Decreto Trasparenza, cosa cambia in tema di privacy per il datore di lavoro

Il Decreto Trasparenza si attua in recepimento alla Dir. UE 2019/1152 che modifica la previgente Dir. 91/533/CEE del Consiglio del 14 ottobre 1991, relativa all'obbligo del datore di lavoro di informare il lavoratore delle condizioni applicabili al contratto o al rapporto di lavoro. La necessità di una modifica normativa deriva dalle profonde mutazioni che hanno caratterizzato i rapporti di lavoro e che hanno sollevato la necessità per il Legislatore europeo di integrare gli obblighi di informazione a cui è tenuto il datore di lavoro affinché i lavoratori siano pienamente e tempestivamente informati per iscritto, in un formato facilmente accessibile in merito alle condizioni essenziali del rapporto di lavoro.

Rientrano tra i dati da fornire al lavoratore anche quelli relativi all'utilizzo dei sistemi decisionali o di monitoraggio automatizzati. Il decreto integra, infatti, quanto previsto dall'art. 1 bis D.Lgs. 152/97 inserendo l'obbligo per il datore di lavoro di informare i prestatori di lavoro dell'utilizzo dei processi decisionali o di monitoraggio automatizzati deputati a fornire indicazioni rilevanti ai fini dell'assunzione o del conferimento dell'incarico, della gestione o della cessazione del rapporto di loro, dell'assegnazione dei compiti o mansioni nonché indicazioni incidenti sulla sorveglianza, la valutazione, le prestazioni e l'adempimento delle obbligazioni contrattuali dei lavoratori.

Cosa si intende per processo decisionale automatizzato?

Secondo le Linee guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del Reg. Eu. 2016/679 adottate dal Gruppo di lavoro articolo 29 per la protezione dei dati personali in data 3 ottobre 2017, il processo decisionale automatizzato si contraddistingue per la capacità di prendere decisioni impiegando mezzi tecnologici senza il coinvolgimento umano.

Le decisioni automatizzate possono essere prese ricorrendo, altresì, alla profilazione. Quest'ultima ricorre in tutte quelle ipotesi in cui il trattamento automatizzato di dati personali consiste nell'utilizzo di tali dati per valutare determinati aspetti personali relativi ad una persona fisica.

Rientra nella previsione del decreto, altresì, il monitoraggio automatizzato che può derivare dall'uso di strumenti di sorveglianza – del tutto automatizzati – e in grado di raccogliere informazioni dei lavoratori.

Nulla viene, invece, previsto per i sistemi semi-automatizzati. Il processo decisionale automatizzato risulta, altresì, disciplinato dall'art. 22 GDPR ove, tuttavia, l'ambito di applicazione resta circoscritto a quelle ipotesi in cui il processo decisionale automatizzato abbia la capacità di produrre effetti giuridici o effetti analoghi a quelli giuridici sulla sfera dell'interessato. In tali ipotesi, oltre il diritto di essere informato, si ricorda che il lavoratore conserva il diritto di accedere ai dati che lo riguardano, conoscere la logica utilizzata dal sistema e richiedere l'intervento umano per rivalutare la decisione presa dal processo automatizzato.

Il Decreto Trasparenza estende, pertanto, l'obbligo di informazione anche a quei processi decisionali o di monitoraggio automatizzati che non producono effetti giuridici o analoghi a quelli giuridici sulla sfera del lavoratore.

Il datore di lavoro è tenuto a fornire al lavoratore una serie di informazioni attinenti ai rapporti di lavoro e sui quali incide l'utilizzo di tali sistemi:

• gli scopi e le finalità;
• la logica e il funzionamento;
• le categorie di dati e i parametri principali utilizzati per programmare o addestrare i sistemi, inclusi i meccanismi di valutazione delle prestazioni;
• le misure di controllo adottate per le decisioni automatizzate, gli eventuali processi di correzione e il responsabile del sistema di gestione della qualità;
• il livello di accuratezza, robustezza e cybersicurezza dei sistemi;
• le metriche utilizzate per misurare tali parametri, nonché gli impatti potenzialmente discriminatori delle metriche stesse.

Gli obblighi privacy

Il Decreto Trasparenza, inoltre, all'art. 4 comma 4 prescrive al datore di lavoro e al committente l'obbligo di integrare l'informativa con le istruzioni per il lavoratore in merito alla sicurezza dei dati e l'aggiornamento del registro dei trattamenti per le attività previste dal primo comma della norma. L'obbligo di informativa che pesa sul datore di lavoro è già previsto dagli artt. 13 e 14 GDPR il quale prescrive di fornire all'interessato le informazioni relative al trattamento dei dati che lo riguardano.

In particolare, secondo l'art. 13 GDPR all'interessato devono essere fornite le seguenti informazioni:

• l'identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;
• i dati di contatto del responsabile della protezione dei dati, ove applicabile;
• le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;
• i legittimi interessi perseguiti dal titolare del trattamento o da terzi, qualora presenti;
• gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
• ove applicabile, l'intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un'organizzazione internazionale e l'esistenza o l'assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all'artt. 46 o 47, o all'art. 49, c. 2, il riferimento alle garanzie appropriate o opportune e i mezzi per ottenere una copia di tali dati o il luogo dove sono stati resi disponibili.

In aggiunta, il titolare del trattamento una volta che ha ottenuto dette informazioni deve fornire all'interessato, altresì, le informazioni relative al periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo; l'esistenza dei diritti degli interessati e le modalità di esercizio degli stessi; se la comunicazione di dati personali è un obbligo legale o contrattuale oppure un requisito necessario per la conclusione di un contratto, e se l'interessato ha l'obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati; l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'art. 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato.

Il Decreto Trasparenza amplia, pertanto, il contenuto dell'informativa richiedendo al datore di lavoro di fornire le istruzioni in merito alla sicurezza dei dati trattati. Tali informazioni possono essere rese note al lavoratore anche tramite policy disciplinari specifiche relative all'uso degli strumenti utilizzati e attraverso le nomine di incaricati al trattamento di cui agli artt. 29 e 32 GDPR tramite le quali il Titolare del trattamento istruisce i soggetti che trattano i dati sotto la sua autorità.

Il decreto ribadisce l'importanza del registro dei trattamenti di cui all'art. 30 del GDPR. Si ricorda che il Legislatore europeo aveva limitato l'applicazione dell'art. 30 alle sole organizzazioni con più di 250 dipendenti (ad eccezioni di alcune particolari ipotesi). Tuttavia, sin dal 2018 il Garante per la protezione dei dati personali ha ritenuto che il registro de quo rappresenta uno strumento necessario e utile a rendicontare i trattamenti effettuati e costituisce uno strumento essenziale per esercitare piena contezza sulle operazioni di trattamento di dati personali svolte nell'ambito dell'organizzazione. Per tale ragione ha consigliato l'adozione dello stesso anche alle realtà con meno di 250 dipendenti fornendo, altresì, dei modelli semplificati per le PMI.

Infine, l'art. 4 del decreto prevede che il ricorso a sistemi decisionali o di monitoraggio automatizzati possa essere implementato solo previo compimento di una valutazione dei rischi e d'impatto ex art. 35 del GDPR o preceduto da consultazione preventiva del Garante per la protezione dei dati personale ove ne sussistano i presupposti.