Privacy e rapporto di lavoro

I trattamenti dei dati effettuati nell’ambito del rapporto di lavoro, possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche e quindi richiedere il rispetto dell’obbligo di preventivo approntamento, da parte del titolare del trattamento, della procedura di “valutazione di impatto” (DPIA- Data Protection Impact Assessment). Tale obbligo è previsto dall’art. 35 del Regolamento (CE) 2016/679, che, al par. 1. prevede, in termini generali: 

“Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali. ..”.

La DPIA risponde al principio di accountability posto alla base del GDPR e, quindi, rappresenta un importante strumento di responsabilizzazione del titolare del trattamento dei dati, aiutandolo sia al rispetto delle previsioni del Regolamento, sia ad attestare l’adempimento dell’obbligo di adottare effettivamente (e non solo sulla carta, non trattandosi di una mera formalità) misure idonee a garantire la sicurezza dei dati personali, ferma restando la necessità anche di un costante aggiornamento delle stesse, come previsto al comma 11 del medesimo art. 35.

Si tratta, nello specifico, di un processo volto a descrivere la tipologia del trattamento, valutarne le necessità e la proporzionalità, e che sia utile alla gestione dei rischi per i diritti e le libertà delle persone fisiche derivanti dal trattamento di dati personali, alla luce dei principi di privacy by design e privacy by default. Il garante per la protezione dei dati personali ha fornito l’Elenco delle tipologie di trattamenti, soggetti al meccanismo di coerenza, da sottoporre a valutazione d’impatto (Allegato 1 provvedimento 467 dell’11 ottobre 2018). Nell’elenco sono ricompresi:

1. i trattamenti effettuali nell’ambito del rapporto di lavoro mediante sistemi tecnologici che permettono di effettuale un controllo a distanza dell’attività dei dipendenti (anche con riguardo ai sistemi di videosorveglianza e di geocalizzazione);
2.  i trattamenti sistematici di dati biometrici, tenendo conto, in particolare, del volume dei dati, della durata, ovvero della persistenza, dell’attività di trattamento.

Ecco, allora, che possono configurarsi molteplici casi in cui i trattamenti dei dati dei lavoratori debbano essere soggetti alla preventiva valutazione di impatto, tenendo presente anche quanto espresso, in materia, nelle Linee Guida Europee del 2017, le quali prevedono in effetti che, tra i dati che possono presentare un rischio elevato di trattamento, si devono considerare, tra gli altri, quelli relativi ad interessi vulnerabili, quali, espressamente, quelli dei dipendenti, stante lo squilibrio di potere tra gli interessati e il titolare del trattamento: aspetto, questo, che fa sì che le persone possono non essere in grado di acconsentire od opporsi al trattamento dei loro dati o di esercitare i propri diritti.

Si pensi, ad esempio, all’attività di sorveglianza dei lavoratori occupati presso luoghi aperti al pubblico, quali ad esempio supermercati o centri commerciali,  o all’utilizzo di informazioni biometriche, in particolare le impronte digitali e la scansione dell’iride, spesso utilizzati nei sistemi d’accesso a particolari luoghi di lavoro; o ancora all’utilizzo di particolari strategie di management, poste alla base dell’attività di reclutamento del personale oppure utilizzate nella costruzione di sistemi premianti, che prevedono l’uso di dati sul comportamento umano, e che consentono pertanto di tenere traccia di risorse, limiti, capacità time to market, reti e relazioni, soft skill: tutti dati che possono costituire un vero e proprio sistema di controllo aziendale.

L’obbligo della valutazione di impatto diviene importante, allora, tanto quanto il rispetto delle norme dello Statuto dei lavoratori, che prevedono il divieto di indagini sulle opinioni personali del lavoratore e il divieto di discriminazione (artt. 8 e 15) e i limiti per ciò che concerne l’attività di controllo a distanza dei lavoratori (art. 4).

Da ultimo si ricorda che, a norma del Regolamento generale sulla protezione dei dati, l’inosservanza dei requisiti stabiliti per la valutazione d’impatto sulla protezione dei dati può portare a sanzioni pecuniarie imposte dall’autorità di controllo competente. La mancata esecuzione di una valutazione di impatto sulla protezione dei dati nei casi in cui il trattamento è soggetto alla stessa (art. 35, par. 1, 3 e 4), l’esecuzione in maniera errata di tale valutazione (art. 35, par. 2 e da 7 a 9) oppure la mancata consultazione dell’autorità di controllo laddove richiesto (articolo 36, par. 3, lett. e)),possono comportare una sanzione amministrativa pecuniaria pari a un importo massimo di 10 milioni di EUR oppure, nel caso di un’impresa, pari a fino al 2% del fatturato annuo globale dell’anno precedente, a seconda di quale dei due importi sia quello superiore.

La severità del sistema sanzionatorio si giustifica, evidentemente, in considerazione della necessità, nell’era informatica, di una tutela forte del diritto fondamentale alla privacy e alla protezione dei dati, esso rappresentando, nell’ambito della tensione tra libertà individuali e interessi collettivi, uno strumento di democrazia.

Avv. Alessio Veggiari