Negli ultimi mesi il Garante per la protezione dei dati personali è tornato più volte sul controllo dei lavoratori, con due provvedimenti che chiariscono bene dove si sbaglia più spesso.

Telecamere: l'accordo sindacale si rispetta alla lettera

Un ente di ricerca è stato sanzionato con 10.000 euro per aver installato 18 telecamere a fronte delle 10 previste dall'accordo sindacale sottoscritto ai sensi dell'art. 4 dello Statuto dei Lavoratori, modificando inoltre collocazioni e aree inquadrate.

Il passaggio più interessante riguarda la fase di collaudo: riprendere i lavoratori costituisce trattamento di dati personali anche quando le immagini non vengono conservate. L'idea che "tanto stavamo solo provando l'impianto" non regge.

GPS: i dati sono del lavoratore, non solo dell'azienda

Una società di vigilanza si è vista comminare 39.000 euro per aver negato a un ex dipendente l'accesso ai dati di geolocalizzazione utilizzati in una contestazione disciplinare. Il principio è netto: i dati GPS sono dati personali, l'interessato ha diritto di accedervi ai sensi del GDPR, e questo diritto esiste a prescindere dall'accordo sindacale che autorizza il sistema.

⚠️ L'errore concettuale più diffuso

Molte aziende considerano l'accordo sindacale (o l'autorizzazione dell'Ispettorato) come il traguardo finale. È invece solo il primo dei due binari: l'altro è il GDPR, che richiede comunque informativa specifica, base giuridica, tempi di conservazione definiti, valutazione d'impatto nei casi previsti e capacità di rispondere alle istanze degli interessati nei termini.

Algoritmi: il prossimo fronte

Si muove anche il piano normativo sui sistemi automatizzati: il recepimento della Direttiva (UE) 2024/2831 sul lavoro mediante piattaforme digitali introduce trasparenza algoritmica, divieto di trattare dati su stato emotivo e convinzioni personali e obbligo di supervisione umana sulle decisioni che incidono sui diritti dei lavoratori. Il perimetro, nei fatti, si allarga a ogni software che valuta, assegna o monitora prestazioni.

La verifica minima da fare in azienda

  • Confronto fisico tra impianto installato e planimetria allegata all'accordo o all'autorizzazione
  • Informative specifiche per videosorveglianza, geolocalizzazione e strumenti di controllo, consegnate e tracciate
  • Registro dei trattamenti aggiornato con finalità e tempi di conservazione reali
  • DPIA dove il trattamento è sistematico o su larga scala
  • Procedura scritta per rispondere alle richieste di accesso entro un mese
  • Policy sull'uso dei sistemi automatizzati e sui software che valutano le prestazioni

Sono controlli che si fanno in mezza giornata. Le sanzioni, invece, partono da cifre a quattro zeri.