Ordinanza ingiunzione o revoca n. 675 del 13/11/2024

Foodinho s.r.l. - trattamenti dei dati dei rider tramite piattaforma Glovo

Il provvedimento riguarda Foodinho s.r.l., titolare del trattamento dei dati dei rider operanti in Italia tramite la piattaforma Glovo Courier. L’istruttoria trae origine da un procedimento avviato d’ufficio dopo notizie di stampa sulla disconnessione dell’account di un rider deceduto e da successive segnalazioni relative ai trattamenti svolti mediante l’applicativo.

Origine del procedimento e attività istruttoria

L’Autorità ha delegato la Guardia di finanza a svolgere accertamenti ispettivi presso la sede della società nei giorni 13 e 14 dicembre 2022, 28 febbraio e 1° marzo 2023, nonché 26 e 27 luglio 2023. Nel corso dell’istruttoria sono state esaminate le funzionalità della piattaforma, la documentazione contrattuale e informativa, le modalità di gestione degli account, i flussi di dati verso terzi, l’uso di dati biometrici e i sistemi di profilazione e disconnessione dei rider.

Eccezioni preliminari respinte

La società aveva contestato la competenza del Garante, sostenendo che la piattaforma fosse gestita dalla capogruppo spagnola. L’Autorità ha invece ritenuto che i trattamenti dei rider in Italia fossero effettuati dalla società italiana quale autonomo titolare, sulla base dei contratti conclusi con i rider e delle informative rese loro disponibili. È stata anche respinta l’eccezione di ne bis in idem: il precedente provvedimento n. 234/2021 riguardava trattamenti diversi, in un diverso arco temporale e con un diverso oggetto istruttorio.

Violazioni relative all’informativa e alla trasparenza

Il Garante ha ritenuto inadeguate le informative consegnate e pubblicate dalla società, giudicandole non conformi agli artt. 12 e 13 GDPR e, in vari punti, anche all’art. 5, par. 1, lett. a) GDPR. Le informative non descrivevano in modo chiaro e completo tutte le categorie di dati trattati, non coordinavano correttamente basi giuridiche e finalità, non esplicitavano in modo comprensibile i trattamenti relativi a geolocalizzazione, chat ed e-mail, metriche di valutazione, disattivazione/blocco degli account e dati biometrici. Il Garante ha anche evidenziato la confusione derivante dalla pluralità di documenti, non effettivamente riconducibili a un coerente modello di informative stratificate.

Sistemi decisionali automatizzati, profiling e art. 22 GDPR

È stato accertato che la società usa sistemi automatizzati con impatto significativo sui rider. In particolare:

• il sistema di eccellenza attribuisce un punteggio basato su quattro parametri: contributo, no show, customer rating e slot ad alta domanda;
• il punteggio influisce sulla priorità nella prenotazione degli slot e, quindi, sulle occasioni di lavoro;
• il sistema di assegnazione degli ordini utilizza ulteriori parametri automatizzati;
• i sistemi di blocco e disattivazione dell’account operano in tutto o in parte in modo automatizzato.

Il Garante ha ritenuto che tali trattamenti integrino decisioni basate unicamente su trattamenti automatizzati e profilazione ai sensi dell’art. 22 GDPR, senza che la società avesse predisposto misure adeguate a tutela degli interessati: diritto all’intervento umano, possibilità di esprimere la propria opinione, possibilità di contestare la decisione, formazione degli operatori e verifica periodica degli algoritmi.

Dati biometrici: trattamento illecito e divieto

Il provvedimento considera illecito il trattamento dei dati biometrici dei rider effettuato tramite riconoscimento facciale. La società aveva avviato il trattamento nel novembre 2020, lo aveva sospeso nel luglio 2022 per bug tecnici e poi riattivato, fino a renderlo nuovamente operativo su tutto il territorio nazionale. Il Garante ha escluso che sussistesse una valida base giuridica ex art. 9, par. 2, lett. b) GDPR, evidenziando che il trattamento non è indispensabile per l’erogazione del servizio e che non esiste una previsione normativa sufficiente a legittimarlo per finalità di identificazione dei lavoratori in questo contesto.

L’Autorità ha quindi:

• vietato l’ulteriore trattamento dei dati biometrici dei rider;
• ordinato la cancellazione dei dati biometrici raccolti.

Trattamento dei dati a terze parti e SDK

È stato accertato l’invio a terzi di dati dei rider, in particolare a Google Firebase, Braze e mParticle, anche tramite SDK e API integrati nell’app. Tra i dati comunicati figuravano, a seconda del fornitore, ID del rider, e-mail, numero di telefono, dati di dispositivo, sistema operativo, localizzazione, log di utilizzo e metadati di interazione. Il Garante ha ritenuto tali comunicazioni eccedenti rispetto alle finalità dichiarate, non adeguatamente presidiate da misure tecniche e organizzative e, in alcuni casi, non pienamente note alla stessa società. Sono state contestate anche carenze informative verso i rider su tali flussi e l’assenza di un adeguato controllo sui dati effettivamente inviati.

Geolocalizzazione e misure di sicurezza

La società raccoglie e memorizza sistematicamente la posizione geografica dei rider, anche in background e, per un periodo, anche quando l’app non era attiva. Il Garante ha ritenuto che ciò esponesse i dati a trattamenti non adeguatamente limitati e che la società non avesse adottato misure sufficienti per impedire accessi cross-country ai dati dei rider italiani da parte di operatori di altre società del gruppo. È stata quindi contestata la violazione degli artt. 5, par. 1, lett. f) e 32 GDPR.

Conservazione dei dati

L’Autorità ha giudicato eccessivi e non sufficientemente parametrati alle specifiche finalità i tempi di conservazione adottati dalla società, tra cui:

• 36 mesi per le registrazioni telefoniche e per talune conversazioni via chat;
• 1 anno per i dati di geolocalizzazione;
• 10 anni per varie categorie di dati, inclusi quelli relativi al rapporto contrattuale e agli ordini;
• conservazione dei dati e documenti dei rider disattivati fin dal 2016.

Il Garante ha ritenuto violato il principio di limitazione della conservazione ex art. 5, par. 1, lett. e) GDPR.

Designazione impropria del rider come responsabile del trattamento

Nei termini e condizioni era prevista la designazione del rider come responsabile del trattamento in relazione a dati dei clienti e agli ordini. L’Autorità ha giudicato tale qualificazione non conforme all’art. 28 GDPR, poiché il rider, nel concreto, non presentava i requisiti tipici del responsabile né svolgeva compiti corrispondenti a quelli previsti dalla norma. È stata inoltre contestata la gestione dei sub-responsabili esterni, in particolare operatori di call center, che avrebbero operato disconnessioni e disattivazioni senza adeguate istruzioni e presidi contrattuali.

Controllo a distanza e art. 114 Codice privacy

Il Garante ha ricondotto i trattamenti effettuati tramite piattaforma, app e strumenti di registrazione delle comunicazioni alla disciplina dei controlli a distanza del lavoro, ritenendo applicabili l’art. 88 GDPR, l’art. 114 del Codice privacy e l’art. 4 l. 300/1970. La società è stata ritenuta inadempiente perché non ha verificato che gli strumenti fossero utilizzati esclusivamente per finalità ammesse e non ha attivato le procedure di garanzia previste dall’ordinamento.

Provvedimenti correttivi

L’Autorità ha imposto una serie ampia di misure correttive, tra cui:

• riformulazione dei messaggi inviati in caso di disattivazione/blocco;
• revisione delle informative e della DPIA;
• revisione dei tempi di conservazione;
• predisposizione di misure per garantire intervento umano, contestazione e formazione degli operatori nei processi automatizzati;
• controlli periodici sugli algoritmi;
• strumenti contro usi impropri o discriminatori dei feedback;
• adeguamento dei flussi verso terzi secondo minimizzazione e privacy by design/by default;
• verifica periodica degli accessi cross-country;
• disattivazione del GPS in background e introduzione di un’icona che segnali l’attivazione del GPS;
• conformazione della designazione dei rider e delle procedure di controllo a distanza.

Sanzione pecuniaria e pubblicazione

Per la pluralità delle violazioni accertate, il Garante ha applicato l’art. 83 GDPR e ha irrogato a Foodinho s.r.l. una sanzione amministrativa pecuniaria di euro 5.000.000. Nella quantificazione sono stati considerati la gravità, la durata, il numero di interessati coinvolti, la natura dei dati trattati, il carattere colposo della condotta, la precedente sanzione del 2021 e la limitata collaborazione manifestata dalla società, oltre alle modifiche correttive solo parzialmente adottate.

È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e l’annotazione nel registro interno dell’Autorità.