In breve
- Per gestire il rapporto di lavoro non serve il consenso: la base giuridica è il contratto e gli obblighi di legge.
- Il principio operativo è la minimizzazione: si raccoglie e si mostra solo quello che serve a quel ruolo.
- Il fornitore del software è responsabile del trattamento e va nominato con un atto: senza, la posizione dell’azienda è scoperta.
La gestione del personale è, dal punto di vista dei dati, l’attività più delicata di un’azienda: contiene informazioni identificative, retributive, sanitarie, familiari, disciplinari. È anche quella dove si commettono più errori banali — la cartella condivisa con tutti, il gruppo di messaggistica con i certificati medici, il curriculum inoltrato per conoscenza.
Non serve un progetto di conformità per sistemarla: servono quattro decisioni chiare e la disciplina di rispettarle.
01Su quale base si trattano
| Trattamento | Base giuridica |
|---|---|
| Anagrafica, contratto, retribuzione | Esecuzione del contratto e obblighi di legge |
| Presenze e assenze | Esecuzione del contratto e obblighi di legge |
| Sorveglianza sanitaria (giudizi di idoneità) | Obbligo di legge, con le tutele dei dati particolari |
| Formazione e abilitazioni | Obbligo di legge |
| Immagini e video del personale per comunicazione | Consenso, libero e revocabile |
| Geolocalizzazione | Presupposti dell’articolo 4 e valutazione di proporzionalità |
| Candidature | Misure precontrattuali, con informativa e tempi definiti |
02Chi vede cosa
- Ogni ruolo vede solo quello che gli serve: il responsabile di reparto le presenze della sua squadra, non le retribuzioni; l’amministrazione i dati per la gestione, non le diagnosi.
- I dati particolari — salute, appartenenze — hanno un regime rafforzato e vanno separati.
- I certificati medici contengono solo la prognosi: le diagnosi non devono arrivare in azienda e, se arrivano, non vanno conservate.
- Le comunicazioni interne non devono rivelare più del necessario: un’assenza si comunica come assenza, non con la sua causa.
- Chi tratta i dati va autorizzato e istruito: è un adempimento semplice che manca quasi ovunque.
03Il fornitore del software
Chi fornisce lo strumento con cui gestisci il personale tratta i dati per conto dell’azienda: è responsabile del trattamento e va nominato con un atto che regoli finalità, misure di sicurezza, subfornitori e restituzione dei dati. È l’azienda a restare titolare, e a rispondere.
Cosa chiedere prima di firmare
- Dove sono conservati i dati e in quali Paesi.
- Chi sono gli eventuali subfornitori e cosa fanno.
- Come sono separati i dati della tua azienda da quelli degli altri clienti.
- Chi, dal lato del fornitore, può accedere ai dati e con quali registrazioni.
- Come sono gestite le copie di sicurezza e con quali tempi di ripristino.
- Cosa succede ai dati alla fine del contratto: in che formato tornano indietro e in quanto tempo.
- Come vengono comunicate le violazioni di sicurezza e in quali tempi.
- Se esiste l’atto di nomina a responsabile e cosa contiene.
04Quando qualcosa va storto
- 1
Riconosci l’evento
Un file inviato alla persona sbagliata, un accesso non autorizzato, un dispositivo perso: sono tutte violazioni.
- 2
Valuta il rischio per le persone
Quali dati, quante persone, quali conseguenze possibili.
- 3
Notifica se dovuto
Al Garante entro settantadue ore quando ricorrono i presupposti, e agli interessati se il rischio è elevato.
- 4
Documenta comunque
Anche le violazioni non notificate vanno registrate: il registro è un obbligo.
- 5
Correggi la causa
Quasi sempre è un accesso troppo largo o un canale sbagliato, non un attacco.
Con Omega
Ogni azienda nel suo ambiente, separato dagli altri
- Un ambiente dedicato per ciascuna azienda cliente, con i dati non mescolati con quelli di nessun altro.
- Accessi per ruolo: chi guida una squadra vede la squadra, non le retribuzioni.
- Dati sanitari e giudizi di idoneità con visibilità limitata.
- Esportazione completa dei dati quando serve, senza dover chiedere il permesso a nessuno.
