“Smartworking e potere di controllo del datore di lavoro: cosa prevede il GDPR?”, Il Fatto Quotidiano.

Il Fatto Quotidiano, 27 maggio 2020.

Il lavoro agile, detto smartworking, costituisce una modalità di esecuzione del rapporto di lavoro caratterizzata dall’assenza di vincoli di orario o di luogo di lavoro, oggi particolarmente caldeggiata dal Governo per assicurare il distanziamento sociale tra i lavoratori ed evitare una nuova diffusione di massa del Covid-19.

Anche nell’ambito dello smartworking, tuttavia, non viene meno l’interesse del datore di lavoro a verificare, nei limiti di quanto previsto dalla disciplina giuslavoristica di riferimento e soprattutto dall’art. 4 dello Statuto dei Lavoratori, che la prestazione oggetto del rapporto di lavoro sia effettivamente adempiuta.

Ed in effetti, il datore di lavoro potrà facilmente disporre di strumenti tecnologici a tal fine (sul mercato sono già presenti tecnologie che, ad esempio, consentono di registrare la durata di utilizzo delle applicazioni oppure i movimenti del mouse), ma la circostanza che la prestazione, in questo caso, si svolga prevalentemente presso la dimora privata del lavoratore, pone alcune importanti problematiche non solo sotto il profilo giuslavoristico, ma anche, per quanto di interesse a questo articolo, in materia di privacy.

A tale ultimo proposito, il Comitato Europeo per la Protezione dei Dati ha già affermato che il consenso del lavoratore al trattamento dei propri dati personali non può essere considerato espressione di una volontà libera, poiché il diniego del lavoratore “potrebbe causare allo stesso un pregiudizio reale o potenziale”, suggerendo invece di valutare quale base legale del trattamento: il ricorso a disposizioni normative o contrattuali, l’adempimento di un obbligo di legge oppure il legittimo interesse del datore di lavoro (Opinion 2/2017 on data processing at work).

Il controllo dell’effettivo svolgimento dell’attività lavorativa rientra proprio nell’ultima ipotesi, quella del legittimo interesse del datore di lavoro.

Senonchè, nella scelta degli strumenti individuati a tal fine, il datore di lavoro dovrà assicurarsi che sussista un perfetto equilibrio fra il pregiudizio che patirebbe l’azienda nel non procedere al trattamento e quello che subirebbe il dipendente qualora il trattamento avesse luogo (principio di “proporzionalità”).

In particolare, prima di iniziare il trattamento, il datore di lavoro dovrà sviluppare una valutazione preventiva sulle conseguenze del trattamento dei dati, accertandosi se sussistano rischi elevati per le libertà e i diritti dei lavoratori.

Nell’ambito dello smartworking, infatti, il trattamento dei dati personali può avere ad oggetto dati sensibili, avvenire su larga scala e mediante l’utilizzo di nuove soluzioni tecnologiche, tutti elementi che suggeriscono di procedere con una valutazione d’impatto in base all’art. 35 GDPR, al fine di valutare i rischi connessi al trattamento ed adottare, nel rispetto dei principi di necessità e proporzionalità, le misure di sicurezza idonee a ridurli o eliminarli.

Nel caso in cui tali misure non risultassero sufficienti a eliminare o ridurre il rischio per i diritti dei dipendenti, il titolare dovrà consultare l’Autorità Garante per la privacy, che indicherà le ulteriori misure di sicurezza eventualmente da implementare per procedere con il trattamento.

Ogni trattamento, poi, dovrà svolgersi nel rispetto del principio di trasparenza.

Dovranno quindi essere predisposte policies chiare e facilmente comprensibili per tutti i lavoratori in ordine al tipo di trattamenti che saranno svolti nell’ambito dello smartworking, alle finalità, ai tempi di conservazione dei dati e alle misure di sicurezza adottate per garantire che la vita privata dei dipendenti non sia violata.

Ciò vale ancor di più nel caso di trattamenti svolti per finalità di legittimo interesse, come nel caso del datore di lavoro interessato a verificare che l’attività lavorativa sia effettivamente svolta anche dal dipendente “in smartworking”.

Infatti, il Considerando n. 47 del regolamento precisa che “gli interessi e i diritti fondamentali dell’interessato potrebbero in particolare prevalere sugli interessi del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un ulteriore trattamento dei dati personali”.

L’inottemperanza del dovere di informare i lavoratori dell’attività di controllo svolta dal datore di lavoro potrebbe pertanto determinare, nel nostro caso, non solo una violazione del dovere di trasparenza stabilito dagli artt. 12 e seguenti del GDPR, ma altresì la mancanza stessa della base giuridica del legittimo interesse su cui si fonda il trattamento.

Alla luce di quanto sopra, e in conclusione, potrebbe sembrare che nella predisposizione delle privacy policies aziendali in tema di smartworking la normativa ponga ostacoli e problemi a ogni passo.

In realtà, è vero l’esatto contrario.

Il GDPR, infatti, come abbiamo visto, garantisce al datore di lavoro un’ampia autonomia rispetto alla scelta delle finalità e delle misure tecniche e organizzative da adottare nell’ambito della tutela della privacy dei lavoratori in smartworking, con l’unica avvertenza di bilanciare responsabilmente i contrapposti interessi.

Una flessibilità che ha dunque un’importante contropartita: la responsabilità del datore di lavoro di saper dimostrare la legittimità delle decisioni assunte.

avv. Fabio Savoldelli

“Coronavirus, fase 2: attenzione alle iniziative ‘fai da te’ nel trattamento dei dati personali”, Il Fatto Quotidiano.

Il Fatto Quotidiano, 23 aprile 2020.

È notizia di questi giorni che la Ferrari adotterà, in previsione della riapertura dei propri stabilimenti, un Piano post emergenza sanitaria, denominato “Back on track”, che garantirà, secondo quanto dichiarato dall’azienda, la continuità dei processi produttivi nel rispetto del diritto alla salute e alla privacy dei propri dipendenti.

Con specifico riferimento alla privacy, il piano prevederà uno screening dei dipendenti su base volontaria, con esami del sangue diretti a verificare il loro stato di salute in relazione all’eventualità di un possibile contagio da Coronavirus, estendibile ai familiari e ai conviventi dei lavoratori, oltre alla successiva possibilità, per ciascun collaboratore, di servirsi di una App che garantirà la tutela dei dipendenti mediante il tracciamento dei contatti dei singoli lavoratori.

Tutto ciò, dichiara l’azienda, nel rispetto della privacy individuale, assicurata da una gestione dell’applicazione esterna ed estranea a Ferrari.

Pur in mancanza di ulteriori dettagli tecnici che consentano di esprimersi sulla conformità del piano Back on Track alla normativa sulla protezione dei dati personali, l’annuncio sopra riportato offre comunque lo spunto per alcune brevi riflessioni.

In primo luogo, anche se si tratta di un atto privo di valore cogente, è utile prendere le mosse dal comunicato stampa dell’Autorità Garante per la protezione dei dati personali del 2 marzo 2020, il quale, in relazione all’attuale emergenza da Covid-19, diffida i datori di lavoro “dall’effettuare iniziative autonome che prevedano la raccolta di dati anche sulla salute di utenti e lavoratori che non siano normativamente previste o disposte dagli organi competenti”.

L’obbiettivo, tra gli altri, è quello di evitare che le aziende arrivino a disporre, direttamente o indirettamente, di informazioni dei propri dipendenti inerenti allo stile di vita, alle patologie in corso, alla predisposizione genetica a contrarre malattie, alla possibilità di procreazione etc.

Pertanto, nella predisposizione dei modelli organizzativi necessari ad affrontare la crisi sanitaria, i datori di lavoro dovranno attenersi scrupolosamente ai principi stabiliti dalla legge.

Anzitutto, il principio di “limitazione del trattamento”, previsto dall’art. 5 co. 1 lett. b GDPR, in osservanza del quale il datore di lavoro ha l’obbligo di trattare i dati sensibili raccolti nell’ambito dell’attuale emergenza limitatamente al fine di evitare il contagio dei lavoratori.

A tal fine, sarà necessario che le aziende predispongano un sistema di misure tecniche che consenta, come impostazione predefinita, di estrarre dati limitati e pertinenti a quest’unica finalità, con immediata cancellazione dei dati inconferenti con il rischio di contagio da Coronavirus (art. 25 GDPR).

Va detto, inoltre, che il datore di lavoro, in qualità di titolare del trattamento, è responsabile nei confronti dei propri dipendenti non solo per i trattamenti illeciti svolti nell’ambito della propria organizzazione aziendale, ma altresì per quelli svolti da enti esterni nominati a farlo per suo conto, i quali, non di rado, sono enti privati che hanno nella data analysis il proprio core business.

In particolare, il datore di lavoro, dopo essersi assicurato che questi soggetti prestino garanzie sufficienti in termini di conoscenza specialistica, affidabilità e risorse per mettere in atto le misure tecniche e organizzative che soddisfino i requisiti del Regolamento (Considerando 81 GDPR), dovrà stabilire la durata, la natura e la finalità del trattamento.

Un ulteriore profilo di analisi è quello relativo al consenso.

A questo proposito, con specifico riferimento all’ambito lavorativo, il Comitato Europeo per la Protezione dei Dati ha affermato che il consenso non può essere considerato espressione di una volontà libera, poiché il diniego del lavoratore “potrebbe causare allo stesso un pregiudizio reale o potenziale”, suggerendo invece di valutare quale base legale del trattamento, tra l’altro, il ricorso a disposizioni normative o contrattuali (Opinion 2/2017).

Laddove pertanto un’azienda intenderà predisporre un piano di sicurezza anti contagio che preveda la raccolta dei dati personali dei propri dipendenti, non potrà essere il consenso la base giuridica su cui fondare il trattamento, ma occorrerà eventualmente individuare una disposizione di legge che la autorizzi espressamente.

Senonchè, ad oggi, le uniche disposizioni autorizzative di trattamenti di dati dei lavoratori finalizzate al contenimento del contagio sono quelle contenute nel Protocollo sottoscritto dal Governo e dalle parti sociali il 14/3/2020, le quali si limitano a prevedere la facoltà (obbligo, in ipotesi di cantieri edili) per il datore di lavoro di rilevare la sola temperatura corporea dei dipendenti.

Si versa pertanto in una fase particolarmente caotica e mutevole dell’emergenza, in considerazione della quale sembra consigliabile, anche sulla scorta di quanto affermato dall’Autorità Garante con il comunicato stampa del 2 marzo 2020, operare nei limiti di quanto consentito dal Protocollo, senza “fughe in avanti” di sorta.

Ciò, anche al fine di consolidare un metodo di contenimento del virus nei luoghi di lavoro efficace ed uniformemente applicabile in ogni azienda, pur con i necessari adattamenti alle singole realtà produttive, evitando nel contempo che i dati dei cittadini e dei lavoratori divengano valore di scambio per il soddisfacimento di interessi privati.