Dati personali dei lavoratori: il WP29 aggiorna le regole del trattamento alla luce delle nuove tecnologie informatiche ...
- Introduzione
Con parere dell’8 giugno 2017, il Gruppo di lavoro ex art. 29 (“WP29”) si è pronunciato in merito al trattamento dei dati personali dei lavoratori, integrando quanto già previsto in passato con il Parere n. 8/2001 (“Parere sul trattamento di dati personali nell’ambito dei rapporti di lavoro”) ed il “Documento di lavoro sulla sorveglianza delle comunicazioni elettroniche sul luogo di lavoro” del 2002.
Come precisato dal WP29, tale nuovo parere è finalizzato ad aggiornare le regole per il trattamento dei dati personali dei lavoratori alla luce dell’evoluzione delle tecnologie informatiche (es.: sistemi per il controllo del lavoro da remoto, geolocalizzazione, Data Loss Prevention) nonché della ormai prossima entrata in vigore (25.5.2018) del Regolamento UE n. 679/2016 (cd. “GDPR”).
Nel documento in esame – rivolto non solo ai lavoratori dipendenti bensì anche a quelli autonomi, indipendentemente dalla stipula o meno di un contratto di lavoro subordinato – il WP29 ha, dapprima, ricordato che nell’effettuare il trattamento di tale tipologia di dati personali i datori di lavoro devono tenere ben presenti i diritti fondamentali dei lavoratori, ivi incluso il diritto alla loro riservatezza e, successivamente, individuato le basi giuridiche di tale trattamento, precisando che queste ultime possono ravvisarsi, alternativamente: (i) nell’esecuzione di obblighi derivanti da un contratto di lavoro, ove presente (es.: finalità retributive – ai sensi dell’art. 6.1, lett. b) del GDPR); (ii) nell’adempimento di obbligazioni previste dalla legge (es.: calcolo della ritenuta d’imposta – ex art. 6.1, lett. c) del GDPR); (iii) nell’interesse legittimo del datore di lavoro (es.: prevenzione della perdita di materiali aziendali e/o miglioramento della produttività dei lavoratori – ex art. 6.1, lett. f) del GDPR).
Il WP29, invece, esclude dalle basi giuridiche del trattamento dei dati personali dei lavoratori il mero consenso di questi ultimi in quanto, a causa del rapporto di “dipendenza” nei confronti del datore di lavoro, lo stesso consenso non potrebbe mai ritenersi liberamente prestato né, per le medesime ragioni, liberamente revocabile.
Con particolare riferimento all’interesse legittimo del datore di lavoro, poi, il WP29 ricorda a ciascun datore di lavoro di valutare preventivamente se il trattamento da porre in essere sia necessario e proporzionato per il perseguimento di una finalità legittima, nonché di adottare apposite misure di sicurezza volte a bilanciare tale finalità con i diritti e le libertà fondamentali dei lavoratori, redigendo, se del caso (cfr. art. 35 del GDPR), anche una valutazione di impatto del trattamento (cd. “DPIA”).
A tal riguardo, il WP29 suggerisce altresì ai datori di lavoro specifiche misure di sicurezza idonee a prevenire eventuali violazioni della riservatezza degli interessati, tra cui, ad esempio, (i) l’esclusione delle cd. “aree sensibili” (ospedali o luoghi religiosi) dalle zone sottoposte a monitoraggio, (ii) il divieto di monitoraggio delle cartelle/dei file e/o delle comunicazioni personali dei dipendenti e/o, ancora, (iii) la previsione di un monitoraggio “a campione”, rispetto ad una sorveglianza continuata nel tempo (sul punto, per l’Italia, cfr. Prov. Garante Privacy n. 247/2017).
Il WP29 ricorda, infine, che nel caso in cui il trattamento dei dati dei lavoratori si fondi sull’interesse legittimo del titolare, quest’ultimo è sempre tenuto a garantire agli interessati il diritto di opporsi al trattamento, esercitando l’omonimo diritto loro conferito dall’art. 21 del GDPR.
- I casi tipici
Con il parere in esame, il WP29 ha individuato 9 scenari tipici di trattamento di dati personali dei lavoratori – per lo più basati su un interesse legittimo del titolare del trattamento – che possono presentare dei rischi per i diritti e le libertà fondamentali di questi ultimi.
Per ciascuno di tali scenari, il WP29 ha inoltre ricordato che il datore di lavoro deve procedere, nel rispetto dei principi di “privacy by design” e “privacy by default” previsti dal GDPR, alla previa individuazione della base giuridica del trattamento, alla verifica della necessità delle operazioni di trattamento ed all’esame della correttezza e proporzionalità dello stesso rispetto alle finalità perseguite.
- Trattamento dei dati dei candidati presenti sui social network
Secondo il WP29, il datore di lavoro può trattare i dati dei candidati presenti sui loro profili social (opinioni personali, abitudini, interessi, ecc.) solo nelle ipotesi in cui tali profili siano utilizzati dagli interessati per finalità lavorative – e non personali – e laddove gli stessi siano necessari e rilevanti per l’esecuzione della prestazione lavorativa cui la domanda del candidato è rivolta. In tale circostanza, il WP29 ricorda ai datori di lavoro di informare preventivamente il candidato del trattamento dei suoi dati personali (mediante, ad esempio, l’inserimento di una specifica indicazione all’interno dell’annuncio di lavoro).
- Trattamento dei dati dei lavoratori presenti sui social network
Il trattamento dei dati dei lavoratori presenti sui social network ha, secondo il WP29, i medesimi presupposti previsti per il trattamento dei dati dei candidati (necessaria pubblicità del profilo social dell’interessato, preventiva informativa del trattamento resa agli interessati, sussistenza della necessità e rilevanza del trattamento rispetto al legittimo interesse perseguito). A tal riguardo, tuttavia, il WP29 impone sul datore di lavoro l’onere di provare anche l’insussistenza di strumenti meno invasivi per il raggiungimento delle finalità del trattamento (es.: per il WP29 il datore di lavoro può avere un legittimo interesse a monitorare il profilo Linkedin dell’ex dipendente in regime di non concorrenza con la propria società al fine di verificare il rispetto di tale obbligo da parte dell’ex dipendente).
- Monitoraggio della strumentazione informatica dei lavoratori
Il WP29 ritiene che, stante l’evoluzione delle tecnologie informatiche a disposizione dei datori di lavoro (Data Loss Prevention, Next-Generation Firewalls, Unified Threat Managment, eDiscovery technologies, BYOD), il trattamento dati personali dei lavoratori relativi all’utilizzo della loro strumentazione informatica (es.: e-mail ricevute/inviate; siti web visitati; telefonate effettuate) rappresenti la più grande minaccia per la loro riservatezza.
Per far fronte a tale minaccia, il WP29 incoraggia i datori di lavoro ad adottare specifiche soluzioni volte a prevenire il ricorso ad accessi “successivi” ai dati dei lavoratori (presenti, ad esempio, nella loro cronologia web e/o nella casella di posta elettronica) e suggerisce, a titolo esemplificativo, misure quali: la predisposizione di un elenco di siti in cui la navigazione è vietata; la previsione di calendari di posta personali; la predisposizione di un’apposita policy per l’uso della strumentazione informatica.
Sul punto, un particolare esempio di approccio preventivo alla protezione dei dati è stato configurato dal WP29 con riferimento alla procedura di Data Loss Prevention, utilizzata dai datori di lavoro al fine di individuare e prevenire la trasmissione non autorizzata di informazioni riservate aziendali. Come chiarito dal WP29, nelle ipotesi in cui un datore di lavoro intenda avvalersi di una simile procedura, egli dovrebbe (i) informare i lavoratori dell’implementazione della stessa, (ii) determinare, in modo chiaro, le regole sulla base delle quali il sistema informatico qualifica una e-mail in uscita come in violazione della riservatezza aziendale e (iii) in caso di effettiva violazione, informarne l’interessato al fine di consentire a quest’ultimo di cancellare – e non inviare – tale comunicazione.
Con particolare riferimento all’utilizzo della strumentazione informatica da remoto (es. BYOD), invece, il WP29 ha previsto che, sebbene l’utilizzo di simili tecnologie comporti grandi vantaggi per i lavoratori, esso presenta anche il rischio di accessi non autorizzati ai dati personali da parte di soggetti terzi. Secondo il WP29, pur avendo la necessità di far fronte a tali rischi, il datore di lavoro non può adottare misure di sicurezza quali il monitoraggio dei movimenti del mouse, l’utilizzo di webcam o di tecnologie di “screen capture” – in quanto non proporzionate ed eccessive rispetto alle finalità perseguite – ma deve piuttosto implementare misure di sicurezza che rispettino la riservatezza degli interessati (così, ad esempio, se il datore di lavoro intende accedere agli smartphone dei lavoratori per verificare la perdita di dati personali, dovrebbe evitare l’accesso ad aree “private”, quali l’archivio fotografico).
- Mobile Device Managment
Le tecnologie di Mobile Device Managment consentono al datore di lavoro di gestire (rectius, geolocalizzare, installare software/applicazioni, cancellare dati personali) da remoto i dispositivi mobili affidati ai lavoratori. In relazione a tali tecnologie, il WP29 ha previsto che ciascun datore di lavoro debba effettuare una DPIA prima dell’inizio del trattamento, al fine di verificare la necessità del trattamento rispetto alle finalità perseguite e garantire il rispetto dei principi di proporzionalità e sussidiarietà. Come precisato dal WP29, inoltre, il datore di lavoro dovrebbe, da un lato, essere in grado di dimostrare che l’utilizzo di tali tecnologie informatiche non rientra in un più ampio programma di trattamento volto all’esclusivo controllo dell’attività dei lavoratori e, dall’altro, adottare sistemi di registrazione delle informazioni volti a raccogliere i dati personali relativi ai dispositivi mobili dei lavoratori solo in casi eccezionali (es. smarrimento).
- Wearable Devices
Gli strumenti utilizzati dal datore di lavoro al fine di monitorare lo stato di salute e l’attività fisica dei propri lavoratori, spesso anche al di fuori dell’ambiente di lavoro, consentono al datore di raccogliere i dati cd. “sensibili” degli interessati: come sostenuto dal WP29, pertanto, il trattamento dei dati effettuato tramite tali tecnologie informatiche è illecito ai sensi dell’art. 8 della Direttiva 95/46/CE (oggi art. 9 del GDPR). I dati personali raccolti tramite tali strumenti, pertanto, possono essere trattati solo dai diretti interessati ed eventualmente dal fornitore del servizio.
- Rilevazione della presenza dei lavoratori
Alcuni strumenti aziendali utilizzati dal datore di lavoro per finalità del tutto legittime possono comportare l’indiretto monitoraggio della presenza e dell’attività dei lavoratori sul luogo di lavoro (si pensi, ad esempio, all’installazione di un sistema di rilevazione dei dati biometrici dei lavoratori, volto a monitorare l’accesso degli stessi ad aree contenenti informazioni altamente riservate, ma in grado di consentire al datore di lavoro di verificare l’effettivo svolgimento della prestazione lavorativa). Tali trattamenti di dati, secondo il WP29, si fondano sul legittimo interesse del titolare finalizzato a tutelare la perdita e/o la sottrazione di informazioni riservate di natura aziendale (es.: dati dei clienti) ma, per poter essere effettuati nel rispetto della normativa vigente, devono essere preceduti da una idonea informativa fornita ai lavoratori.
- Trattamenti di dati mediante sistemi di videosorveglianza
Secondo il WP29, l’utilizzo delle tecnologie che consentono il video monitoraggio dei lavoratori (es.: monitoraggio dell’espressione facciale mediante la videocamera dello smartphone affidato ai lavoratori) è illecito, in quanto sproporzionato rispetto alla tutela dei diritti e delle libertà fondamentali degli interessati.
- Geolocalizzazione dei veicoli
Come precisato dal WP29, al fine di valutare la liceità del trattamento dei dati relativi all’ubicazione dei lavoratori mediante installazione di impianti GPS sui veicoli aziendali loro affidati, occorre distinguere. Se tale trattamento è effettuato al solo fine di monitorare il comportamento dei lavoratori e/o la loro posizione geografica, è illecito (cfr. anche WP29 Parere n. 13/2011). Se, diversamente, il trattamento è effettuato per il perseguimento di finalità legittime del datore di lavoro quali, ad esempio, la tutela della sicurezza dei veicoli e/o dei lavoratori ovvero, ancora, per la pianificazione in tempo reale di alcune attività lavorative, tale trattamento risulta lecito (cfr. sul punto anche WP29 parere n. 5/2005). In ogni caso, il WP29 suggerisce ad ogni datore di lavoro di inserire all’interno di ciascun veicolo una informativa privacy ben visibile recante l’indicazione dell’installazione del GPS e di valutare, prima del trattamento, se i veicoli aziendali concessi ai lavoratori possono essere utilizzati dagli stessi anche per finalità private, suggerendo, in tal caso, di garantire ai lavoratori la possibilità di disattivare il sistema GPS nel caso di destinazioni private.
- Trasferimento dei dati personali dei lavoratori a terzi
In relazione al trasferimento dei dati dei lavoratori a terzi, il WP29 esemplifica, da un lato, il caso in cui tali dati siano trasferiti ai clienti finali e, dall’altro, l’ipotesi in cui i dati siano comunicati tra società del medesimo gruppo aventi sede fuori dall’Italia. Con riferimento alla prima fattispecie, il WP29 ritiene che il trasefrimento possa avvenire solo se fondato su un legittimo interesse del titolare; in relazione alla seconda, invece, il WP29 richiama i principi generali per il trasferimento dei dati previsti dalla Direttiva 95/46/CE e, attualmente, trasposti all’interno del GDPR (garanzia di un adeguato livello di protezione dei dati da parte dello Stato estero e, ove mancante, presenza di una apposita deroga).
- Conclusioni
Con il parere in esame il WP29 ha introdotto, alla luce delle nuove tecnologie informatiche esaminate al precedente punto 2 ed alla nuova disciplina introdotta dal GDPR, delle specifiche regole per il trattamento dei dati dei lavoratori.
Tali disposizioni forniscono un grande valore aggiunto per i datori di lavoro che intendono trattare i dati personali dei propri lavoratori, in quanto, da un lato, definiscono le basi giuridiche di tale tipologia di trattamento e, dall’altro, tramite esempi pratici, approfondiscono il generico concetto di “legittimo interesse” del titolare, così come previsto dall’art. 6.1 lett. f) del GDPR.
Il parere, inoltre, ricorda ai datori di lavoro di adottare sempre, nel rispetto del principio di “accountability” previsto dal GDPR, misure preventive volte alla protezione della riservatezza dei lavoratori redigendo, se del caso, anche una valutazione di impatto del trattamento che abbia ad oggetto il bilanciamento tra il proprio legittimo interesse e l’impatto delle nuove tecnologie informatiche utilizzate sui diritti e le libertà fondamentali degli interessati.
Chiara Agostini
