Dal Decreto Trasparenza al Decreto Lavoro
Tra le tante novità, il DL 48/2023 ha inciso anche sulla disciplina degli obblighi informativi gravanti sui datori di lavoro che utilizzano sistemi decisionali o di monitoraggio automatizzati che possano incidere:
sull'assunzione del personale;
sulla gestione e cessazione del rapporto;
sull'assegnazione di compiti e mansioni o sul conferimento di specifici incarichi lavorativi;
sulla valutazione della performance o sull'adempimento delle obbligazioni contrattuali.
In detti casi, l'art. 1-bis, co. 1 del D.Lgs. 152/1997, come modificato dal D.Lgs. 104/2022 (c.d. Decreto Trasparenza) ha imposto al datore di lavoro (così come al committente pubblico o privato nei riguardi dei soggetti titolari di rapporti di collaborazione) un obbligo informativo particolarmente ampio, che ricomprende non solo gli scopi e le finalità del trattamento, ma anche “la logica e il funzionamento” dei sistemi automatizzati e le “categorie di dati e i parametri principali utilizzati” per la loro programmazione.
Sin da subito gli interpreti si sono interrogati sulla portata dell'obbligo in questione, e ciò anche a causa della sua evidente sovrapposizione con altri importanti apparati normativi – come quelli in materia di controlli a distanza e privacy – che hanno continuato a mantenere la loro autonomia concettuale e giuridica anche dopo l'entrata in vigore del Decreto Trasparenza.
Alcuni chiarimenti (in verità, non molti) sono stati forniti dal Ministero del Lavoro e delle Politiche Sociali il quale, con la Circolare n. 19/2022, pur senza offrire un quadro esaustivo circa i margini di applicazione della disciplina in esame, ne ha quantomeno escluso l'applicabilità in caso di utilizzo di strumenti automatizzati per la rilevazione delle presenze dei dipendenti in entrata o in uscita (e sempre che tale registrazione non generi automaticamente una decisione datoriale o un monitoraggio automatizzato in grado di indirizzare o influire sui processi decisionali del datore di lavoro).
La circolare ministeriale ha poi sfiorato – ancora una volta senza fornire un apporto decisivo, e forse complicando addirittura ulteriormente il quadro – un ulteriore aspetto rilevante, quello concernente la portata dell'intervento umano.
Secondo il dicastero, infatti, il fatto che il processo decisionale o di controllo preveda un certo intervento umano, non esclude l'applicabilità degli obblighi informativi previsti dall'art. 1-bis sussisterebbero, a meno che l'intervento umano non risulti “meramente accessorio”. La Circolare ha quindi introdotto un elemento valutativo estremamente elastico, suggerendo all'interprete di andare a valutare caso per caso quale sia il peso specifico dell'intervento umano nel processo decisionale o di controllo. Nulla dunque che possa contribuire a introdurre elementi di certezza preventivi.
Scorrendo le esemplificazioni contenute nella circolare, si scopre poi che il Ministero ha finito per far rientrare nell'ambito di applicazione del nuovo art. 1-bis pressoché tutti gli strumenti di controllo dell'attività lavorativa che già erano disciplinati dall'art. 4 dello Statuto dei Lavoratori, svalutando del tutto il fattore dell'automatismo contemplato dalla nuova disciplina (ad esempio la circolare – senza in alcun modo argomentare in merito alle logiche di funzionamento dei singoli sistemi e soprattutto senza nulla dire in merito alla rilevanza dell'apporto umano di volta in volta richiesto - ritiene che rientrino tra gli strumenti di controllo automatizzato i tablet, dispositivi wearable, gps e geolocalizzatori e sistemi biometrici).
Il nuovo art-1-bis D.Lgs. 152/97 nella prospettiva della disciplina sulla protezione dei dati personali
Proprio su questo aspetto è intervenuto il DL 48/2023 (cd. “Decreto Lavoro”), circoscrivendo gli obblighi informativi in esame ai soli “sistemi decisionali o di monitoraggio integralmente automatizzati” (per completezza, va segnalato che il Decreto Lavoro ha previsto che gli obblighi informativi non si applicano ai sistemi protetti da segreto industriale e commerciale; per evidenti ragioni di spazio, in questa sede non si potrà affrontare anche questa pur importante novità).
L'aggiunta dell'avverbio “integralmente” ha chiaramente inciso sull'ambito di applicazione del nuovo art. 1-bis: in base alla nuova formulazione normativa, infatti, possono dirsi esentati dall'obbligo di informativa tutti quei sistemi decisionali e di monitoraggio in cui vi sia un certo apporto umano, anche minimo o accessorio, ma che sia comunque tale da escludere un'autonoma capacità decisionale (o di controllo) da parte del mezzo tecnologico.
La nuova formulazione dell'art-1-bis sembra porsi in sintonia con le indicazioni normative ricavabili dalla disciplina in materia di protezione dei dati personali, che già da diversi anni ha sollevato l'attenzione sulla tematica dei processi decisionali automatizzati.
Utili indicazioni interpretative possono trarsi, in particolare, dalle Linee guida sul processo decisionale automatizzato elaborate dal Gruppo di lavoro art. 29 in data 6 febbraio 2018 (n. WP251), dove è stato chiarito, tra le altre cose, che i processi decisionali automatizzati sono quelli caratterizzati dalla capacità del mezzo tecnologico di prendere decisioni senza coinvolgimento umano.
Coerente con questa impostazione è pure l'art. 22 del Regolamento UE 679/2016 (GDPR) nella parte in cui attribuisce all'interessato che sia sottoposto a processi decisionali automatizzati “il diritto di ottenere l'intervento umano da parte del titolare del trattamento”, nonché di esprimere la propria opinione e di contestare la decisione assunta dal mezzo tecnologico. Come è stato opportunamente osservato, la previsione in esame non avrebbe avuto alcun senso se la disciplina sui processi decisionali automatizzati fosse stata applicabile anche ai processi caratterizzati da coinvolgimento umano (in quel caso, infatti non vi sarebbe stata certo la necessità di “umanizzare” la decisione…).
Ancor più ricco di spunti è il Considerando n. 71 del GDPR: qui il Regolamento, dopo aver affermato il principio generale secondo cui l'interessato “dovrebbe avere il diritto di non essere sottoposto a una decisione … che sia basata unicamente su un trattamento automatizzato e che produca effetti giuridici che lo riguardano”, e dopo aver previsto i casi in cui è possibile derogare a tale assunto (es. nel caso in cui il processo decisionale risulti funzionale al perseguimento dell'interesse pubblico, oppure necessario per la conclusione e l'esecuzione di un contratto, o ancora vi sia il consenso dell'interessato), impone ai titolari del trattamento non solo di fornire l'informativa ai sensi dell'art. 13 del Regolamento (che, lo ricordiamo, deve ricomprendere anche “informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato”), ma anche di predisporre “garanzie adeguate” volte a minimizzare il rischio di errori e inesattezze e ad impedire il perpetrarsi di possibili effetti discriminatori a carico degli interessati.
In questo senso, dunque, il Decreto Lavoro sembra eliminare i margini di discrezionalità indotti dalla Circolare ministeriale n. 19/2022, la quale – come accennato sopra – aveva introdotto un problematico elemento di valutazione circa il peso specifico assunto dal coinvolgimento dell'uomo nell'ambito del processo decisionale.
Questo rischio sembra oggi decisamente più lontano, in quanto la nuova formulazione dell'art. 1-bis del D.Lgs. 152/1997 sembra circoscrivere l'applicabilità degli obblighi informativi ai soli casi in cui, nell'ambito del processo decisionale o di monitoraggio, non vi sia alcun tipo di intervento umano, o tutt'al più in caso di coinvolgimento umano puramente simbolico o fittizio, come suggerito del resto anche dalle Linee Guida WP251 elaborate dal Gruppo di Lavoro art. 29.