GPS nei luoghi di lavoro: le misure da attuare

I mezzi del Global Position System, abbreviato GPS, costituiscono una tecnologia che abilita il monitoraggio a distanza e in tempo reale degli spostamenti di un dispositivo, mediante l’aggregazione di informazioni provenienti dai satelliti. In passato, il GPS era comunemente associato solamente ai veicoli aziendali, ma grazie all’evoluzione tecnologica è diventato possibile impiegare sistemi di localizzazione su qualsiasi dispositivo connesso alla rete.

In Italia, tali strumenti sono assoggettati ad una duplice disciplina quella dell’art. 4 dello Statuto dei lavoratori e quella della regolamentazione privacy. Infatti, l’ultimo comma dell'art. 4 dello statuto dei lavoratori espressamente richiama l’applicazione del Codice privacy e conseguentemente gli adempimenti connessi alla disciplina sulla protezione dei dati personali.

Nell’ambito dell’articolo 4 dello Statuto dei Lavoratori, la collocazione del sistema di localizzazione si sviluppa in un’area indefinita. Di conseguenza, risulta complesso stabilire preventivamente se il GPS debba rientrare tra gli strumenti indispensabili per agevolare l’esecuzione della prestazione lavorativa (secondo comma art. 4 St. Lav, si pensi ad un’azienda di autotrasporti), anziché categorizzarlo tra quelli che potenzialmente potrebbero comportare il controllo a distanza dell’attività lavorativa, (primo comma art. 4 St. Lav.).

Il Garante per la Protezione dei Dati Personali ha cercato di risolvere tale problematica, invero nel 2011 ha stabilito che se il GPS è aggiuntivo rispetto al dispositivo che il lavoratore usa normalmente, allora lo strumento deve rientrare nell’ambito del primo comma. In tale ipotesi, devono essere attuate tutte le garanzie prevista dalla prima parte dell’art. 4 dello Statuto dei Lavoratori.

L’interpretazione trova ulteriore convalida nella posizione espressa dall’Ispettorato Nazionale del Lavoro, che attraverso la nota prot. n. 2 del 2016 ha circoscritto l’ambito d’applicazione del secondo comma dell’articolo 4 dello Statuto dei Lavoratori (strumenti di lavoro) esclusivamente ai sistemi di localizzazione limitando, quindi, i casi alle ipotesi in cui i dispositivi, come ad esempio apparecchi, apparati e dispositivi, costituiscono il mezzo indispensabile per adempiere agli obblighi lavorativi stabiliti dal contratto.

Di conseguenza, il datore di lavoro deve innanzitutto valutare se il GPS rientra nell’ambito del primo o del secondo comma dell’articolo 4 dello Statuto dei Lavoratori. Nel primo caso, è tenuto a ottenere un accordo sindacale preventivo o, in assenza di esso, l’autorizzazione dall’Ispettorato del Lavoro territorialmente competente. Ciò può avvenire a patto che siano soddisfatte le condizioni legittime previste dalla norma, ossia la salvaguardia della sicurezza sul luogo di lavoro, le esigenze organizzative e produttive o la tutela del patrimonio aziendale.

Gli obblighi privacy

Il primo passo da seguire è quello di fornire un’informativa dettagliata, come richiesto dall’articolo 13 del GDPR. La trasparenza assurge a principio fondamentale, l’informativa fornita consente di soddisfare, altresì, quanto richiesto dal decreto trasparenza il quale esplicitamente impone di rendere note le informazioni raccolte tramite strumenti dai quali può derivare il monitoraggio e il controllo dell’attività dei lavoratori.

L’informativa deve includere tutti gli aspetti indicati nell’articolo 13 del GDPR. Pertanto, è essenziale condurre una valutazione preliminare per identificare la natura e le modalità del trattamento. È importante notare che alcune informazioni, come la base giuridica del trattamento, il periodo di conservazione dei dati e i soggetti che possono accedere ai dati, richiedono un’analisi preventiva da parte del datore di lavoro.

Dopo aver completato l’analisi, il responsabile del trattamento dovrà adottare le misure richieste dall’articolo 32 del GDPR e mettere in atto le adeguate precauzioni tecniche e organizzative. Tra queste, rientrano anche le designazioni e le relative istruzioni da fornire ai soggetti che gestiranno i dati per conto del responsabile. L’importanza di questa azione è stata evidenziata anche dal Garante, il quale nel suo Provvedimento sull’installazione del GPS, al punto 5, ha sottolineato l’importanza di limitare l’accesso ai dati provenienti dai sistemi di localizzazione solo a individui precedentemente autorizzati. In aggiunta, nel caso in cui il datore di lavoro coinvolga aziende esterne, è necessario regolare tale coinvolgimento secondo quanto previsto dall’articolo 28 del GDPR. Questo significa che il contratto tra le parti deve chiarire il ruolo predominante del responsabile nei confronti del responsabile del trattamento, specificando in dettaglio le modalità del trattamento e garantendo che il responsabile adotti le adeguate misure di sicurezza per assicurare e mantenere la protezione dei dati.

Il Garante per la protezione dei dati personali nel provvedimento succitato ha delineato diverse misure da applicare ai sistemi di localizzazione. In particolare, il datore di lavoro sarà tenuto a configurare il sistema in modo che sull’apparecchio sia presente un’icona che segnali l’attivazione della funzione di localizzazione. La configurazione dovrà anche permettere la disattivazione della funzione di localizzazione durante le pause dall’attività lavorativa. Inoltre, il sistema dovrà essere configurato in modo da nascondere la visibilità della posizione geografica dopo un certo periodo di inattività dell’operatore. Saranno necessarie autorizzazioni differenziate per i vari tipi di dati e operazioni possibili, e sarà importante stabilire i periodi di conservazione dei dati trattati, considerando le finalità coinvolte. Il fornitore del software dovrà essere designato come responsabile esterno del trattamento o come amministratore di sistema, a seconda del potere che conserva sul sistema stesso. Saranno necessarie verifiche periodiche di test sulla funzionalità “eccesso sosta” e sull’affidabilità dei parametri adottati, al fine di valutare possibili errori (positivi o negativi) generati dal sistema e di apportare eventuali correzioni per garantire la qualità dei dati trattati. Infine, in determinate situazioni, la decisione di installare i GPS dovrà essere preceduta da una valutazione d'impatto, conformemente a quanto stabilito dall’articolo 35 del GDPR. L’articolo sottopone, infatti, i sistemi di monitoraggio ad una preventiva valutazione d’impatto da parte del datore di lavoro.

Le attività dovranno essere, poi, prontamente inserite nel registro delle attività di trattamento di cui all’art. 30 del GDPR. Infine, ma non per importanza, si ricorda che l’art. 4 dello Statuto dei lavoratori condiziona l’uso delle informazioni raccolte con tali strumenti a fornire ulteriori informazioni ai lavoratori. In particolare, il datore di lavoro dovrà fornire una specifica informazione circa le modalità d’uso dello strumento e le modalità tramite le quali il controllo potrebbe essere esperito.