Quesiti di soggetti pubblici e privati del 13/12/2022

Prime indicazioni sul d.lgs. 27 giugno 2022, n. 104 (decreto trasparenza)

Il Garante per la protezione dei dati personali fornisce un inquadramento interpretativo del d.lgs. 27 giugno 2022, n. 104, che ha recepito la direttiva (UE) 2019/1152 sulle condizioni di lavoro trasparenti e prevedibili. Il documento nasce dall’esigenza di coordinare gli obblighi informativi introdotti per l’uso di sistemi decisionali o di monitoraggio automatizzati con la disciplina del GDPR e del Codice privacy, anche alla luce dei chiarimenti già resi dal Ministero del lavoro e dall’Ispettorato nazionale del lavoro.

Quadro normativo e rapporto con il GDPR

Il Garante rileva che l’utilizzo di sistemi automatizzati nel contesto lavorativo comporta trattamenti di dati personali riferiti a interessati identificati o identificabili, con conseguente necessità di applicare il GDPR e il Codice privacy. Il decreto trasparenza è letto come disciplina settoriale più specifica e maggiormente garantista, compatibile con l’art. 88 GDPR, in quanto introduce misure nazionali più appropriate per assicurare trasparenza e garanzie nel contesto lavorativo.

Il documento richiama inoltre la previsione del decreto secondo cui resta salva la configurabilità di eventuali violazioni in materia di protezione dei dati personali, ove sussistano i presupposti sanzionatori di cui agli artt. 83 GDPR e 166 Codice privacy.

Ambito soggettivo di applicazione

Secondo l’Autorità, le nuove disposizioni si applicano a un ampio novero di rapporti di lavoro: subordinato, agricolo, a tempo indeterminato e determinato, part-time, somministrato, intermittente, collaborazioni etero-organizzate, co.co.co., prestazioni occasionali, nonché ai rapporti dei dipendenti delle pubbliche amministrazioni e degli enti pubblici economici. La disciplina si estende anche ai lavoratori marittimi, della pesca e domestici, con alcune eccezioni specifiche.

Sono invece esclusi, tra gli altri, i rapporti di lavoro autonomo non riconducibili a collaborazioni coordinate e continuative, i rapporti con orario molto ridotto, i rapporti di agenzia e rappresentanza commerciale, alcune collaborazioni familiari e taluni rapporti del personale pubblico all’estero o del personale di cui all’art. 3 del d.lgs. 165/2001, limitatamente alle disposizioni del Capo III del decreto.

Il Garante precisa però che, anche quando il decreto non si applica, resta pienamente vigente la disciplina generale di protezione dei dati, inclusi gli obblighi informativi e i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità nei limiti previsti dal GDPR.

Nuovi obblighi informativi in caso di sistemi automatizzati

L’art. 4 del decreto trasparenza inserisce nel d.lgs. 152/1997 l’art. 1-bis, che impone ulteriori informazioni, oltre a quelle già previste dagli artt. 13 e 14 GDPR, quando il datore di lavoro utilizza sistemi decisionali o di monitoraggio automatizzati rilevanti per assunzione, conferimento dell’incarico, gestione o cessazione del rapporto, assegnazione di compiti, sorveglianza, valutazione, prestazioni e adempimento delle obbligazioni contrattuali.

Le informazioni aggiuntive riguardano, tra l’altro:

• gli aspetti del rapporto di lavoro interessati dal sistema;
• il funzionamento del sistema;
• i parametri principali utilizzati per programmarlo o addestrarlo, inclusi i meccanismi di valutazione delle prestazioni;
• le misure di controllo delle decisioni automatizzate e i processi di correzione;
• il responsabile del sistema di gestione della qualità;
• il livello di accuratezza, robustezza e cibersicurezza e le metriche utilizzate, compresi gli impatti potenzialmente discriminatori.

Alcuni di questi elementi integrano gli artt. 13 e 14 GDPR; altri ne specificano il contenuto. In particolare, il Garante richiama la necessità di informare sulla logica del sistema e sulle categorie di dati trattati.

Tempistica dell’informativa e modalità di rilascio

Per i rapporti instaurati dopo il 1° agosto 2022, le informative aggiuntive devono essere rese prima dell’inizio dell’attività lavorativa. Per i rapporti già in essere a tale data, il lavoratore può richiedere per iscritto gli elementi informativi, con obbligo di riscontro del datore di lavoro entro 60 giorni.

L’Autorità evidenzia che restano applicabili i termini previsti dagli artt. 13 e 14 GDPR, ma ritiene auspicabile, in applicazione del principio di trasparenza, che tutte le informazioni siano fornite complessivamente prima dell’inizio del trattamento, in forma concisa, trasparente, intelligibile e facilmente accessibile, con linguaggio semplice e chiaro. Le informazioni relative ai sistemi automatizzati possono essere fornite insieme a quelle ex artt. 13 e 14 GDPR, preferibilmente nello stesso documento.

Liceità del trattamento, controlli e limiti nel contesto lavorativo

Il Garante segnala che l’uso di sistemi decisionali o di monitoraggio automatizzati può comportare trattamenti di dati personali ad alto impatto, specie quando coinvolgono dati biometrici, dati sulle emozioni o tecnologie di riconoscimento facciale, data analytics, machine learning, rete neurali, deep learning, rating e ranking. In questi casi il titolare deve verificare sempre la sussistenza di un idoneo presupposto di liceità ai sensi degli artt. 5 e 6 GDPR e deve rispettare le condizioni speciali per l’impiego di strumenti tecnologici nel rapporto di lavoro.

Il parere richiama in particolare:

• l’art. 4 l. 300/1970, richiamato dall’art. 114 del Codice privacy;
• l’art. 8 l. 300/1970 e l’art. 10 d.lgs. 276/2003, richiamati dall’art. 113 del Codice, che vietano al datore di lavoro di acquisire o trattare informazioni non rilevanti ai fini della valutazione dell’attitudine professionale o attinenti alla sfera privata del lavoratore.

Le disposizioni degli artt. 113 e 114 del Codice sono qualificate come norme più specifiche e di maggiore garanzia ai sensi dell’art. 88 GDPR; la loro violazione può integrare illeciti sanzionabili ai sensi dell’art. 83, par. 5, lett. d), GDPR.

Valutazione d’impatto, privacy by design e privacy by default

Il Garante richiama l’obbligo del titolare di valutare se il trattamento presenti un rischio elevato per i diritti e le libertà degli interessati, tale da richiedere una valutazione d’impatto ex art. 35 GDPR. Tale valutazione è particolarmente rilevante nel contesto lavorativo, tenuto conto della vulnerabilità dei dipendenti e dei casi di monitoraggio sistematico. Il documento richiama le linee guida europee sulla DPIA e osserva che, nella maggior parte dei casi, la presenza di almeno due criteri di rischio suggerisce la necessità della valutazione.

Viene inoltre ricordato che la DPIA è sempre obbligatoria quando il trattamento comporta una valutazione sistematica e globale di aspetti personali basata su trattamento automatizzato, compresa la profilazione, da cui derivano decisioni con effetti giuridici o analogamente significativi.

Il titolare deve rispettare anche:

• il principio di protezione dei dati fin dalla progettazione, adottando misure tecniche e organizzative adeguate;
• il principio di protezione dei dati per impostazione predefinita, limitando il trattamento al minimo necessario;
• l’obbligo di analizzare i rischi e disattivare, anche nei sistemi di terzi, le funzioni prive di base giuridica o incompatibili con le finalità o con le norme di settore.

Registro dei trattamenti e supporto organizzativo

Il Garante ricorda che, quando ricorrono i presupposti, il titolare deve tenere il registro delle attività di trattamento ex art. 30 GDPR, utile a documentare i trattamenti svolti e la loro conformità. In relazione all’art. 1-bis, comma 4, del decreto, il documento precisa che il datore di lavoro non è tenuto a informare gli interessati della predisposizione del registro o dei suoi aggiornamenti.

L’Autorità richiama anche il coinvolgimento del responsabile della protezione dei dati, ove nominato, nell’analisi dei rischi e nella valutazione delle misure tecniche e organizzative necessarie.

Processi decisionali automatizzati e diritti dell’interessato

Infine, il Garante invita a verificare se i sistemi impiegati configurino un processo decisionale unicamente automatizzato, compresa la profilazione, che produca effetti giuridici o incida significativamente sul lavoratore. In tal caso si applica l’art. 22 GDPR, con le garanzie previste dal Regolamento, tra cui il diritto all’intervento umano, a esprimere la propria opinione e a contestare la decisione.

Diritto di accesso

Per i rapporti instaurati prima del 1° agosto 2022, il decreto riconosce al lavoratore la possibilità di ottenere gli elementi informativi mediante richiesta scritta, con riscontro del datore di lavoro entro 60 giorni. Il Garante chiarisce che ciò non pregiudica il diritto di accesso ai dati personali ex art. 15 GDPR, che resta pienamente esercitabile secondo termini e condizioni del Regolamento.