Localizzazione dei dispositivi aziendali: guida pratica alla compliance

All’adozione di sistemi di tracciamento geolocalizzato di smartphone o tablet viene molto spesso fatto ricorso dalle aziende per soddisfare esigenze organizzative e produttive, prevedendo la raccolta e l’elaborazione di informazioni circa la localizzazione dei dispositivi e, di riflesso, del lavoratore che li utilizza.

La geolocalizzazione in ambito lavorativo

A fronte dell’indubbia utilità operativa derivante dal suo impiego^[1], la materia della geolocalizzazione in ambito lavorativo deve essere valutata alla luce del contemperamento della tutela dei diritti e delle libertà del lavoratore. Nello specifico, il tema va approcciato sulla falsariga di quanto è stabilito a proposito del ricorso alla geolocalizzazione dei veicoli aziendali e, come in quel caso, presuppone per l’azienda una preventiva e attenta riflessione circa gli obblighi normativi previsti, sia sotto il profilo giuslavoristico che di quello in materia di protezione dei dati personali.

Installazione del sistema di geolocalizzazione del dispositivo: quando è concessa

Partendo dal primo aspetto, l’installazione del sistema di geolocalizzazione del dispositivo comporta un controllo a distanza del lavoratore e, come tale, è innanzitutto consentita in presenza di almeno una delle seguenti finalità previste dall’articolo 4 dello Statuto dei Lavoratori (legge 20 maggio 1970, n. 300):

• Esigenze organizzative e produttive laddove, ad esempio, si renda utile per monitorare le coordinate geografiche in cui ha luogo lo svolgimento dell’attività lavorativa;
• Esigenze connesse alla sicurezza del lavoro, in caso di lavorazioni o attività caratterizzate da rischi elevati per la salute o la sicurezza del personale;
• Esigenze inerenti alla tutela del patrimonio aziendale, per prevenire il rischio di furto o danneggiamento del dispositivo medesimo.

Oltre all’individuazione di uno (o più) tra gli scopi sopra delineati, viene anche richiesto il perfezionamento di un “accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali […]” o, in alternativa nel caso di mancanza di accordo – tanto nell’eventualità in cui risultino assenti RSU o RSA, quanto perché, pur data la loro presenza, l’accordo non venga raggiunto – l’ottenimento dell’“autorizzazione della sede territoriale dell’Ispettorato nazionale del lavoro o, in alternativa, nel caso di imprese con unità produttive dislocate negli ambiti di competenza di più sedi territoriali, della sede centrale dell’Ispettorato nazionale del lavoro”.

Il primo step da compiere per l’azienda, dunque, è connesso all’individuazione di almeno una tra le motivazioni previste dallo Statuto dei Lavoratori per l’installazione del sistema, nonché l’ottenimento di una preventiva autorizzazione, sia essa di carattere negoziale (l’accordo sindacale) o, in difetto, amministrativo (l’autorizzazione dell’Ispettorato del lavoro).

Come presentare la richiesta di autorizzazione all’Ispettorato

Nell’ipotesi in cui l’azienda debba presentare la richiesta di autorizzazione all’Ispettorato – perché non sono presenti le rappresentanze sindacali o, seppur presenti, il raggiungimento dell’accordo ha avuto esito negativo – il modulo di istanza da utilizzare è messo a disposizione dallo stesso Ispettorato nazionale del lavoro sul proprio sito.

Nello specifico, occorre far riferimento al terzo tra i modelli dell’elenco, ovvero quello denominato “INL 1.2 – Istanza Videosorveglianza Installazione GPS” (vedi immagine 1)^[2].

Immagine 1

L’istanza può essere presentata con due differenti modalità:

• Tramite consegna a mano all’ufficio della sede territoriale dell’Ispettorato nazionale del lavoro;
• Tramite invio con modalità telematica. In questo caso per la trasmissione delle marche da bollo occorrerà trasmettere il modello “INL 1.4 Autodichiarazione Marca da Bollo INL”, sempre scaricabile dal sito, come nell’immagine 2 sotto riportata.

Immagine 2

All’interno del modello, sono previsti due appositi spazi dove apporre le marche da bollo, per poi procedere alla scansione dello stesso e al successivo invio (vedi immagine 3).

Immagine 3

Il trattamento dei dati

Appare quanto mai opportuno sottolineare, inoltre, come l’installazione non può essere giustificata dall’eventuale ottenimento del consenso dei lavoratori, né quest’ultimo – sotto il profilo della normativa in materia di protezione dei dati personali di cui si dirà a breve – possa essere considerato quale condizione di liceità per il trattamento dei dati personali effettuato dal sistema.

Il consenso del lavoratore potrebbe non bastare

Alla luce dello squilibrio tra le parti contrattuali del rapporto lavorativo (datore/titolare del trattamento dei dati da un lato, lavoratore/interessato al trattamento dall’altro), il consenso eventualmente prestato dal lavoratore non potrebbe ritenersi valido^[3] (così come peraltro ribadito in una recente nota dell’Ispettorato Nazionale del Lavoro^[4]).

Sotto il profilo inerente alla normativa in materia di protezione dei dati personali, il datore di lavoro, nella sua qualità di titolare del trattamento, deve altresì considerare ulteriori adempimenti e prestare attenzione alle indicazioni fornite sul tema dall’Autorità Garante privacy.

La sicurezza dei sistemi

In primo luogo, in ragione del principio di accountability (art. 24 GDPR), di privacy by design e by default (art. 25 GDPR), la scelta dovrà ricadere su sistemi adeguatamente sicuri sotto il profilo della sicurezza (art. 32 GDPR), che consentano di trattare per impostazione predefinita solo i dati necessari per la specifica finalità di trattamento. Nel concreto, l’azienda dovrà determinare tali finalità e configurare il sistema in modo che il trattamento dei dati avvenga proporzionalmente e limitatamente all’esclusivo raggiungimento dello scopo.

Affidabilità e sicurezza dei fornitori del servizio

Analoghe valutazioni circa l’affidabilità e la sicurezza devono essere effettuate rispetto a eventuali fornitori esterni del servizio, i quali sono da considerare come responsabili ai sensi dell’art. 28 GDPR nella verosimile eventualità in cui entrino in contatto con i dati personali raccolti dall’applicativo. In tal senso, sarà compito del titolare andare a perimetrare i relativi obblighi e divieti dell’attività esternalizzata al fornitore esterno.

Ulteriori adempimenti

A ciò, si aggiungono ulteriori adempimenti, anche frutto dei ripetuti preziosi interventi dell’Autorità Garante privacy, così come dell’Ispettorato Nazionale del Lavoro^[5]:

• Redazione di apposite informative e policy interne. Oltre a costituire espressione del principio generale di “correttezza” ex art. 5, comma 1, lett. a), GDPR, prima che abbiano inizio i trattamenti l’azienda è tenuta a fornire tutte le informazioni relative alle loro caratteristiche secondo l’art. 13 GDPR. Inoltre, devono essere portate a conoscenza del lavoratore informazioni inerenti alle modalità di funzionamento del sistema e all’effettuazione dei controlli.
• Provvedere alle nomine interne ed esterne. I dati relativi alla localizzazione dei dispositivi devono essere trattati (anche con riferimento alla mera consultazione, dato che ai sensi dell’art. 4, comma 1, n. 2 GDPR, essa è da ricomprendersi tra le attività di “trattamento”) esclusivamente da soggetti designati o autorizzati (internamente) o, laddove vi sia una esternalizzazione delle attività di trattamento (da parte, ad esempio, dell’azienda installatrice e manutentrice dell’applicativo), da responsabili ex art. 28 GDPR, dietro specifiche istruzioni documentate da parte del Titolare^[6], come più sopra già evidenziato.
• Consentire l’esercizio dei diritti da parte degli interessati, secondo quanto previsto ex art. 12 GDPR.
• Svolgere una valutazione d’impatto (DPIA – Data Protection Impact Assessment), ai sensi dell’art. 35 GDPR. L’obbligatorietà appare chiara dall’esame dell’Allegato 1 al provvedimento n. 467/2018 del Garante privacy, laddove la tipologia n. 5 individua come da sottoporre a valutazione di impatto i “trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (anche con riguardo ai sistemi di videosorveglianza e di geolocalizzazione) dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti […]”.
• Contenere i tempi di conservazione ed escludere una localizzazione continuativa. In base al principio di pertinenza e non eccedenza, così come nel rispetto dei principi di minimizzazione (art. 5, comma 1, lett. c)) e di privacy by default (art. 25 GDPR), occorre evitare la rilevazione continuativa di dati inerenti alla localizzazione e impostare una relativa periodizzazione temporale limitata rispetto agli scopi di raccolta.

Il sistema, inoltre, deve essere configurato in modo tale da memorizzare solo l’ultima informazione relativa alla localizzazione del dispositivo al termine di una determinata sessione di lavoro, procedendo a cancellare automaticamente la rilevazione precedente.

• Prevedere adeguate misure di sicurezza ex art. 32 GDPR, non solo con riferimento all’applicativo in sé considerato, ma anche estendendo tale valutazione in modo da ricomprendere l’integrità e la riservatezza degli altri dati eventualmente conservati sul dispositivo mobile (es. traffico telefonico, sms, posta elettronica, etc.; ciò, soprattutto in caso di device personale del dipendente).

Inoltre, in ottica di trasparenza, il sistema deve essere configurato in modo tale che sul dispositivo sia ben visibile un’icona che indichi che la funzionalità di localizzazione è attiva (anche laddove l’applicazione lavori in background).

Note

1. Con specifico riferimento al tema della rilevazione delle presenze nel contesto lavorativo tramite geolocalizzazione, cfr. www.agendadigitale.eu/sicurezza/privacy/sistemi-di-rilevazione-delle-presenze-in-azienda-guida-pratica-alla-compliance/ ↑
2. Per il dettaglio circa la compilazione del contenuto del modello cfr. www.agendadigitale.eu/sicurezza/videosorveglianza-in-azienda-come-chiedere-lautorizzazione-allispettorato-del-lavoro/ ↑
3. Come già sottolineato in altra sede (www.agendadigitale.eu/sicurezza/privacy/lavoro-sistemi-videosorveglianza-guida/), sotto il profilo privacy una delle caratteristiche del consenso di cui all’art. 7 GDPR – nonché secondo quanto chiarito dalle Linee guida sul consenso 5/2020 dell’EDPB (cfr. par. 3.1, punto 13) – è quella di dover costituire manifestazione di una libera volontà dell’interessato (anche il Considerando 42 GDPR evidenzia come “il consenso non dovrebbe essere considerato liberamente prestato se l’interessato non è in grado di operare una scelta autenticamente libera o è nell’impossibilità di rifiutare o revocare il consenso senza subire pregiudizio”). ↑
4. Nota n. 2572 del 14 aprile 2023 dell’Ispettorato Nazionale del Lavoro. ↑
5. Nota n. 9728 del 12 novembre 2019 dell’Ispettorato Nazionale del Lavoro. ↑
6. Cfr., in questa prospettiva, con gli artt. 28, comma 3, 29 e 32, comma 4, GDPR. ↑