IFI Advisory: il Vetting, parte seconda

IFI Advisory, nell’articolo che segue a firma di Umberto Saccone, Presidente di IFI Advisory e Angelo Russo, Compliance Manager e DPO, presenta la seconda parte del processo di Vetting argomento di grande importanza, che ha suscitato forte interesse già con la prima parte, pubblicata su S News n.50 e su snewsonline.com.

Buona lettura!

la Redazione

IFI ADVISORY: IL VETTING, PARTE SECONDA

2.3 Tipologie di controlli
Di seguito si elencano le principali tipologie di controlli preassuntivi (che trovano tuttavia limitazione nelle previsioni normative elencate nella prima parte):

a. Verifiche sull’identità del candidato.
b. Verifiche sulla carriera scolastica/accademica.
c. Qualifiche professionali, precedenti esperienze lavorative e relative referenze.
d. Record militare.
e. Controlli sui precedenti penali.
f. Controlli sullo stato di salute.
g. Controlli sui media.
h. Indagini finanziarie e Storia creditizia.
i. Iscrizione nelle Sanction Lists.

a) Verifiche sull’identità del candidato
Verifica del codice fiscale
L’Agenzia delle Entrate ha realizzato un servizio di verifica del codice fiscale che permette di verificare l'esistenza e la corrispondenza tra un codice fiscale e i dati anagrafici di un soggetto, confrontando i dati inseriti con quelli registrati in Anagrafe tributaria. La consultazione, ad accesso libero, è stata disposta dal Decreto Legge 78/2010 convertito dalla Legge 122/2010 [1] . Grazie a questo servizio è possibile effettuare due tipi di verifiche rilevanti ai fini del pre-employment screening [2]:
• Verifica codice fiscale di persona fisica o di soggetto diverso da persona fisica – per eseguire la verifica occorre inserire il codice fiscale del soggetto. Il servizio verifica anche la validità di un codice fiscale provvisorio numerico attribuito a una persona fisica (il servizio non consente di verificare la validità di una partita Iva).
• Verifica e corrispondenza tra il codice fiscale e i dati anagrafici di una persona fisica – Il servizio verifica la validità e la corrispondenza tra un codice fiscale e i dati anagrafici completi di una persona fisica, attraverso il collegamento con l'Anagrafe tributaria.

Registri anagrafici
I registri anagrafici, per quanto “pubblici” (art. 1, L. 1228/54 [3]), non sono direttamente consultabili da persone estranee all’ufficio dell’anagrafe (art. 37, comma 1, DPR 223/89 [4]). Tuttavia, è previsto che l’ufficiale di anagrafe rilasci “a chiunque ne faccia richiesta”, fatte salve le limitazioni di legge [5], i certificati concernenti la residenza e lo stato di famiglia.

In materia di tutela dei dati personali contenuti nei registri anagrafici, il Garante della privacy si è espresso in passato tramite il parere n. 1057180 secondo cui “l´ufficiale d´anagrafe non deve richiedere il consenso degli interessati per rilasciare certificati a norma di legge.”Al contrario, (precisa il Garante), deve ritenersi illegittima la prassi di un Comune di fornire dati ed elenchi a terzi (nel caso di specie i nominativi dei nati e dei deceduti nel territorio comunale alle redazioni dei giornali locali) al di fuori delle modalità previste dalla disciplina dei registri dello stato civile, degli atti anagrafici o di altra normativa.”

Verifiche sul registro dello stato civile
L’art. 450 del codice civile, pur affermando il principio della pubblicità dei registri dello stato civile [6], esclude che essi possano essere consultati direttamente dai privati, demandando ai soli ufficiali preposti al servizio di rilasciare estratti o certificati e di svolgere negli atti affidati alla loro custodia le indagini richieste dai privati: ed è principio più volte ribadito che sono legittimati a richiedere estratti e certificati e lo svolgimento di indagini solo coloro che vi abbiano un personale interesse [7].
Il “personale interesse” andrà accertato volta per volta dalla Amministrazione Responsabile; in tal senso, una sentenza del Consiglio di Stato ha sancito che  “In caso di domanda di accesso ai documenti amministrativi il soggetto richiedente deve specificare il nesso che lega il documento richiesto alla propria posizione soggettiva, ritenuta meritevole di tutela; detta domanda deve, inoltre, indicare i presupposti di fatto idonei a rendere percettibile l'interesse specifico, concreto ed attuale, corrispondente ad una situazione giuridicamente tutelata e collegata al documento“[8]; si pensi ad esempio ad un coerede che necessiti di conoscere lo stato civile del de cuius, o ad un investigatore privato che svolga i propri compiti previo possesso di una licenza prefettizia.
Pertanto, anche in ossequio alla normativa GDPR, richieste di accesso generalizzato ai dati dello stato civile, saranno oggetto di attenta analisi, al fine della valutazione se la conoscenza da parte di chiunque del dato personale richiesto, possa arrecare un pregiudizio concreto alla protezione dei dati personali.
In questa direzione si pone anche la nuova disciplina in ambito privacy prevista dall’art. 2 sexies commi 1 e 2 del D.lgs. 196/2003 prevede che “I trattamenti delle categorie particolari di dati personali di cui all'articolo 9, paragrafo 1, del  Regolamento,  necessari  per  motivi  di  interesse  pubblico  rilevante  ai  sensi  del  paragrafo  2,  lettera g),  del  medesimo  articolo,  sono  ammessi qualora  siano  previsti  dal diritto  dell'Unione europea ovvero,  nell'ordinamento interno,  da  disposizioni  di  legge  o, nei casi previsti dalla  legge,  di regolamento che specifichino i tipi di dati che possono  essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le  misure  appropriate  e  specifiche  per  tutelare  i  diritti  fondamentali  e  gli  interessi  dell'interessato.”

b) Verifiche sulla carriera scolastica/accademica
Il datore di lavoro è legittimato a verificare le dichiarazioni fornite dal candidato in relazione al suo background scolastico e accademico. L’art. 96 del nuovo D.lgs. 196/2003 prevede che “al fine di agevolare l'orientamento, la formazione e l'inserimento professionale, anche all'estero, le istituzioni del sistema nazionale di istruzione, i centri di formazione professionale regionale, le scuole private non paritarie nonché le istituzioni di alta formazione artistica e coreutica e le università statali o non statali legalmente riconosciute su richiesta degli interessati, possono comunicare o diffondere, anche a privati e per via telematica, dati relativi agli esiti formativi, intermedi e finali, degli studenti e altri dati personali diversi da quelli di cui agli articoli 9 e 10 del Regolamento, pertinenti in relazione alle predette finalità e indicati nelle informazioni rese agli interessati ai sensi dell'articolo 13 del Regolamento. I dati possono essere successivamente trattati esclusivamente per le predette finalità. Resta ferma la disposizione di cui all'articolo 2, comma 2, del decreto del Presidente della Repubblica 24 giugno 1998, n. 249, sulla tutela del diritto dello studente alla riservatezza. Restano altresì ferme le vigenti disposizioni in materia di pubblicazione dell'esito degli esami mediante affissione nell'albo dell'istituto e di rilascio di diplomi e certificati.” La norma disciplina il trattamento dei dati degli studenti (da parte di scuole pubbliche e private) prevedendo che la scuola possa, senza consenso dell’interessato, diffondere i dati per agevolare la ricerca di lavoro o occasioni formative. In ogni caso è fatto salvo l’obbligo per la scuola di tutelare la sicurezza delle informazioni degli studenti, ad esempio proteggendo il contenuto degli archivi e rimanendo l’unico tramite autorizzato per l’accesso a informazioni scolastiche.

c) Qualifiche professionali, precedenti esperienze lavorative e relative referenze
Il datore di lavoro è legittimato a verificare quanto dichiarato dal candidato in merito al possesso di qualifiche professionali e a precedenti esperienze lavorative. È inoltre legittima la verifica delle referenze fornite. In questi casi, il datore di lavoro può procedere ad interviste di prossimità, anche per via telefonica, a datori di lavoro precedenti, ex colleghi etc.
Per quanto riguarda l’iscrizione ad Albi professionali, il Garante per la Privacy, ha osservato che, per loro stessa natura e funzione, essi sono ispirati ad un regime di piena pubblicità [9] ed ha quindi escluso che sia necessario acquisire il consenso dell’interessato [10], orientamento poi confermato dall’accountability prevista nel GDPR. Non per tutti gli ordini professionali esistono banche dati a livello nazionale. È questo il caso, ad esempio, dell’Ordine dei Medici Chirurghi e Odontoiatri, per i quali la ricerca dev’essere effettuata a livello provinciale. Per quanto riguarda gli avvocati, invece, è disponibile una banca dati nazionale [11]. Da queste banche dati è possibile reperire informazioni circa luogo e data di nascita, codice fiscale (non sempre disponibile), titoli di studio conseguiti, data e numero di iscrizione all’albo.

d) Record militare
Per ex appartenenti alle Forze Armate e Forze dell’Ordine è opportuno richiedere all'interessato di produrre il proprio “Foglio matricolare”, in cui, oltre ai luoghi/date degli incarichi vengono specificate le mansioni ricoperte. Solo il candidato potrà infatti proporre istanza presso gli enti competenti tramite l’utilizzo dei fac simile messi a disposizione dal Ministero della difesa [12]. In assenza di tale foglio matricolare, sarà comunque possibile richiedere al candidato un’autocertificazione relativa all’assolvimento degli obblighi di leva.

e) Controlli sui precedenti penali
Il casellario giudiziale contiene notizie relative a tutti i provvedimenti (giudiziari ed amministrativi) passati in giudicato riferiti ad ogni singolo cittadino ed è diviso in tre tipologie – civile, penale e generale – da cui derivano altrettanti certificati. Il certificato dei carichi pendenti contiene invece i procedimenti attualmente in corso a carico di un cittadino.
Il Testo unico sul casellario giudiziale [13] prevede che la “visura” del Certificato del casellario giudiziale (art. 23) e di quello dei carichi pendenti (art. 27) sia consentita, senza necessità di richiesta motivata, al diretto interessato e alle autorità giudiziarie. Anche le PA e i gestori di pubblici servizi possono richiedere tale “visura”, relativamente a soggetti maggiorenni, se questo risulta necessario allo svolgimento della loro attività (art. 28).

L’imprenditore può lecitamente accertare, mediante la richiesta del certificato penale, l’assenza di condanne passate in giudicato, ma solo quando ciò sia previsto dalla contrattazione collettiva e solo se  “indispensabile per […] adempiere o esigere l´adempimento di specifici obblighi o eseguire specifici compiti previsti da leggi, dalla normativa dell´Unione europea, da regolamenti o da contratti collettivi, anche aziendali, e ai soli fini della gestione del rapporto di lavoro“ [14].
Sul bilanciamento tra l’interesse dell’imprenditore e quello del candidato si è espressa la Corte di Cassazione che, con Sent. Cass. Civ., Sez. Lavoro, n. 1902 del 17 luglio 2018, ha ritenuto illegittima, se non prevista esplicitamente dalla contrattazione collettiva, la richiesta del certificato dei carichi pendenti al momento dell’assunzione, in quanto lesiva del principio di presunzione di innocenza sancito dall’art. 27 Cost. secondo cui “l’imputato non è considerato colpevole sino alla condanna definitiva”. Quanto al certificato del casellario giudiziale, esso può essere richiesto a un candidato poiché le informazioni relative a sentenze passate in giudicato possono essere rilevanti ai fini dell’assunzione, soprattutto per lo svolgimento di alcuni impieghi [15].
In alcuni settori lavorativi specifici è comunque ammessa la richiesta, da parte del datore di lavoro, sia del certificato del casellario giudiziale, che quello dei carichi pendenti. È questo il caso del “CCNL per i quadri direttivi e per il personale delle aree professionali dipendenti dalle imprese creditizie, finanziarie e strumentali (CCNL Credito) del 2012” [16], che ammette, ai fini dell’assunzione, la richiesta del certificato generale del casellario giudiziale di data non anteriore a 3 mesi ed il certificato dei carichi pendenti (art. 38).

f) Controlli sullo stato di salute
Come previsto dal D.lgs. 81/2008, la visita medica preventiva in fase preassuntiva, deve essere esclusivamente legata ad una mansione per la quale è previsto l’obbligo di sorveglianza sanitaria. Non può comunque essere effettuata per accertare lo stato di gravidanza e negli altri casi vietati dalla normativa vigente (come ad esempio è stabilito nell’ipotesi di sieropositività, dall’art. 6 della legge n° 135/1990). Il D.lgs. 81/2008 afferma infine che anche le visite mediche preventive in fase di preassunzione, così come tutti gli altri tipi di visite mediche, “sono, altresì, finalizzate alla verifica dell’assenza delle condizioni di alcool dipendenza e di assunzione di sostanze psicotrope o stupefacenti”.

La visita medica preventiva in fase preassuntiva è facoltativa in quanto effettuata a discrezione del datore di lavoro, che può decidere se effettuarla prima o dopo l’assunzione del candidato.

Tuttavia, la scelta di effettuare la visita preventiva in fase preassuntiva, consentirà al datore di lavoro di assumere personale fisicamente idoneo, senza doverlo successivamente destinare ad altra mansione che sia compatibile con il suo stato di salute o a risolvere il suo contratto per impossibilità sopravvenuta della prestazione oppure a licenziarlo per giustificato motivo.
Avverso giudizi di idoneità e/o non idoneità formulati dal medico competente in fase preassuntiva, è ammesso il ricorso all’organo di vigilanza competente per territorio entro 30 giorni dalla comunicazione del giudizio.

g) Indagini finanziarie e storia creditizia
I Sistemi di Informazioni Creditizie (SIC) sono banche dati che raccolgono e gestiscono informazioni relative a richieste/rapporti di credito di cui sono parte enti finanziari (banche e società finanziarie). Le informazioni detenute in queste banche dati possono essere scambiate ed utilizzate solo dai soggetti che la alimentano ed esclusivamente per finalità correlate alla tutela del credito e al contenimento dei relativi rischi [17]. L’accesso ai dati al di fuori di queste finalità è illecito. Il soggetto censito può accedere ai propri dati ed ottenerne l’aggiornamento, la rettificazione o l’integrazione. Questa stessa facoltà può essere esercitata tramite un soggetto delegato, che può agire solo al di fuori di un interesse personale o di terzi ad esso collegati, con l’unico scopo della tutela dell’interessato. Si esclude quindi la possibilità per terze parti private di accedere a queste informazioni nel corso del pre-employment screening. Dal momento in cui però la normativa vigente non lo vieta espressamente, si può presumere che, nel rispetto di quanto previsto dall’art. 10 del D.lgs 276/2003 [18], il datore di lavoro possa richiedere al candidato di fornire queste informazioni.

h) Iscrizione nelle Sanction Lists
Sul sito web dell’Unità di Informazione Finanziaria (UIF) della Banca d’Italia sono disponibili i link ad alcune liste consultabili gratuitamente, in alcuni casi previa registrazione ( Liste ONU, Lista consolidata di tutti gli individui e le organizzazioni soggetti a sanzioni finanziarie internazionali in Europa, Lista OFAC) [19]. Esistono poi altre banche dati consultabili online dietro pagamento (ad esempio World Compliance [20] e World Check [21]).

Summary

Conclusioni
“Omne ignotum pro magnifico” (Tutto ciò che è sconosciuto appare magnifico) diceva Tacito. 
È paradossale come l’impresa moderna tenda ad assumere i propri collaboratori senza prevedere delle procedure di background check organiche e strutturate che valutino l’impatto in ambito security di ogni potenziale assunzione.
Spesso ciò avviene in virtù di un meccanismo puramente psicologico che porta molti datori di lavoro a fidarsi più del proprio intuito e delle informazioni fornitegli dai candidati che delle informazioni ricavabili da un background check approfondito.
Nell’intraprendere un processo di selezione appropriato per determinare l’adeguatezza di un candidato ad un impiego specifico, i datori di lavoro devono osservare la dovuta diligenza al fine di verificare la possibilità che i candidati portino discredito all’azienda o difficoltà con colleghi, dirigenti, clienti o fornitori. In questo senso, le procedure di vetting rappresentano un elemento chiave nella conduzione della due diligence in relazione al processo di selezione.
Le finalità complessive del pre-employment screening sono così riassumibili [22]:
• Prendere la giusta decisione in merito all’assunzione di un candidato:
• Proteggere gli asset dell’azienda (persone, proprietà ed informazioni);
• Proteggere la propria clientela;
• Ridurre il turnover;
• Aumentare la produttività;
• Ridurre il rischio di disordini sul luogo di lavoro.

Nella loro conduzione, il datore di lavoro deve:
• Essere imparziale nei confronti di tutti i candidati, attribuendo importanza ai fatti riscontrati e non alle proprie opinioni personali;
• Assicurare la non discriminazione ed il rispetto della normativa sulla tutela dei dati personali;
• Assicurare la rilevanza dei controlli in relazione all’impiego offerto;
• Essere trasparente con i candidati relativamente alle modalità e alle finalità delle procedure di controllo.

Malgrado tali indicazioni fornite dalla Legge, si rileva che, nei casi in cui sia prevista una verifica preassuntiva, molte imprese demandano l’incombenza ad attività spesso disorganiche ed estemporanee ignorando che, nell’epoca dell’informazione diffusa e della stringente normativa italiana ed europea sulla tutela dati personali (Regolamento UE 679/2016 – General Data Protection Regulation, GDPR – normativa giuslavoristica e di settore supra richiamata), il valore aggiunto in materia di verifiche preassuntive è l’approccio e il know how di un professionista specializzato.

di Umberto Saccone, Presidente di IFI Advisory
e Angelo Russo, Compliance Manager e DPO, IFI Advisory