Nel contesto aziendale e lavorativo l’utilizzo dei sistemi di geolocalizzazione è sempre più frequente. Sono diverse le motivazioni che spingono i datori di lavoro a dotarsi di detti sistemi e a installarli sulla propria flotta aziendale o sui propri devices. Tra queste vi sono l’adempimento di specifici obblighi di legge, particolari esigenze produttive o organizzative, la tutela del patrimonio aziendale, ecc.
Attenzione, però, che l’utilizzo dei predetti sistemi deve necessariamente fare i conti non solo con la disciplina giuslavoristica, ma anche con quella in materia di protezione dei dati personali. È bene, quindi, avere chiaro non solo quando le predette normative trovano applicazione, bensì quali sono gli adempimenti da realizzare per non incorrere in sanzioni, tenendo anche conto del settore in cui il datore di lavoro si trova a operare.
Geolocalizzazione: tra Statuto dei Lavoratori e GDPR
Come detto, l’utilizzo dei sistemi di geolocalizzazione è ormai un fenomeno consolidato in molte realtà aziendali, che però comporta l’adozione di una serie di cautele nella sua gestione.
Andiamo con ordine.
L’esigenza di installare detti sistemi su flotte aziendali o altri dispositivi tecnologici (quali smartphone, tablet, ecc.) assegnati ai dipendenti per lo svolgimento dell’attività lavorativa può derivare, in alcuni casi, proprio dalla necessità di adempiere ad un obbligo di legge e, in altri, dalla volontà del datore di lavoro di soddisfare proprie esigenze di tipo produttivo e organizzativo, di ottimizzare l’utilizzo delle proprie risorse, di garantire la sicurezza dei propri lavoratori o di tutelare il patrimonio aziendale.
In quest’ultimo caso, il datore di lavoro deve fare necessariamente i conti con i limiti dettati dalla disciplina giuslavoristica e, nello specifico, dall’art. 4 dello Statuto dei Lavoratori, oltre che con quelli previsti dalla normativa privacy, che non possono di certo essere trascurati.
L’art. 4 dello Statuto dei Lavoratori
Con riferimento al primo aspetto, l’art. 4 dello Statuto dei Lavoratori sancisce che “gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali”.
Tra “gli altri strumenti” possono rientrare anche i sistemi di geolocalizzazione, purché questi siano elementi “aggiuntivi” e non vengano utilizzati “in via primaria ed essenziale per l’esecuzione dell’attività lavorativa ma, per rispondere ad esigenze ulteriori di carattere assicurativo, organizzativo, produttivo o per garantire la sicurezza del lavoro”.
La protezione dei dati personali
Con riferimento al secondo aspetto, anche la protezione dei dati personali gioca un importante ruolo. Infatti, tali sistemi a prescindere che siano installati su flotte aziendali o devices consentono di raccogliere una serie di informazioni che, direttamente o indirettamente, possono essere associati ai lavoratori che li hanno un uso, configurando a tutti gli effetti un vero e proprio trattamento di dati personali ai sensi del Regolamento UE 2016/679 (di seguito “GDPR”).
Gli adempimenti privacy da attuare
In questi casi, quindi, diversi sono gli adempimenti da realizzare al fine di garantire il rispetto della normativa vigente: vediamoli insieme.
Il datore di lavoro – quale titolare del trattamento dei dati personali – dovrà anzitutto avere cura di verificare che il sistema di geolocalizzazione scelto garantisca il rispetto dei principi in materia di protezione dei dati personali sanciti dal GDPR. Nello specifico, il sistema dovrà non solo raccogliere i dati strettamente necessari al raggiungimento della finalità perseguita, ma anche essere dotato di una serie di misure di sicurezza in grado di tutelare, per impostazione predefinita, i dati dei lavoratori (ad esempio, i dati non dovranno essere oggetto di monitoraggio continuo, dovrà essere prevista una specifica funzionalità per consentire la disattivazione del sistema durante le pause dall’attività lavorativa, ecc.).
Ma non solo. Il datore di lavoro dovrà:
- fornire ai lavoratori che utilizzano veicoli o strumenti “geolocalizzati” un’informativa breve (di primo livello) mediante l’affissione di una vetrofania recante la dicitura “veicolo sottoposto a localizzazione” o la visualizzazione di un’icona riconoscibile che segnali la geolocalizzazione del dispositivo;
- fornire ai lavoratori un’informativa estesa (di secondo livello) contenente tutti gli elementi richiesti dall’art. 13 del GDPR, tra cui l’indicazione dei dati trattati, delle finalità e delle basi giuridiche del trattamento, delle modalità di funzionamento del sistema, del periodo di conservazione, ecc.. Con specifico riferimento alla base giuridica del trattamento, si rammenta che il consenso non può ritenersi una lecita condizione di liceità per il trattamento dei dati personali nell’ambito del contesto lavorativo;disciplinare i rapporti privacy con il fornitore del sistema di geolocalizzazione stipulando un apposito contratto di nomina a responsabile del trattamento ai sensi dell’art. 28 GDPR;prevedere specifiche lettere di autorizzazione al trattamento dei dati ai sensi dell’art. 29 GDPR per coloro che, internamente alla realtà aziendale, avranno accesso ai dati raccolti, registrati e conservati dal sistema di geolocalizzazione;effettuarela valutazione d’impatto trattandosi di trattamento effettuato nell’ambito del rapporto lavorativo mediante strumenti tecnologici, che può comportare un rischio elevato per i diritti e le libertà degli interessati. Peraltro, è lo stesso Garante per la protezione dei dati personali che con provvedimento n. 467 dell’11 ottobre 2018 include la geolocalizzazione nell’elenco dei trattamenti da sottoporre a valutazione di impatto;
- aggiornare il registro delle attività di trattamento.
Alcuni settori operativi: trasporti e vigilanza privata
Esistono, poi, alcuni settori in cui i sistemi di geolocalizzazione non possono essere equiparati a strumenti di controllo, bensì a veri e propri strumenti di lavoro, in quanto: i) consentono la concreta ed effettiva attuazione della prestazione lavorativa (ovvero in loro assenza la prestazione non può essere resa) o ii) previsti da specifiche disposizioni normative di carattere legislativo o regolamentare.
Se da un lato la classificazione dei sistemi di geolocalizzazione, quali strumenti di lavoro, fa venire meno gli adempimenti giuslavoristici, dall’altro non possono essere disattesi quelli in materia di protezione dei dati personali, primo fra tutti l’individuazione della corretta finalità del trattamento da indicarsi nell’informativa da rendere ai lavoratori.
Si pensi, ad esempio, al settore dei trasporti, la cui specifica normativa richiede che su tutti i veicoli di nuova immatricolazione – a far tempo dal mese di giugno 2019 – per cui è previsto l’obbligo del tachigrafo sia installato il cd. tachigrafo digitale integrato con un sistema GPS. In questo caso, i dati raccolti dal predetto sistema dovranno essere trattati unicamente per il raggiungimento delle finalità definite dalla normativa vigente (ossia monitorare velocità del veicolo, i periodi di pausa del conducente e il chilometraggio percorso). Ove così non fosse e dovessero sorgere ulteriori esigenze da parte del datore di lavoro riconducibili a quelle previste dall’art. 4 dello Statuto dei Lavoratori, la qualifica di strumento di lavoro non potrà che venir meno, con conseguente necessità di realizzazione di tutti gli adempimenti giuslavoristici sopra descritti.
Altro settore è quello dei servizi di vigilanza privata, trasporto e custodia valori la cui normativa (D.M. 269/2010) prescrive l’adozione di specifici sistemi di geolocalizzazione per una serie di dispositivi assegnati ai lavoratori, che li fa quindi configurare come veri e propri strumenti di lavoro. Con riferimento a questo settore, il Garante per la protezione dei dati personali ha, poi, ritenuto opportuno segnalare la necessità di porre in essere ulteriori accorgimenti rispetto a quelli descritti al paragrafo precedente, che non potranno essere trascurati. Nello specifico, il Garante segnala la necessità:
- oscurare la posizione geografica decorso un certo periodo di inattività dell’operatore sul monitor presente nella centrale operativa;
- predisporre rapporti destinati ai clienti privi di qualsiasi riferimento che consenta l’identificazione del lavoratore;
- individuare profili di autorizzazione differenziati, relativi alle diverse tipologie di dati e di operazioni eseguibili, considerato che diversi soggetti – a vario titolo – possono avere accesso ai dati.
