Fascicolo personale e GDPR: quali informazioni può conservare il datore di lavoro?

In qualità di datore di lavoro, puoi conservare nel fascicolo personale solo i dati necessari per il rapporto di lavoro e per adempiere agli obblighi di legge. L'eccezione principale da tenere presente riguarda le informazioni sanitarie: puoi registrare l'assenza di un dipendente e le sue capacità residue, ma mai la diagnosi o la natura della malattia. Queste due regole, insieme ai periodi di conservazione prestabiliti, determinano cosa viene inserito nel fascicolo, cosa ne rimane escluso e per quanto tempo.

Cosa si può conservare nel fascicolo personale?

È possibile conservare i dati necessari all'esecuzione del contratto di lavoro e all'adempimento degli obblighi di legge. Il GDPR (in olandese: AVG) prevede che i dati personali non vengano conservati più a lungo o in quantità superiore a quanto necessario per il raggiungimento delle finalità del contratto.

In pratica, ciò comprende:

• Nome, indirizzo e data di nascita;
• il numero del servizio cittadino (burgerservicenummer, BSN);
• una copia del documento d'identità che hai verificato all'inizio del rapporto di lavoro;
• il contratto di lavoro e qualsiasi modifica;
• dati relativi a stipendi e buste paga;
• valutazioni e corrispondenza relative alle prestazioni;
• registri di formazione e date di assenza;
• registrazioni di avvertimenti o provvedimenti disciplinari.

Il numero di servizio civico e la copia del documento d'identità sono presenti nel fascicolo perché la legislazione fiscale e previdenziale lo richiede. È proprio questo obbligo legale a rendere lecito conservarli. Non è consentito richiedere una copia di un documento d'identità per nessun altro scopo.

Quali dati non è consentito conservare?

Non è consentito registrare la natura o la causa di una malattia, la diagnosi, il trattamento o i farmaci. Ciò vale anche quando il dipendente ve lo comunica volontariamente e persino con il suo consenso.

L'Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens, AP) elenca nelle sue norme interne relative ai dipendenti malati quali informazioni è consentito registrare quando un dipendente segnala un'assenza per malattia. In breve: numero di telefono e indirizzo di residenza del dipendente, durata prevista dell'assenza, impegni lavorativi e professionali in corso, se si applica una disposizione di tutela (vangnetregeling), se l'assenza è legata a un infortunio sul lavoro e se si tratta di un incidente stradale con responsabilità di terzi.

Dal medico aziendale (bedrijfsarts) o dal servizio di medicina del lavoro, è possibile ricevere e registrare informazioni sulle mansioni che il dipendente può e non può svolgere, sulla durata prevista dell'assenza, sul grado di incapacità lavorativa e su eventuali adattamenti consigliati. La cartella clinica rimane in possesso del medico aziendale. Non è possibile accedervi.

Altri dati che non appartengono al file:

• categorie particolari di dati personali ai sensi dell'articolo 9 del GDPR, come religione, opinione politica, appartenenza sindacale, origine etnica e orientamento sessuale, a meno che non si applichi una specifica eccezione di legge;
• note sulla vita privata del dipendente che non hanno alcuna attinenza con il lavoro;
• Impressioni personali non strutturate, annotate dai manager. I dipendenti potrebbero vederle e spesso, in un contesto di controversia, il loro significato cambia radicalmente rispetto a quando sono state scritte.

Per quanto tempo è consentito conservare i dati del personale?

Il GDPR non stabilisce periodi fissi: i dati non possono essere conservati più a lungo del necessario (articolo 5, paragrafo 1, lettera e) del GDPR). L'AP utilizza i seguenti periodi, calcolati a partire dalla fine del rapporto di lavoro.

I dati dei candidati che non vengono assunti vengono normalmente distrutti entro quattro settimane dalla conclusione della procedura di selezione. Con il consenso del candidato, è possibile conservarli per un massimo di un anno.

Un piano di conservazione che stabilisca questi periodi per categoria, e che venga effettivamente applicato, trasforma la conformità da una semplice intenzione in una prova concreta.

Quali diritti ha il dipendente?

I dipendenti possono consultare il proprio fascicolo, far correggere i dati inesatti e, in determinate circostanze, far cancellare i dati. È necessario rispondere senza indebito ritardo e al più tardi entro un mese (articolo 12, paragrafo 3, del GDPR).

Le richieste di accesso spesso arrivano all'inizio di una controversia di lavoro. Il dipendente può quindi visionare tutto il contenuto del fascicolo entro quel periodo di un mese, comprese le note dei responsabili.

Che cosa dovresti verificare in qualità di datore di lavoro?

Lavora con una struttura fissa e registra le tue scelte nel registro previsto dall'articolo 30 del GDPR.

• Per ogni dipendente, è necessario tenere un fascicolo con una struttura ben definita, in modo che sia chiaro il suo contenuto.
• Limitare l'accesso alle sole persone che ne hanno bisogno e registrare chi vi ha accesso.
• Le informazioni relative a eventuali malattie vanno comunicate al medico aziendale e non inserite nel fascicolo personale.
• Applicare i periodi di conservazione in una data fissa ogni anno, anziché caso per caso.
• Registra tutto ciò nel tuo registro delle attività di trattamento (articolo 30 GDPR). L'esenzione per le organizzazioni con meno di 250 dipendenti raramente è utile in questo caso, perché i dati del personale vengono trattati regolarmente. Il registro è spesso il primo documento richiesto da un'autorità di controllo.

Che cosa dovresti controllare come dipendente?

• Hai richiesto l'accesso al tuo fascicolo (articolo 15 del GDPR) e lo hai ricevuto entro un mese?
• Il file contiene una diagnosi o altri dettagli medici che spettano al medico aziendale?
• Esistono valutazioni o note inesatte di cui è possibile richiedere la correzione ai sensi dell'articolo 16 del GDPR?
• Il tuo ex datore di lavoro conserva i dati per periodi più lunghi di quelli indicati nella tabella precedente?

Cosa possiamo fare per lei con il fascicolo personale?

I nostri avvocati specializzati in diritto del lavoro forniscono consulenza a datori di lavoro e dipendenti in materia di fascicoli del personale:

• Esaminiamo i vostri fascicoli personali e le cartelle cliniche in conformità al GDPR e alle norme della politica aziendale in materia di pagamenti.
• Prepariamo un piano di conservazione e le relative voci per il vostro registro ai sensi dell'articolo 30.
• Prepariamo la risposta alla richiesta di accesso entro il termine di un mese.
• Richiediamo l'accesso, la correzione o la cancellazione dei dati per conto di un dipendente.
• Offriamo consulenza sull'utilizzo del fascicolo personale in caso di licenziamento o altre controversie di lavoro.

Sintesi

• Conserva solo i dati necessari per il contratto di lavoro e per adempiere ai tuoi obblighi di legge.
• Non registrare mai una diagnosi o la natura di una malattia, nemmeno con il consenso del dipendente; le limitazioni funzionali segnalate dal medico aziendale possono essere registrate.
• La maggior parte dei dati relativi al personale viene conservata per 2 anni dopo la cessazione del rapporto di lavoro; la dichiarazione dei redditi e la copia del documento d'identità per 5 anni dopo l'anno solare di cessazione del rapporto; alcuni dati relativi alle buste paga per 7 anni.
• Rispondere a una richiesta di accesso entro un mese.
• Definisci i periodi di conservazione per ciascuna categoria in un programma e applicali ogni anno.

Domande frequenti