Molto spesso accade che il datore di lavoro al momento dell’assunzione chieda al candidato il c.d. certificato penale (più precisamente il certificato del casellario giudiziale) per assicurarsi che la persona che vuole assumere non abbia commesso reati.
Ma questa prassi è permessa dal GDPR?
Il datore di lavoro può chiedere il casellario giudiziale?
Al momento la risposta è NO e implicitamente lo afferma anche il Garante della Privacy.
Il nuovo Regolamento privacy (2016/679/UE noto come GDPR) che è entrato in vigore lo scorso 25 maggio 2018 stabilisce infatti che il trattamento dei dati relativi alle condanne penali e ai reati può essere effettuato dai privati solamente in caso di autorizzazione espressa da parte della legge.
Non essendoci in linea generale una autorizzazione legale di questo genere il datore di lavoro non è quindi autorizzato a trattare tali dati e non può chiedere al candidato o al lavoratore di fornirgli il certificato del casellario giudiziale. Anche se il candidato ha espresso il proprio consenso il datore di lavoro non può farsi consegnare il certificato perché il GDPR vieta il trattamento dei dati riguardanti le condanne penali anche in presenza del consenso del soggetto interessato.
In realtà anche prima del GDPR il trattamento dei dati giudiziari subiva delle significative restrizioni. L’art. 27 del Codice Privacy permetteva infatti ai privati il trattamento dei dati solo se autorizzato dalla legge o da un provvedimento del Garante della Privacy. Il Garante aveva quindi regolato tale trattamento con un’autorizzazione generale, la numero 7 del 2016 che però è stata revocata dallo stesso Garante con il provvedimento del 13 dicembre 2018 proprio alla luce della nuova disposizione del GDPR e dell’abrogazione dell’art. 21 del Codice della Privacy.
Ciò non vuol dire che il trattamento di questi dati sarà sempre vietato ma occorre di volta in volta valutare se c’è un’autorizzazione da parte della legge o se si può trovare un’altra valida fonte di autorizzazione. Quel che è certo è che adesso la prassi generalizzata per cui al momento dell’assunzione viene richiesto il certificato delle condanne penali è sicuramente illecita in base alla normativa privacy: il datore di lavoro non può chiedere il casellario giudiziale a tutti i dipendenti. Tutto questo, ovviamente, in attesa di precisazioni normative o di un intervento chiarificatore da parte del Garante della Privacy.
Resterà quindi da capire in quali specifici casi il datore di lavoro potrà trattare i dati giudiziari lecitamente e senza incorrere nelle pesanti sanzioni pecuniarie previste dal GDPR (fino a 20 milioni di Euro o al 4% del fatturato se superiore).