Dati giudiziari e privacy: come comportarsi in ambito aziendale?

Spesso, quando viene assunto un nuovo dipendente, le aziende richiedono notizie circa eventuali condanne penali a carico del candidato. 

Sebbene la previgente normativa prevedesse che l’ottenimento dei dati giudiziari del candidato da parte dell’impresa fosse una pratica legittima in una più ampia serie di casi – e in linea con la norma ISO 37001:2016 in materia di anticorruzione – oggi la disciplina della materia risulta profondamente cambiata, con conseguenze importanti per le organizzazioni che necessitino di trattare i dati giudiziari degli interessati.

Il precedente impianto normativo in materia di trattamento dei dati giudiziari era costituito da varie fonti (art. 27 del Codice in materia di protezione dei dati personali, Autorizzazione 7/2016 del Garante, CCNL di riferimento), oggi in gran parte abrogate.

In sostanza, risultava possibile richiedere i dati giudiziari di dipendenti e candidati in una più ampia serie di casi, ad esempio anche ove ciò fosse previsto dai contratti collettivi nazionali del lavoro.

Oggi, l’articolo 10 del GDPR prevede che i dati giudiziari degli interessati possano essere trattati solo se ciò avviene sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri.  
Volendo semplificare, il GDPR rimanda la regolamentazione di questo tema eventuale disciplina specifica (europea o nazionale).            
L’avvento del GDPR ha provocato, in Italia, l’abrogazione dell’esistente impianto normativo in materia di trattamento dei dati giudiziari (art. 27 del Codice Privacy, Autorizzazione 7/2016, CCNL).

La principale conseguenza è che oggi, in Italia, solo una norma di legge o un atto equiparato è in grado di stabilire quando e come sia possibile trattare i dati giudiziari degli interessati.

Nel nostro paese, ad oggi, non esiste una norma generale che disciplini specificamente questo tema e che vada a definire in che limiti i CCNL possano intervenire: la conseguenza è che le imprese che abbiano la necessità di trattare i dati giudiziari si scontrano con una normativa frammentaria e stratificata, di difficile interpretazione, e sulla quale si basa la possibilità di incorrere in sanzioni e risarcimenti di danni.

Che cosa fare quindi, di fronte a un tale vuoto legislativo?