No al software per calcolare i tempi delle attività

Il Sole 24 Ore 2 luglio 2024 di Giampiero Falasca

È illecito l’utilizzo, da parte di un datore di lavoro, di un software che monitora le prestazioni dei dipendenti in maniera dettagliata, registrando i tempi e le modalità di lavoro del personale nonché i tempi di inattività con le specifiche causali; è altrettanto illecito l’utilizzo di un hardware che regola l’accesso sul luogo di lavoro attraverso un sistema di riconoscimento facciale. Sulla base di queste considerazioni, il Garante Privacy ha comminato una pesante sanzione amministrativa a carico di un datore di lavoro che usava tali strumenti per migliorare la produttività interna (provvedimento 338/2024 del 6 giugno scorso).

Si tratta di un’azienda che si occupa di commercio e riparazione di autovetture, la quale ha deciso di installare un software (denominato Dms) e un hardware (X-Face 380) molto innovativi; un’installazione avvenuta senza accordo sindacale o autorizzazione amministrativa in quanto la società li considerava “strumenti di lavoro”.

Una scelta censurata in modo pesante dal Garante. Per quanto riguarda l’hardware che consente il riconoscimento facciale dei dipendenti, viene confermato l’indirizzo molto restrittivo già seguito in casi analoghi: è vietato perché realizza un trattamento illecito dei dati personali.

I dati biometrici rientrano nel novero delle cosiddette categorie particolari di dati e, quindi, il relativo trattamento è di regola vietato, salvo il caso in cui risulti necessario per assolvere degli obblighi ed esercitare dei diritti specifici in materia di diritto del lavoro e della protezione sociale (ipotesi che non si verifica nel caso in questione, essendo insufficiente l’esigenza di compilazione delle buste paga a integrare questo requisito). Il Garante, confermando anche qui il proprio consolidato indirizzo, sottolinea che nell’ambito del rapporto di lavoro il consenso manifestato dai dipendenti non può essere considerato idoneo presupposto di liceità, alla luce dell’asimmetria tra le rispettive posizioni delle parti.

Anche l’utilizzo del software gestionale viene sottoposto a numerosi rilievi critici.

Con questo sistema il datore di lavoro aveva imposto ai propri dipendenti, attraverso un codice a barre assegnato individualmente, di registrare le varie fasi dell’attività lavorativa, comprese le pause (con l’indicazione della specifica causale: ad esempio, riposo, attesa ricambi eccetera).

L’Autorità lamenta la mancanza di risposte del datore di lavoro sulla natura e la tipologia dei dati trattati, le modalità e i tempi di conservazione dei dati, che ha impedito di valutare l’effettiva necessità e proporzionalità del software rispetto alle finalità da perseguire. Non è bastata, quindi, la spiegazione fornita dalla società sul fatto che «il sistema non fa nessun controllo sulle attività svolte, ma esegue un semplice conteggio del tempo impiegato».

Carenza accentuata dal fatto che tali informazioni non sono state portate a conoscenza nemmeno dei dipendenti, ai quali è stata fornita un’informativa che risulta incompleta e inidonea a rappresentare compiutamente il trattamento effettuato.

Una violazione particolarmente grave, se si considera che nell’ambito del rapporto di lavoro l’obbligo di informare il dipendente è espressione del dovere di correttezza, come ricorda anche il Gdpr.

Per questi motivi, l’informativa rilasciata ai dipendenti viene considerata carente circa l’indicazione dell’idonea base giuridica che consente il trattamento, con la conclusione che il trattamento è stato realizzato dalla società in violazione dei principi di liceità, correttezza e trasparenza.