La Commissione per la protezione dati irlandese ha realizzato delle linee guida sul monitoraggio dei veicoli in ambito lavorativo.
L’uso del monitoraggio a bordo del veicolo da parte di un datore di lavoro, in qualità di titolare del trattamento, comporta un alto rischio di interferenze con la privacy e i diritti di protezione dei dati del dipendente. I dipendenti hanno diritto a una ragionevole aspettativa sulla privacy sul posto di lavoro, così come è stato stabilito dall’articolo 8 della Convenzione europea dei diritti dell’uomo.
Nel contesto del monitoraggio a bordo del veicolo, i dati sulla posizione si qualificano come dati personali ai sensi del GDPR, ogni volta che si riferiscono a un individuo identificabile.
Un datore di lavoro che utilizza il monitoraggio dei veicoli non solo raccoglie i dati sul veicolo, ma anche i dati personali del singolo dipendente che sta utilizzando quel veicolo, come i dati sulla posizione o potenzialmente anche i dati comportamentali sul dipendente.
Affinché il monitoraggio a bordo del veicolo sia legale ai sensi del GDPR, devono essere soddisfatti requisiti rigorosi dal datore di lavoro, partendo dall’assunto che il monitoraggio del veicolo non dovrebbe essere utilizzato per il monitoraggio generale del personale.
Indice degli argomenti
Liceità del monitoraggio a bordo dei veicoli
L’Autorità irlandese stabilisce che i datori di lavoro dovrebbero essere in grado di dimostrare di aver individuato una idonea base giuridica ai sensi dell’art. 6 GDPR per l’implementazione del monitoraggio dei veicoli e garantire che qualsiasi trattamento dei dati personali dei propri dipendenti sia conforme ai principi di protezione dei dati di cui all’articolo 5 GDPR: liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza (sicurezza), e responsabilizzazione.
Esempi di basi legali per la localizzazione a bordo del veicolo possono includere: rispetto di un obbligo legale (come l’utilizzo di un tachigrafo su un autocarro) o il legittimo interesse del datore di lavoro di poter localizzare il veicolo in qualsiasi momento.
Il consenso dei dipendenti sarà solo considerato una base giuridica adeguata in circostanze eccezionali. Ciò è dovuto alla difficoltà nell’ottenere il consenso “liberamente prestato” richiesta dall’articolo 4, paragrafo 11, del GDPR, data la natura e lo squilibrio di potere insito nel rapporto tra dipendente e datore di lavoro. Il consenso è revocabile in qualsiasi momento a discrezione del dipendente, che non deve subire pregiudizio se lo fa.
I datori di lavoro potrebbero cercare di fare affidamento sull’articolo 6, paragrafo 1, lettera f), del GDPR come base giuridica per il trattamento dei dati sulla posizione: la necessità di trattare i dati sulla posizione del veicolo come un interesse legittimo della loro attività.
Il trattamento deve essere necessario e proporzionato allo scopo di conseguire tale interesse e deve essere bilanciato con i diritti e le libertà del dipendente, comprese le sue ragionevoli aspettative sulla privacy.
I legittimi interessi del datore di lavoro al trattamento dei dati personali necessari per il normale svolgimento del rapporto di lavoro e dell’operatività aziendale possono giustificare determinate limitazioni alla privacy delle persone sul posto di lavoro. Tuttavia, questi interessi non possono prevalere sui principi della protezione dei dati, compreso il requisito di trasparenza, trattamento equo e legale dei dati e la necessità di garantire che qualsiasi violazione della privacy di un dipendente sia equa e proporzionata.
I dati di tracciamento dovrebbero essere limitati allo scopo specifico identificato, in linea con i principi di limitazione delle finalità e minimizzazione dei dati, in modo da non violare i diritti di protezione dei dati del dipendente.
L’articolo 21 GDPR prevede il diritto per il dipendente di opporsi al trattamento dei dati effettuato per motivi di interessi legittimi. Ciò includerebbe il diritto di opporsi al monitoraggio dei veicoli effettuato per tali motivi. In caso di opposizione, il datore di lavoro può procedere al monitoraggio del veicolo solo se è necessario per raggiungere un interesse legittimo impellente che prevale sugli interessi, i diritti e le libertà del dipendente.
Monitoraggio dei veicoli: limitazione delle finalità e minimizzazione dei dati
La Commissione per la protezione dati irlandese statuisce che, connesso agli obblighi in materia di liceità, i titolari del trattamento dovrebbero garantire che qualsiasi trattamento dei dati soddisfi gli obblighi di limitazione delle finalità e minimizzazione dei dati, di cui all’articolo 5 GDPR.
Un datore di lavoro dovrebbe assicurarsi di aver identificato lo scopo specifico per il trattamento dei dati almeno al momento della raccolta dei dati personali e, nel caso del monitoraggio del veicolo, lo scopo dovrebbe essere identificato prima dell’acquisto o dell’implementazione della tecnologia che consente tale monitoraggio. Questo scopo dovrebbe essere esplicito e legittimo. I dati non dovrebbero essere utilizzati per altri scopi ulteriori incompatibili con lo scopo originario utilizzato per giustificare il trattamento iniziale.
Un esempio di ulteriore trattamento, che sarebbe incompatibile con lo scopo originario, sarebbe il monitoraggio e la valutazione dei dipendenti, in cui lo scopo originario della raccolta dei dati era per la sicurezza nel caso in cui un veicolo fosse stato rubato. Il monitoraggio dei veicoli non dovrebbe essere utilizzato se lo scopo citato potrebbe essere raggiunto con mezzi meno intrusivi, in virtù del combinato tra principio di necessità e principio di minimizzazione dei dati.
Monitoraggio dei veicoli: trasparenza e diritto all’informazione
Ancora, l’Autorità irlandese dichiara che i datori di lavoro che implementano il monitoraggio a bordo dei veicoli dovrebbero rispettare i loro obblighi di trasparenza ai sensi del GDPR ed assicurarsi di soddisfare il diritto del dipendente di essere informato dell’esistenza del tracciamento e di come esso opera, nonché essere chiaramente informato di tutti gli scopi per i quali i suoi dati personali devono essere utilizzati, prima che tale tracciamento venga implementato.
Ciò significa che il datore di lavoro dovrebbe spiegare chiaramente al dipendente che sta utilizzando il veicolo interessato quali record vengono creati, perché tali record sono necessari, per cosa verranno utilizzati, per quanto tempo verranno conservati, chi avrà accesso ad essi e per quale motivo.
È fondamentale che i dipendenti siano pienamente consapevoli della portata dell’utilizzo dei dati personali raccolti attraverso il monitoraggio dei veicoli. In nessun caso un dipendente dovrebbe essere lasciato in una situazione in cui non è chiaro su quali informazioni vengono raccolte o sugli scopi di tale tracciamento. I dati raccolti non possono essere utilizzati per nessun altro scopo, a meno che tale trattamento non sia compatibile con lo scopo originario della raccolta.
Una buona pratica per il rispetto dei requisiti di trasparenza suggerita dal WP29 (Wp29 Opinion 2/2017) è l’esposizione dell’informativa in modo ben visibile in ogni automobile, alla vista del conducente.
Valutazione dell’impatto sulla protezione dei dati (DPIA)
L’Autorità irlandese, inoltre, ritiene che il datore di lavoro debba eseguire una DPIA laddove vi sia l’intenzione di monitorare i dati sulla posizione del veicolo. L’articolo 35, paragrafo 1, del GDPR stabilisce che una DPIA deve essere eseguita laddove un tipo di trattamento è “probabile che comporti un rischio elevato” per i diritti e le libertà delle persone.
Tra i trattamenti di dati potenzialmente ad alto rischio, ci sono quelli relativi a:
- valutazione e punteggio: inclusa la profilazione e la previsione, in particolare “dagli aspetti riguardanti le prestazioni dell’interessato sul lavoro, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o i movimenti” (cfr. considerando 71 e 91 GDPR);
- monitoraggio sistematico;
- dati personali sensibili: può includere dati sulla posizione a seconda delle circostanze;
- innovazione e tecnologia: “Il GDPR chiarisce (articolo 35 (1) e considerando 89 e 91) che l’uso di una nuova tecnologia, definita in” conformità con lo stato di conoscenza tecnologica raggiunto “(considerando 91), può innescare la necessità di effettuare una DPIA. Questo perché l’uso di tale tecnologia può comportare nuove forme di raccolta e utilizzo dei dati, possibilmente con un alto rischio per i diritti e le libertà degli individui”;
- dati relativi a soggetti interessati vulnerabili: i soggetti vulnerabili includono espressamente i “dipendenti” a causa di uno “squilibrio di potere” inerente alla relazione, il che significa che è altamente improbabile che il dipendente sia in grado di dare il consenso libero (vedere considerando 75 GDPR).
Nella maggior parte dei casi, un titolare del trattamento dei dati può considerare che il trattamento che soddisfa due dei criteri di cui sopra richiederebbe l’esecuzione di una DPIA.
A causa della natura del tracciamento del veicolo e del fatto che probabilmente (almeno indirettamente) implicherà la raccolta dei dati personali del conducente del veicolo e il tracciamento sistematico della loro posizione, è molto probabile che la DPIA sia fatta prima di implementare tale tecnologia.
Come dovrebbe essere eseguita una DPIA?
Una DPIA dovrebbe identificare e mitigare i rischi per i diritti e le libertà di un dipendente. Una DPIA che considera la proporzionalità delle misure pianificate e il bilanciamento dello scopo delle misure con le ragionevoli aspettative sulla privacy del dipendente dovrebbe essere condotta prima di implementare una policy di tracciamento a bordo del veicolo, che deve essere mantenuta accurata e aggiornata.
Ciò è coerente con la protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25 GDPR e considerando 78 GDPR).
Le DPIA devono contenere:
- una descrizione dell’operazione di trattamento unitamente alla finalità del trattamento e, ove applicabile, al legittimo interesse al trattamento;
- una valutazione della necessità e proporzionalità del trattamento in relazione alla finalità;
- una valutazione dei rischi per i diritti e le libertà degli interessati; e
- le misure da adottare per mitigare i rischi.
Come affermato dal Wp29, la DPIA è un processo in corso, soprattutto laddove un’operazione di trattamento è dinamica ed è soggetta a continui cambiamenti. L’esecuzione di una DPIA è un processo continuo, non un esercizio una tantum.
Procedure pratiche di conformità per i datori di lavoro
L’Autorità riporta alcuni suggerimenti pratici per i datori di lavoro che potrebbero prendere in considerazione o aver implementato il monitoraggio dei veicoli, per garantire che sia fatto in modo limitato, proporzionato e legale.
Limitare il tempo e / o il luogo in cui viene effettuato il rilevamento: è improbabile che il monitoraggio di un veicolo da lavoro (e in particolare un veicolo di proprietà privata utilizzato per scopi di lavoro) al di fuori dell’orario di lavoro sia legale, proporzionato o necessario ai sensi del GDPR.
I casi di furto di un veicolo aziendale potrebbero essere un esempio di una circostanza limitata in cui potrebbe essere necessario accedere ai dati di tracciamento per localizzare il veicolo, ma la proporzionalità e la necessità della misura dovrebbero essere valutate e dimostrate, soddisfacendo un soglia alta per una misura così intrusiva.
I datori di lavoro dovrebbero considerare l’accesso ai dati sulla posizione solo in una situazione di emergenza, ad esempio attivando la visibilità della posizione, accedendo ai dati già memorizzati dal sistema solo quando il veicolo lascia una regione predefinita.
Questo accesso limitato ai dati sulla posizione potrebbe essere un passo verso la mitigazione di una potenziale violazione della protezione dei dati e dei diritti alla privacy del dipendente e garantire che il trattamento sia effettuato in modo proporzionato e necessario.
Prestare particolare attenzione durante l’implementazione di nuove tecnologie, in particolare dove i dipendenti potrebbero non aspettarsene l’utilizzo o non esserne consapevoli: le nuove tecnologie di natura più segreta comportano un elevato onere per la trasparenza e sono considerate più ad alto rischio.
Questo perché nuove forme di trattamento dei dati potrebbero non essere ragionevolmente previste dal dipendente. Un datore di lavoro deve garantire che solo i dati strettamente necessari allo scopo identificato (e nessun altro scopo) venga elaborato e il dipendente viene informato dell’esistenza e dello scopo del monitoraggio in conformità con gli obblighi di piena trasparenza del datore di lavoro.
L’Autorità raccomanda ai datori di lavoro di realizzare e mettere a disposizione dei conducenti una policy sull’uso della tracciabilità dei veicoli, che potrebbe anche definire l’uso dei veicoli aziendali per uso privato, se l’uso privato è consentito, ovvero dei veicoli privati per uso aziendale.
Il WP29 ha affermato, sottolineando l’importanza della trasparenza e della proporzionalità, in particolare quando si fa affidamento su interessi legittimi per giustificare il trattamento dei dati personali, che, se non ci sono limiti al trattamento, e se non è trasparente, è alto il rischio che il legittimo interesse dei datori di lavoro al miglioramento dell’efficienza e alla tutela dei beni aziendali si trasformi in un monitoraggio ingiustificabile e intrusivo.
L’autorità irlandese, pertanto, consiglia di implementare misure di esclusione come la possibilità di disattivare facilmente il monitoraggio: nelle circostanze in cui un veicolo da lavoro viene utilizzato anche per uso privato al di fuori dell’orario di lavoro, il datore di lavoro deve essere particolarmente vigile nel garantire la conformità al GDPR.
Deve essere fornita una misura di “esclusione”, come la possibilità di disattivare il tracciamento con un “interruttore per la privacy”, in particolare se un veicolo di proprietà privata viene utilizzato per scopi di lavoro.
I datori di lavoro dovrebbero inoltre garantire che tutti i conducenti ricevano una formazione sul funzionamento delle misure di opt-out. Tale misura consiste nel rendere tutti i nuovi dipendenti consapevoli dell’esistenza di dispositivi di tracciamento e addestrarli sul funzionamento dell’interruttore per la privacy.
La Commissione irlandese consiglia di evitare intrusioni nella vita personale di un dipendente e limitare il monitoraggio a quanto strettamente necessario: l’EDPB, nelle sue recenti linee guida sul trattamento dei dati personali nel contesto dei veicoli connessi e delle applicazioni relative alla mobilità (1/2020), ha rilevato che i dati di geolocalizzazione sono “particolarmente rivelatori delle abitudini di vita degli interessati” e ad alto rischio in natura laddove il confine tra vita domestica e vita lavorativa è sempre più sfumato, affermando che “il titolare del trattamento deve prestare particolare attenzione a non raccogliere i dati sulla posizione, tranne nel caso in cui ciò sia assolutamente necessario ai fini del trattamento”.
È improbabile che il monitoraggio del veicolo personale di un dipendente sia lecito al di fuori dell’orario di lavoro in quanto costituirebbe una grave interferenza con il diritto alla privacy e ai diritti di protezione dei dati del dipendente in assenza di una base giuridica convincente fondata sull’art. 6 GDPR.
