Una nuova sanzione erogata dal Garante privacy è lo spunto per tornare sulle tutele dei lavoratori che non possono essere oggetto di controlli fatto salvo quanto previsto dallo Statuto dei lavoratori. Attenzione quindi alla tipologia di dispositivo GPS installato che dovrà rispettare i requisiti del GDPR, alle informative che devono descrivere nel dettaglio i dati che vengono raccolti e come vengono trattati e le autorizzazioni necessarie.
Ma leggiamo nel dettaglio quanto successo.
Il Garante privacy ha inflitto una sanzione di 120mila euro ad una società del settore della selezione e produzione di sementi agricole per aver trattato in modo illecito i dati personali di cinque dipendenti.
La società, parte di un gruppo multinazionale, su disposizione della capogruppo svizzera, aveva fatto installare sui propri veicoli aziendali un dispositivo - associato al nominativo del conducente - che raccoglieva, in modo illecito, i dati sui viaggi di lavoro e privati (tempi, km, consumi e stile di guida) dei lavoratori, per l’assegnazione di un punteggio mensile. I dati così raccolti, venivano conservati per un periodo di 13 mesi e utilizzati ai fini delle valutazioni del comportamento alla guida dei dipendenti, nonché per l’adozione di eventuali interventi correttivi. L’iniziativa, avviata in via sperimentale, era destinata a essere estesa a tutte le società europee del gruppo.
Nel corso dell’attività ispettiva e delle successive verifiche, l’Autorità – intervenuta a seguito della ricezione di un reclamo – ha rilevato numerose violazioni della normativa privacy.
In particolare, è emerso che il dispositivo installato sui veicoli aziendali raccoglieva informazioni molto dettagliate sui viaggi effettuati, tali da consentire un controllo sull’attività dei lavoratori, svolto in assenza delle garanzie previste dallo Statuto dei lavoratori. Inoltre, l’informativa resa ai lavoratori era rivolta a tutte le società affiliate del gruppo, incluse quelle con sede extra-Ue, senza indicare in modo chiaro le finalità, le basi giuridiche né i soggetti qualificabili come titolari, responsabili e destinatari del trattamento dei dati.
Gli accertamenti condotti dal Garante hanno inoltre evidenziato che l’accesso alle informazioni raccolte tramite i dispositivi installati sulle auto aziendali era consentito anche al personale di altre società del gruppo, in assenza di un’idonea autorizzazione.
Nel determinare l’importo della sanzione, l’Autorità ha tenuto conto sia del numero limitato di dipendenti coinvolti sia della sospensione immediata del trattamento dei dati ritenuto illecito, disposta dalla società subito dopo la contestazione. Il Garante ha inoltre ordinato la cancellazione dei dati relativi ai viaggi dei lavoratori, raccolti e utilizzati per l’attribuzione dei punteggi di comportamento alla guida.
Fonti:
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10214064
Foto di <a href="https://pixabay.com/it/users/stocksnap-894430/?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=2609433">StockSnap</a> da <a href="https://pixabay.com/it//?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=2609433">Pixabay</a>