App in alternativa al badge, con quali garanzie?

App usate come badge per timbrare il cartellino. Si azzerano le distanze fisiche ed il perimetro aziendale si apre a nuovi orizzonti. Con il provvedimento n.350 dello scorso 8 settembre, pubblicato solo di recente, il Garante Privacy ha dato il proprio via libera alla possibilità di utilizzare, al posto del tradizionale badge per rilevare le presenze, un’applicazione per smartphone. Accogliendo favorevolmente, in osservazione della disciplina sul cosiddetto “bilanciamento di interessi”, un’istanza di verifica preliminare avanzata da due note società operanti nell’ambito della ricerca, selezione e somministrazione di lavoro a tempo indeterminato, l’Authority ha posto tuttavia una serie di paletti a tutela della privacy dei lavoratori.

In primis la modalità di trattamento dei dati deve subire dei correttivi nella prospettiva del “privacy by design” e, anche in un’ottica di minimizzazione e di centralità degli interessati, dovranno essere adottate una serie di “misure ed accorgimenti a tutela dei diritti degli interessati”, ossia:
-” le società non dovranno conservare le coordinate geografiche della posizione del lavoratore, conservando eventualmente il solo dato relativo alla sede di lavoro, alla data e all’orario cui si riferisce la timbratura “;
-dovrà essere resa ben visibile un’icona di localizzazione ” che indichi che la funzionalità di localizzazione è attiva “;
-l’applicazione dovrà essere configurata in modo da impedire l’accesso ad altre informazioni presenti nello smartphone del dipendente;
-le società sono chiamate – prima di avviare l’utilizzo del nuovo procedimento – ad allineare il Garante rispetto alle tipologie di trattamento e alle operazioni che intendono attuare e a ” modificare ed integrare adeguatamente l’informativa ” per i lavoratori;
-le misure di sicurezza contemplate dalla normativa nell’ottica di preservare da un lato l’integrità dei dati e dall’altro l’accesso a soggetti non autorizzati.

Sebbene l’uso dell’app in questione non sarà obbligatorio, assicurando ai dipendenti un’alternativa nell’uso dei sistemi tradizionali, tale possibilità di utilizzo conferma il cambiamento in atto sul fronte della gestione dei processi di lavoro sempre più digitalizzati e caratterizzati da un’elevata flessibilità spazio-temporale, supportati dal fenomeno del BYOD (Bring Your Own Device), e considerata la riforma operata dal Jobs Act all’art. 4 dello Statuto dei Lavoratori. L’apertura del Garante alle nuove proposte tecnologiche delle aziende denota, d’altro canto, una visione dell’Authority sempre più orientata all’innovazione, all’accrescimento della competitività e al miglioramento dei servizi, fermo restando la difesa intransigente del diritto degli interessati al controllo costante ed alla protezione dei propri dati.

Nel Provvedimento l’Autorità non richiama l’art. 4 L. 300/1970, probabilmente dando per pacifico il fatto che la nuova normativa in materia di controllo a distanza dell’attività dei dipendenti ha esonerato dalla previa concertazione giuslavoristica “gli strumenti di registrazione (…) delle presenze”, quale è quello sottoposto a verifica preliminare dalle Aziende titolari.

Inoltre, l’adozione di una app che effettui un trattamento dati come sopra descritto, comporterà alcuni passaggi necessari anche in funzione del nuovo Regolamento Europeo sulla Data Protection , di prossima applicazione, ma con aspetti che già oggi possono e debbono essere anticipati. Con riferimento infatti a questa app, i Titolari (Joint Controller) dovranno effettuare un Privacy Impact Assessment ai sensi dell’art. 35 del GDPR, salvo che questo non sia già un allegato della Richiesta, come sovente il Garante esige in casi analoghi. Come del resto, strategicamente, l’accordo (o gli accordi) concluso con il Fornitore deve contenere le clausole che il GDPR contempla sia dal punto di vista tecnico che procedurale in contratti ad impatto tecnologico come quello che determina il perimetro di responsabilità degli attori coinvolti nel Provvedimento, così da assicurare che tale contratto sia già allineato al Regolamento nel maggio del 2018, evitando così ricontrattualizzazioni o addendum da dover gestire.

Avv. Valentina Frediani
Founder e CEO Colin & Partners