa.

Riproduzione riservata ©

ALTRE NEWS

Videosorveglianza: come cambia nel tempo il ruolo dei soggetti terzi deputati al trattamento delle immagini

Con l’avvento delle digitalizzazione in ogni settore della nostra vita, si sono aperti nuovi ed interessanti scenari nell’ambito dei sistemi di videosorveglianza; negli ultimi anni… Leggi Tutto

Manovra Monti: impatto da 0 a 10? 1!

Riduzione oneri in materia di privacy:  e questa sarebbe la riduzione? No cari miei, questa è l’ennesima modifica al Decreto Legislativo  196/2003 che niente modifica…. Leggi Tutto

E-commerce: piattaforma ODR per accrescere la fiducia

In adempimento alla Direttiva 2013/11 dell’Unione Europea in materia di metodi alternativi di risoluzione delle controversie, ed al Regolamento EU n. 524/2013 sulle dispute legate… Leggi Tutto

COLIN & PARTNERS

CHI SIAMO


Consulenza legale specializzata sul diritto delle nuove tecnologie

CONOSCIAMOCI
CHI SIAMO

Cultura e innovazione

SPEECH & EVENTI


Le nostre competenze a disposizione della vostra azienda

I prossimi appuntamenti

Siamo felici di dare il nostro contributo in numerosi eventi che trattano di nuove tecnologie e business digitale sotto vari aspetti. Il nostro apporto si ispira ai temi di interesse legale che, sempre più spesso, coinvolgono l’intera organizzazione.

Inoltre, a cadenza mensile, organizziamo il Colin Focus Day, un incontro di approfondimento gratuito sempre molto apprezzato. A Milano, o in videoconferenza, il Colin Focus Day è occasione di confronto e networking su temi legali-informatici e business.

CONTATTACI

OPERIAMO
A LIVELLO
GLOBALE


Tel. +39 0572 78166

Tel. +39 02 87198390

info@consulentelegaleinformatico.it

Compila il form






    * Informativa Privacy Autorizzo il trattamento dei miei dati personali secondo quanto stabilito dal regolamento europeo per la protezione dei dati personali n. 679/2016, GDPR.

    * (campo obbligatorio)
    Questo sito è protetto da reCAPTCHA e vengono applicate l' Informativa sulla Privacy e i Termini e Condizioni di Google.