Nell’ambito dei sistemi di controllo dei lavoratori, la complessità tecnologica e normativa richiede un’attenta analisi predisposizione di presidi di tutela e garanzia. Nella continua ricerca di equilibri, un ruolo fondamentale è giocato dal DPO che esprime una funzione di salvaguardia tanto della compliance dell’organizzazione quanto dei diritti degli interessati.
La data protection nella disciplina del controllo a distanza dei lavoratori
La gestione del rapporto di lavoro è un ambito tipicamente connotato da un’elevata sensibilità in ragione della natura dei dati personali raccolti, della persistenza delle attività di trattamento e, soprattutto, del rischio per i diritti e per le libertà dei lavoratori. A conferma di ciò, basti pensare che fra i criteri per la sussistenza di un rischio elevato da cui deriva l’obbligo di svolgimento di una valutazione d’impatto[1], rientrano i dati relativi ad interessati vulnerabili quali sono i lavoratori. Se poi si considera il sottoinsieme di quei sistemi preposti al monitoraggio dei lavoratori, emergono chiare e specifiche esigenze di tutela, che non si esauriscono solo in quei presidi di natura informativa quali sono quelli cui provvede il Decreto trasparenza[2]. Occorre infatti che si provveda ad attuare una serie di equilibri e garanzie in ossequio al principio di proporzionalità, che vale per il contemperamento fra diritti di pari rango nel novero dei quali rientra l’esercizio dell’attività imprenditoriale (da cui derivano i conseguenti poteri datoriali) e la tutela della personalità del lavoratore (proteggendone la dignità e i dati personali).
Nel disciplinare la materia del controllo a distanza dei lavoratori, l’art. 4 comma 3 dello Statuto dei lavoratori precisa che le attività di trattamento di dati personali così svolte devono sottostare al rispetto della normativa in materia di protezione dei dati personali. In ragione dell’evidente asimmetria di potere ed informativa, è il datore a dover provvedere al rispetto delle prescrizioni e, in forza di accountability, deve anche essere in grado di mantenere una capacità di rendicontazione degli adempimenti svolti.
Come previsto più in generale per ogni attività di trattamento dei dati personali, anche quelle attraverso le quali si possono realizzare dei monitoraggi del lavoratore vanno svolte sempre mantenendole al servizio dell’uomo[3]. Eppure, in un tempo di trasformazione digitale e crescenti automazioni, tale principio fondamentale potrebbe essere a rischio di diluizione o, finanche, irragionevole compressione o sospensione cagionando così la rottura di equilibri impattanti su diritti e libertà fondamentali.
Perché il “fenomeno Amazon” è emblematico
Il gigante Amazon è stato più volte al centro di ferventi polemiche per quanto riguarda la gestione dei dati personali dei lavoratori nell’ambito della predisposizione e l’impiego di sistemi di monitoraggio per l’ottimizzazione della logistica dei magazzini. Dal momento che è un caso talmente emblematico e ricorrente, possiamo parlare di un vero e proprio “fenomeno Amazon” vista la scala e la peculiarità dell’attività condotta dalla Big Tech nel campo della logistica, con una capacità di controllo massivo e l’impiego di soluzioni di avanguardia tecnologica. La costante attività di ricerca e sviluppo è infatti testimoniata dalla quantità di brevetti depositati, che invero il più delle volte non sono mai stati convertiti in tecnologie effettivamente impiegate ma sono stati in grado di fare notizia, coinvolgendo personalità della politica, esponenti sindacali e attivisti dei diritti digitali. Il comune denominatore delle contestazioni mosse riguarda sia un possibile contrasto con la normativa giuslavoristica nazionale quanto con il GDPR, per una sproporzionalità fra le finalità che si intendono perseguire mediante il controllo e la compressione dei diritti dei soggetti in qualità di lavoratori ed interessati.
Nel 2022 Noyb aveva segnalato[4] di aver contribuito insieme a UNI Global affinché alcuni lavoratori dei magazzini Amazon in Germania, Regno Unito, Italia, Polonia e Slovacchia esercitassero il proprio diritto di accesso per ottenere così una risposta chiara circa la portata dei monitoraggi interni e l’impiego dei dati personali dei lavoratori. I dubbi avanzati riguardavano l’impiego di sistemi particolarmente invasivi e poco trasparenti, tanto nel background check quanto nel controllo dei cicli di lavoro, con un elevato rischio di violazione del GDPR e delle normative nazionali.
Stando ad una notizia diffusa su X[5], a settembre 2023 in un’udienza ristretta della CNIL è stata formulata una richiesta di sanzione per 170 milioni di euro nei confronti di Amazon France Logistics in seguito ad un’istruttoria di 4 anni di relativa alle attività di raccolta e analisi dei dati dei dipendenti. Le contestazioni principali hanno riguardato proprio la sproporzione fra il volume e la profondità della raccolta e analisi dei dati e gli scopi dichiarati di gestione e sicurezza, venendo meno così gli elementi di necessità e pertinenza.
Ambiti di monitoraggio dei lavoratori: gestione e sicurezza
Gli ambiti più ricorrenti per cui sono generalmente svolte attività di monitoraggi dei dipendenti riguardano gli aspetti della gestione organizzativa e della sicurezza, con tutte le declinazioni che possono essere richieste a seconda del contesto dell’organizzazione. Che si tratti di safety, rilevazione anomalie, analisi di performance, gestione presenze e accessi ai luoghi di lavoro o a determinati ambienti, sia per assolvere a obblighi normativi che contrattuali, o perseguire un legittimo interesse, le innumerevoli forme e modalità devono tenere conto del rispetto dei denominatori comuni precisati dal GDPR e che devono essere rendicontati sin dalla fase di progettazione in ossequio al principio di privacy by design e privacy by default. Fra questi, c’è innanzitutto il limite fondamentale del rispetto dei principi di liceità e di minimizzazione, entrambi criteri utili a perimetrare l’operatività delle attività di trattamento che è possibile svolgere in concreto.
Per quanto riguarda l’installazione e l’impiego di sistemi da cui possa derivare un controllo a distanza dei lavoratori, la normativa nazionale pone delle condizioni di liceità ulteriori rispetto alle basi giuridiche di cui all’art. 6 GDPR, dal momento che l’art. 4 comma 1 dello Statuto dei Lavoratori pone non solo un divieto esplicito ma anche uno specifico regime autorizzativo di natura giuslavoristica con l’intervento dell’INL o di una rappresentanza sindacale. E per l’effetto, qualsiasi sistema che esuli dalle finalità del perseguimento di esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale, è da ritenersi in violazione dell’art. 5 par. 1 lett. a) GDPR. Per quanto riguarda invece la strumentazione utilizzata dal lavoratore per rendere la prestazione lavorativa o registrare accessi e presenze, il monitoraggio non soggiace a particolari condizioni autorizzative ma comunque deve essere restrittivamente interpretato il concetto di strumento di lavoro. Dal momento che «l’interpretazione letterale del disposto normativo porta a considerare quali strumenti di lavoro quegli apparecchi, dispositivi, apparati e congegni che costituiscono il mezzo indispensabile al lavoratore per adempiere la prestazione lavorativa dedotta in contratto, e che per tale finalità sia stati posti in uso e messi a sua disposizione»[6], ogni volta che si esula da tale definizione, non può che realizzarsi un trattamento illecito di dati personali.
I principi che naturalmente seguono, anche nello svolgimento di una valutazione d’impatto privacy, la valutazione di liceità, sono l’individuazione di finalità e il correlato rispetto della minimizzazione. Gli elementi di adeguatezza, pertinenza e limitazione rispetto alle finalità del trattamento sono infatti sottoposti ad uno stretto vaglio da parte delle autorità di controllo nella valutazione dei monitoraggi dei lavoratori, dal momento che la posizione di vulnerabilità del lavoratore comporta un’esigenza di protezione dagli eccessi e dall’invasività di tali attività di trattamento. L’espressione di quel gioco di equilibri e proporzionalità sul piano operativo sta infatti proprio nella selezione dei dati personalità da raccogliere e dalle modalità di impiego degli stessi, e dunque è indispensabile che il datore di lavoro ne tenga conto.
Il ruolo di salvaguardia del DPO
In un ambito così articolato e mutevole per cui l’evoluzione di tali sistemi è strettamente correlata allo stato dell’arte e le nuove disponibilità tecnologiche, il ruolo che il DPO assume nello svolgimento dei propri compiti è particolarmente rilevante. Diventa prima di tutto presidio e salvaguardia del sistema di compliance dei controlli e, come naturale ed immediata conseguenza, dei diritti e delle libertà fondamentali dei lavoratori.
Il contributo che il DPO fornisce in ordine alla gestione degli adempimenti e alla conseguente tutela dei lavoratori si esprime principalmente nelle attività di informazione, consulenza e sorveglianza continua, comprendendo anche il ruolo della promozione e sorveglianza in relazione allo svolgimento di una valutazione di impatto privacy che, nella maggior parte dei casi di controlli o monitoraggi tecnologici, se non obbligatoria sarà quanto meno raccomandata. Una funzione cruciale sta anche nella capacità di rispondere a dubbi del management e del personale interno, provvedendo continuamente ad un’attività di advisoring che di chiarimento. Non solo: la raccolta di eventuali dubbi o criticità circa i sistemi in uso può consentire un più efficace svolgimento delle proprie funzioni di sorveglianza, rilevando oltre alle non conformità anche degli spunti di miglioramento utili per una maggiore efficienza delle misure predisposte.
Il corretto svolgimento dei compiti del DPO nell’ambito dei controlli dei lavoratori contribuisce indirettamente anche ad aumentare la tutela nei confronti degli interessati che sono generalmente coinvolti nelle attività di trattamento svolte dall’organizzazione. Infatti, dal momento che alcuni monitoraggi vengono svolti allo scopo di dare attuazione alle policy di sicurezza, il DPO assume non solo ha la funzione di garantire ma anche di verificare il corretto ed efficace funzionamento delle attività di prevenzione e di gestione degli incidenti. Ad esempio, nel momento in cui va a fornire un contributo specifico al miglioramento dell’interazione fra operatori e sistema attraverso il miglioramento della trasparenza informativa, la verifica di completezza ed efficacia delle istruzioni fornite in relazione alle attività d monitoraggio che prevedono l’intervento di un soggetto autorizzato, il controllo delle relative policy di autorizzazione, nonché la formazione e sensibilizzazione del personale a riguardo.
Per la tenuta degli equilibri fra i vari diritti coinvolti da tali attività di trattamento, il DPO deve agire ed essere coinvolto sin dalla fase di progettazione dei trattamenti e successivamente l’organizzazione deve essere in grado di garantirne una continuità d’azione coprendo anche in ogni fase di implementazione e gli eventuali mutamenti di contesto interno o esterno dell’organizzazione. Dovendo provvedere, fra le altre cose, anche a fornire le risorse per il mantenimento della conoscenza specialistica in un ambito normativo, tecnologico e gestionale particolarmente accelerato e complesso.
Note
[1] Linee guida WP 248.
[2] https://www.cybersecurity360.it/legal/privacy-dati-personali/decreto-trasparenza-ecco-le-indicazioni-operative-del-garante-privacy/
[3] Considerando n. 4 GDPR.
[4] https://noyb.eu/en/amazon-workers-demand-data-transparency
[5] https://twitter.com/Swiftstories/status/1702453904875610362
[6] Circolare INL n. 2 del 7.11.2016.
