Provvedimento del Garante del 14 giugno 2007

1. Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico Provvedimento del Garante del 14 giugno 2007

2. Lavoro e previdenza sociale Il Titolo VIII del Codice è dedicato al lavoro e alla previdenza sociale. Il titolo comprende esclusivamente norme riproducenti altre disposizioni già esistenti nello specifico settore del lavoro e poste a presidio della riservatezza del lavoratore. Il legislatore, come si legge nella relazione di accompagnamento al codice, ha ritenuto di non alterare la coerenza di altri testi normativi organici che prevedevano al loro interno norme rilevanti in ambito di riservatezza (artt. 2, 3, 4, 5, 6, 8 legge 300/70 Statuto di lavoratori).

3. Lavoro e previdenza sociale Altre ragioni attengono alla specificità che assume il trattamento dei dati personali in ambito lavorativo e alla sostanziale disparità di potere in cui si trovano i protagonisti del trattamento, titolare e interessato nella misura in cui coincidono con il datore di lavoro e il lavoratore.

4. Lavoro e previdenza sociale • L’art. 111 attribuisce al Garante il compito di promuovere la sottoscrizione di un apposito codice di deontologia e buona condotta in materia di trattamento dei dati personali per finalità previdenziali o per la gestione del rapporto di lavoro. • Il codice riguarderà i soggetti pubblici e privati che in qualità di attori, attuali o potenziali di un contratto di lavoro hanno la necessità di assumere informazioni sui lavoratori o su coloro che aspirano a diventare tali. • Il garante nella redazione del codice è tenuto a coinvolgere le categorie interessate nell’osservanza del principio di rappresentatività e a verificare l’osservanza di leggi e regolamenti anche attraverso le osservazioni dei soggetti interessati.

5. Lavoro e previdenza sociale • Come gli altri codici di deontologia previsti dal decreto lgs 196/2003 il rispetto delle prescrizioni frutto dell’autoregolamentazione delle categorie interessate, costituirà una condizione essenziale per la liceità e la correttezza del trattamento di dati personali effettuato dai relativi titolari. • Di conseguenza le regole contenute nel Codice, una volta che il Garante ne abbia giudicato la conformità alle leggi e ai regolamenti, disponendone la pubblicazione sulla Gazzetta Ufficiale, saranno idonee a vincolare tutti i titolari del settore lavorativo, a prescindere dalla loro sottoscrizione o dalla loro adesione all’associazione che lo abbia sottoscritto.

6. Lavoro e previdenza sociale • Il codice inoltre potrà stabilire specifiche modalità per l’informativa all’interessato e per l’eventuale prestazione del consenso relativamente alla pubblicazione degli annunci per finalità di occupazione e alla ricezione dei curricula contenenti anche dati sensibili. • Il concetto di “gestione del rapporto di lavoro “ impiegato per definire l’oggetto dell’opera di autoregolamentazione, sia da interpretarsi in senso ampio, in modo da comprendere anche l’insieme delle attività finalizzate all’assunzione o all’instaurazione di un rapporto di lavoro.

7. Statuto dei lavoratori e codice privacy • Il complesso sistema di garanzie a tutela del lavoratore previste dallo legge 300/70 non ha subito mutamenti a seguito dell’entrata in vigore della normativa generale sulla protezione dei dati personali. • Il Capo II del titolo VIII del Codice dedicato al lavoro nel suo primo ed unico articolo (il 113) ha previsto la salvaguardia di quanto disposto dall’art. 8 dello statuto dei lavoratori. • L’art. 184 del Codice ribadisce la salvaguardia di tutte le altre disposizioni che fissano divieti e limiti più restrittivi in materia di trattamento di alcuni dati personali, ivi comprese le norme dello Statuto.

8. Statuto dei lavoratori e codice privacy • Le norme dello Statuto e le altre disposizioni dell’ordinamento lavoristico circoscrivono il potere del datore di lavoro di assumere e trattare le informazioni che riguardano i lavoratori. • In particolare l’art. 8 dello statuto vieta al datore di lavoro di effettuare indagini ai fini dell’assunzione o durante lo svolgimento del rapporto di lavoro, anche tramite terzi, sulle opinioni politiche religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione della sua attitudine professionale.

9. Statuto dei lavoratori e codice privacy • La disposizione dell’art. 8 dello Statuto assume un ruolo cardine, perché delimita l’area delle informazioni che il datore può lecitamente conoscere e legittimamente trattare • Il trattamento dei dati del lavoratore per essere legittimo deve svolgersi nel rispetto delle regole generali previste dal Codice • Per essere lecito deve però previamente svolgersi entro i confini stabiliti dall’ordinamento lavoristico e in particolare entro i limiti fissati dallo Statuto.

10. Il provvedimento Il Garante della privacy con un provvedimento del 14 giugno 2007 operando una sintesi di tutti gli interventi più significativi compiuti negli ultimi anni sull’argomento, ha emanato delle linee guida che dovranno ispirare la gestione del trattamento dei dati personali nell’ambito del rapporto di lavoro. Si tratta non di disposizioni con forza di legge, ma di una sorte di direttiva sulla suddetta complessa materia, che intende fornire un punto di riferimento per gli operatori che devono gestire i trattamenti dati nell’ambito della gestione del rapporto di lavoro.

11. Il provvedimento • Precedentemente il Garante aveva emanato un provvedimento contenente le linee guida per i trattamenti effettuati da datori di lavoro privati. • La necessità di emanare due provvedimenti deriva da alcune specificità che si pongono per le amministrazioni pubbliche ( regole particolari relative ai trattamenti, oneri a carico del datore pubblico relativi a casi di necessaria comunicazione o diffusione dei dati ecc.

12. Tipologia dei dati dei lavoratori • Relativamente alla tipologia dei dati trattati, cioè dei dati personali suscettibili di entrare a fare parte nella gestione del rapporto di lavoro si distinguono due tipi di dati personali: • Dati strettamente inerenti la persona del lavoratore, quali dati anagrafici, dati biometrici, fotografie e dati sensibili, idonei in particolare a rivelare il credo religioso o l’adesione a sindacati, dati idonei a rivelare lo stato di salute, di regola contenuti in certificati medici per giustificare assenza dal lavoro o per godere di permessi particolari;

13. Tipologia dei dati dei lavoratori • Dati che nascono in funzione del rapporto di lavoro, quali la qualifica e il livello professionale, la retribuzione, la retribuzione accessoria, il tempo di lavoro, ferie e permessi individuali, l’assenza dal servizio, trasferimenti ad altra sede di lavoro, procedimenti e provvedimenti disciplinari. L’origine dei dati può provenire dal lavoratore stesso (che li comunica sia in fase di preassunzione o durante lo svolgimento del rapporto) sia dal datore di lavoro in forza dell’esecuzione del contratto (busta paga, profili personali, provvedimenti disciplinari ecc.), sia da terzi come le associazioni sindacali.

14. Tipologia dei dati dei lavoratori I datori di lavoro pubblici e privati devono assicurare un livello elevato di tutela dei diritti e delle libertà fondamentali del lavoratore che hanno diritto di ottenere che il trattamento dei dati effettuato mediante l’uso di tecnologie telematiche sia conforme ai predetti diritti e libertà. E’ importante che le amministrazioni rendano sempre più efficienti i propri sistemi informativi individuando forme di trattamento che tutelino a pieno i dipendenti

15. I Principi • Il datore di lavoro pubblico può lecitamente trattare i dati del personale dipendente quando ciò sia necessario per la corretta gestione del rapporto di lavoro con modalità proporzionale ai singoli scopi: propri fini istituzionali gestione del rapporto di lavoro.

16. Principi • Anche in relazione al rapporto di lavoro il trattamento dei dati personali deve essere effettuato rispettando: • I principi di necessità e liceità • I presupposti e i limiti previsti da leggi e regolamenti rilevanti per il trattamento, in particolare in materia di pubblico impiego. • Il principio di indispensabilità nel trattamento dei dati sensibili e giudiziari che vieta di trattare informazioni o effettuare operazioni che non siano realmente indispensabili per raggiungere determinate finalità e rese pubbliche con il relativo regolamento.

17. Il datore di lavoro deve: informare preventivamente il lavoratore Adottare adeguate misure di sicurezza al fine di evitare un uso indebito dei dati da parte di terzi I Principi

18. Finalità del trattamento Il trattamento dei dati personali e sensibili riferibili ai lavoratori deve essere finalizzato allo scopo esclusivo o prevalente dell’adempimento dei compiti o obblighi che derivano dal rapporto di lavoro e di impiego alle dipendenze delle pubbliche Amministrazioni. Il datore di lavoro dovrà quindi tenere conto delle leggi, dei regolamenti, ma anche del contratto collettivo ed integrativo che consentono di trattare lecitamente i dati personali. Dovrà quindi attenersi a tali disposizioni e alle finalità per le quali sono stati raccolti i dati.

19. Dati sensibili In particolare per il trattamento dei dati sensibili il datore di lavoro pubblico deve adottare maggiori cautele quando le informazioni sono idonee a rivelare profili particolarmente delicati della vita del dipendente quali la salute, le convinzioni politiche, sindacali, religiose, l’origine razziale o etnica. Il datore di lavoro pubblico potrà effettuare il trattamento dei dati sensibili e giudiziari solo in presenza di apposito regolamento. In assenza di regolamento il trattamento è illecito e da ciò ne deriva l’inutilizzabilità dei dati e può derivarne l’adozione di provvedimenti anche giudiziari di blocco o divieto del trattamento.

20. Titolare Responsabile Incaricato Il provvedimento del Garante si sofferma sulla corretta individuazione delle figure di Titolare, Responsabile e incaricato del trattamento, argomento del corso privacy precedente.

21. Il titolare Ai sensi dell’art. 4 comma 1 lett. f) del Codice si consideratitolaredel trattamento la persona fisica, giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alla modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza. Deve considerarsi tale nell’ambito di una amministrazione pubblica, di una società o di un altro ente, la struttura nel suo complesso, ossia il soggetto cui competono le scelte di fondo sulla raccolta e sull’utilizzazioni dei dati.

22. Il titolare Ciò significa che non devono essere considerati quali titolari le singole persone fisiche che amministrano o che rappresentano la struttura, anche se questa ultima opererà, nelle scelte che di volta in volta saranno assunte, proprio per il tramite di tali soggetti. Pertanto, titolare del trattamento è l’Università considerata nel suo complesso.

23. Il responsabile del trattamento Ulteriore figura prevista dal codice è quella del responsabile, ovvero la persona fisica, giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento dei dati personali.

24. Gli incaricati del trattamento Gli incaricati sono le persone fisiche autorizzate dal titolare o dal responsabile a compiere le operazioni di trattamento. L’art. 30 del codice chiarisce che le operazioni di trattamento possono essere realizzate solo da soggetti nominati incaricati.Tale precisazione rende evidente l’obbligo di provvedere ad effettuare la designazione nei confronti di tutti i soggetti che, all’interno della struttura, abbiano la possibilità di elaborare dati personali. La conoscenza delle informazioni da parte di persone non nominate incaricati del trattamento si configurerebbe, infatti come una comunicazione di dati personali.

25. Comunicazione • I soggetti pubblici possono effettuare la comunicazione di dati ad altri soggetti pubblici solo in presenza di norma di legge o di regolamento che la preveda. Quando manca la previsione normativa o regolamentare non possono essere comunicati dati personali del dipendenti a terzi.

26. Comunicazioni di dati sensibili Sono da considerarsi lecite le comunicazioni a terzi di informazioni di carattere sensibile quando esse siano realmente indispensabili per perseguire le finalità di rilevante interesse pubblico connesse all’instaurazione e alla gestione di rapporti di lavoro da parte di soggetti pubblici di cui all’art. 112 del Codice.

27. Trasmissioni di dati • Il datore di lavoro oltre a designare i soggetti che possono lecitamente venire a conoscenza dei dati relativi al trattamento – responsabili e incaricati – deve adottare tutte le cautele anche nelle trasmissioni tra gli stessi incaricati o responsabili nelle attività di organizzazione e gestione del personale. In questo flusso occorre evitare, di fare riferimenti a particolari condizioni personali riferite ai singoli lavoratori, specie se riguardano le condizioni di salute, utilizzando solo le informazioni indispensabili, pertinenti e non eccedenti. Esempio: utilizzando solo espressioni generiche o codici numerici oppure riportando le informazioni solo nei provvedimenti, limitandosi a richiamarli nelle comunicazioni interne e indicando gli estremi o un estratto del loro contenuto.

28. Trasmissioni di dati Il datore di lavoro deve inoltre adottare forme di comunicazione personalizzata con il lavoratore, evitando che le informazioni relative allo stesso, specie se sensibili, vengano conosciute da soggetti diversi dal destinatario, anche se incaricati di alcune operazioni di trattamento. Esempio: inoltrando le comunicazioni in plico chiuso, invitando l’interessato a ritirare la documentazione presso gli uffici, inviando comunicazioni telematiche individuali.

29. Trasmissioni di dati L’uso del telefax come mezzo di comunicazione è consentito, ma con particolari modalità per talune fattispecie come per esempio le comunicazioni di procedimenti disciplinari. In ogni caso anche per l’uso del telefax è necessario adottare le cautele atte ad evitare la conoscenza dei documenti da parte di persone non legittimate.

30. Diffusione La diffusione di dati personali può avvenire solo quando è prevista espressamente da disposizioni di legge o regolamento anche mediante l’uso di tecnologie informatiche (art. 3 d.lg 7 marzo 2005 n. 82 Codice dell’amministrazione digitale). In ogni caso in cui all’amministrazione sia consentito, anche sulla base di disposizioni regolamentari, fare uso di reti telematiche per diffondere documenti contenenti dati personali ciò deve essere fatto osservando sempre i principi di necessità pertinenza e non eccedenza. Occorre poi selezionare le informazioni e non diffondere informazioni idonee a rivelare lo stato di salute degli interessati.

31. Diffusione • A tale divieto non si può derogare invocando generiche esigenze di pubblicità connesse alla trasparenza delle procedure. Non è consentito diffondere i nominativi degli aventi diritto al collocamento obbligatorio contenuti in elenchi o graduatorie. Il Codice ne vieta l’utilizzo anche in relazione alla concessione di benefici ed agevolazioni.

32. Medico competente In materia di igiene e sicurezza del lavoro (decreto legislativo 81/2008 e succ mod.) il medico competente ha la sorveglianza sanitaria obbligatoria e il relativo trattamento dei dati contenuti nelle cartelle cliniche. Infatti il medico competente effettua accertamenti preventivi e periodici sui lavoratori e istituisce una cartella sanitaria e di rischio. La cartella è custodita presso l’amministrazione con salvaguardia del segreto professionale e viene consegnata al lavoratore al momento della risoluzione del rapporto di lavoro o quando lo stesso ne faccia richiesta.

33. Medico competente • In caso di cessazione del rapporto di lavoro le cartelle vengono trasmesse all’Istituto superiore prevenzione e sicurezza sul lavoro-ISPESI. • Alle cartelle il datore di lavoro non può accedere deve soltanto custodirle nei locali dell’amministrazione anche in vista di eventuali accertamenti ispettivi. • Nel caso in cui il medico informi il datore di lavoro della necessità di adottare misure preventive e protettive per i lavoratori esposti a rischio, egli potrà accedere soltanto al giudizio di idoneità del lavoratore a svolgere determinate mansioni, ma non alle patologie accertate.

34. Medico competente • Nel caso in cui il medico competente si avvalga di personale sanitario deve predisporre le misure più idonee a garantire il rispetto del segreto professionale da parte dei propri collaboratori che non siano per legge tenuti a tale segreto.

35. Rapporti con le organizzazioni sindacali Sulla base dei contratti collettivi le organizzazioni sindacali hanno specifici diritti di informazione sindacale preventiva e successiva. Le pubbliche amministrazioni devono porre particolare attenzione a tali prerogative sindacali, avendo cura che la trasmissioni di dati alle medesime organizzazioni avvenga nel rispetto dei principi di necessità e proporzionalità. Alle organizzazioni sindacali potranno essere forniti dati numerici o aggregati e non nominativi: informazioni inerenti i sistemi di valutazione dei dirigenti; la ripartizione delle ore di lavoro straordinario; l’erogazione del trattamento accessorio;

36. Rapporti con le organizzazioni sindacali • Le organizzazioni sindacali possono presentare istanze di accesso a dati personali relativi ad uno o più lavoratori su delega o procura; • Possono esercitare il diritto di accesso a documenti amministrativi in materia di gestione del personale, sempre nei limiti previsti dalla legge e previa motivazione relativa alla salvaguardia di un interesse di cui sia portatore il sindacato medesimo. • L’amministrazione può fornire alle organizzazioni sindacali informazioni personali relative alle ritenute effettuate a carico dei propri iscritti, sempre in conformità alle disposizioni contrattuali e adottando le misure di sicurezza previste dal codice.

37. Concorsi e selezioni • Altro problema affrontato nel provvedimento del Garante è quello del trattamento dei dati nella fase antecedente l’instaurazione del rapporto di lavoro, cioè i dati trattati dall’amministrazione a seguito della pubblicazione di graduatorie di concorsi e selezioni pubbliche in particolare la contestuale pubblicazione delle stesse sul sito web. • Un regime di pubblicità che ci riguarda in esclusiva è quello previsto per le procedure di reclutamento dei professori universitari e dei ricercatori, con riferimento alle informazioni contenute nelle relazioni riassuntive dei lavori svolti e negli annessi giudizi individuali e collegiali sui candidati.

38. Concorsi e selezioni Innanzitutto bisogna chiedersi: se sia legittima la pubblicazione di una graduatoria di concorso su Internet anche se ciò è previsto dal regolamento di Ateneo; Se sia legittimo che i nominativi dei partecipanti al concorso con le loro date e luoghi di nascita, che gli eventuali titoli di preferenza quali ad esempio l’avere figli o essere figli di invalidi, siano accessibili a cioè a chiunque navighi in rete.

39. Concorsi e selezioni • Al riguardo il Garante ha affermato che laddove la finalità da perseguire riguardi solo una o alcune categorie di persone, andrebbero previste forme di accesso in Rete selezionato, attribuendo agli interessati una chiave personale (username, password, n. di protocollo della domanda, o altri estremi identificativi di una pratica forniti dall’ente agli aventi diritto). • Quindi le amministrazioni dovrebbero adottare accorgimenti tecnici tali da far si che una eventuale graduatoria ad un concorso inserita sul web sia consultabile solo da chi possieda una password o identificativi specifici di modo che la stessa sia esclusa dall’accesso libero e non pertanto accessibile da qualsivoglia persona;

40. Concorsi e selezioni • A tal fine è bene ricordare che l’amministrazione ha adempiuto i suoi obblighi di legge con la pubblicazione sul proprio albo e che la messa in rete della graduatoria è un accorgimento ultroneo, meritevole di per sé, ma che non può comunque violare la normativa sulla privacy. • In ogni caso il Garante ha chiarito che negli atti delle graduatorie concorsuali da pubblicare è assolutamente vietato inserire dati superflui quali ad esempio recapiti di telefonia fissa o mobile, titoli di studio o codice fiscale. • Vanno quindi pubblicati solo mi dati personali pertinenti e non eccedenti, ai fini del corretto espletamento della procedura concorsuale e della sua rispondenza ai parametri stabiliti nel bando di concorso. • Ciò vale non solo per la pubblicazione su Internet ma anche per la pubblicazione sull’albo.

41. Concorsi e selezioni • Altra domanda da porsi è: quanto tempo poi queste graduatorie devono stare sul sito, cioè c’è un limite temporale oltre il quale il trattamento è illegittimo o possono stare sine die. • E’ fuori discussione che un limite temporale vi deve essere e sarebbe opportuno ha precisato il Garante che tale termine venga stabilito per le varie tipologie di atti dall’ente in via amministrativa. • In assenza di una determinazione dell’ente al riguardo, il Garante si è espresso nel senso che è assolutamente da garantire il diritto all’oblio dell’interessato e quindi i documenti contenenti dati personali andrebbero rimossi dal web una volta perseguita la finalità alla base del trattamento.

42. Concorsi e selezioni • Secondo la dottrina maggioritaria la pubblicazione sia nell’albo e a fortiori sul web non dovrebbe superare i termini per eventuali impugnative giudiziarie. • Il tenere una graduatoria oltre questi termini comporterebbe un trattamento eccessivo e quindi in quanto tale illecito. • E’ ovviamente consentito la diffusione in Internet di un avviso che indichi il periodo durante il quale determinati documenti sono consultabili presso l’amministrazione.

43. Asilo Nido Aziendale • Il Garante si è anche espresso per un’altra categoria di graduatorie quelle relative all’ammissione di minori ad asili nido, graduatoria peraltro che anche l’Università di Palermo effettua. • In questo caso il Garante ha innanzitutto precisato che la graduatoria deve essere priva di alcuni dati perché, benché possono essere dei requisiti richiesti per avere accesso al servizio, non appare opportuno esternarli e rendere conoscibili a terzi, quali ad esempio la condizione reddituale del nucleo familiare, indirizzi, residenze e in generale qualunque dato inerente al minore dal quale possono evincersi specifiche condizioni soggettive ed oggettive del minore ed in ogni caso del suo nucleo familiare.

44. Asilo Nido Aziendale • Particolare attenzione deve essere fatta al riguardo nell’evitare di inserire in graduatoria dati riguardanti la presenza di persone diversamente abili, anche alla luce del divieto di diffondere dati idonei a rivelare lo stato di salute.

45. Graduatorie delle domande di mobilità esterna ed interna • Il Garante si è anche pronunciato riguardo alla graduatorie di chi presenta domanda di trasferimento tra amministrazioni pubbliche diverse o anche all’interno della stessa amministrazione. • Come tutti noi sappiamo in tal caso gli interessati possono fruire di benefici e titoli di preferenza in base alla legge n.104/1992.

46. Graduatorie delle domande di mobilità esterna ed interna • A tal fine il Garante ha chiarito che generiche esigenze di pubblicità connesse alla trasparenza della relativa procedura non possono in alcun modo consentire di derogare allo specifici divieto di diffusione di personali idonei a rivelare lo stato di salute. • La graduatorie quindi non devono riportare accanto ai nominativi dei soggetti che hanno presentato domanda di trasferimento riferimenti riguardanti condizioni di salute che potrebbero giustificare una precedenza degli interessati.

47. Organizzazione degli uffici - retribuzione cariche ed incarichi pubblici • Alcune disposizioni normative dispongono che le pubbliche amministrazioni rendano noto attraverso i propri siti Internet, determinati dati personali relative ai propri dipendenti. • Es. organigramma degli uffici con l’elenco dei nominativi dei dirigenti; • Elenco delle caselle di posta elettronica istituzionali. Tali dati, ovviamente, sono utilizzabili da terzi solo in relazione a comunicazioni e scopi correlati alle funzioni istituzionali e al ruolo ricoperto dal dipendente nell’amministrazione.

48. Organizzazione degli uffici - retribuzione cariche ed incarichi pubblici Le amministrazioni possono inoltre diffondere su Internet i dati personali dei dirigenti inquadrati nei ruoli istituiti da ciascuna amministrazione(art. 23 decreto legislativo 165/2001) osservando sempre i principi di completezza, esattezza, aggiornamento, pertinenza e non eccedenza dei dati. Altre disposizioni prevedono specifici regimi di pubblicità concernenti le retribuzioni, i livelli stipendiali, o le situazioni patrimoniali di titolari di cariche o incarichi pubblici. Altre disposizioni legislative prevedono un regime di pubblicità per i livelli stipendiali e le situazioni patrimoniali di parlamentari e consiglieri di enti locali.

49. Organizzazione degli uffici - retribuzione cariche ed incarichi pubblici • Altre disposizione consentono al datore di lavoro pubblico di acquisire, ma non di pubblicare, taluni dati personali relativi alla situazione patrimoniale dei propri dirigenti e, se gli stessi vi consentono anche del coniuge e dei figli conviventi, previa informativa sul trattamento che ne verrà effettuato. • In detta ipotesi non è però consentito alle amministrazioni di conoscere l’integrale contenuto delle dichiarazioni dei redditi, che possono contenere informazioni anche di natura sensibile, quali ad esempio alcune detrazioni di imposta per determinate patologie ecc.

50. Organizzazione degli uffici - retribuzione cariche ed incarichi pubblici • Salvo le ipotesi esaminate non è consentito di regola al datore di lavoro di diffondere informazioni personali riferite a singoli lavoratori attraverso la pubblicazione in documenti o comunicati affissi nei luoghi di lavoro o in circolari destinate a tutti i lavoratori, come nelle ipotesi di informazioni riguardanti contratti individuali di lavoro, trattamenti stipendiali o accessori percepiti, assenze dal lavoro per malattia, ferie, permessi iscrizioni e/o adesioni di singoli dipendenti ad associazioni.