A giugno del 2017 l’organismo consultivo e indipendente dell’Unione Europea sulla condivisione e sul trattamento dei dati personali (WP29), ha rivisto le normative riguardanti la privacy e il rapporto di lavoro. Questo grazie all’avvento delle nuove tecnologie, che permettono di lavorare in maniera più smart ma, allo stesso tempo, richiedono un grado di attenzione maggiore da parte delle aziende.

Il GDPR è una malattia?

Il “General Data Protection Regulation” (GDPR) sottolinea l’importanza di monitorare l’impatto del trattamento dei dati sul proprio business, attraverso la “Data Protect Impact Assessment” (DPIA), quel processo che il titolare dell’azienda deve compiere qualora i trattamenti rappresentino un rischio per i diritti e le libertà delle persone.
Ciò è finalizzato a curare il principio cardine della nuova norma sulla privacy, l’accountability, ovvero la responsabilità, da parte dei datori di lavoro, di rendere conto sull’uso regolare ed efficace della privacy del dipendente.

WP29 in difesa dei nostri dati personali

Il WP29 evidenzia chiaramente che per “rapporto di lavoro” non si intende solo quello del dipendente, ma qualunque forma di relazione lavorativa tra persona ed impresa. Il trattamento dei dati inoltre può avvenire ricevendo il consenso da parte del lavoratore stesso in particolari circostante come nel caso in cui questo sia previsto da un contratto di lavoro, dalla legge o nel caso in cui sia interesse legittimo del datore di lavoro. In assenza però di questi presupposti, il semplice consenso esplicito del lavoratore non è sempre sufficiente a giustificare il trattamento dei dati personali. Lo sbilanciamento della forza contrattuale tra datore e dipendente può non rendere pienamente libero il consenso. La WP29 ricorda anche che la revoca del consenso deve essere semplice come fornirlo.

Nel caso in cui l’azienda introduca nuove tecnologie informatiche per il monitoraggio del proprio sistema informativo, essa deve utilizzare le più opportune misure di sicurezza, sempre in ottica di protezione della privacy dei dipendenti, come nell’ipotesi di videosorveglianza, di sistemi di geolocalizzazione e di controllo delle presenze.

Social Network come CV?

Soprattutto in quest’era tecnologica e digitale, come mai prima d’ora, l’attenzione cade sui social network e sulle nuove tecnologie. Se ad esempio un datore di lavoro volesse valutare dei candidati attraverso l’utilizzo dei loro social per capirne interessi, abitudini e opinioni personali, è concesso solo se i loro profili sono utilizzati dagli interessati per fini lavorativi e non personali. Gli è consentito farlo anche nel caso in cui ci sia un adeguato bilanciamento di interessi, ad esempio nel caso in cui il datore di lavoro debba controllare il profilo di un ex dipendente ai fini di verificare il rispetto del patto di non concorrenza.

Monitoraggio 24/7

Oltre ai social network però sono in rapida diffusione anche strumenti di monitoraggio del sistema informativo aziendale che garantiscono ottimi livelli di sicurezza ma comportano una riduzione della tutela della privacy del dipendente (Data Loss Pevention, Next Generation Firewall, ecc..). In merito a queste nuove tecnologie, i dipendenti devono essere adeguatamente informati sul loro utilizzo attraverso apposite policy per l’uso della strumentazione, dove si prevedono anche livelli variabili e scalabili di monitoraggio.

Sempre restando in tema di nuove tecnologie, entrano in campo device diffusi anche in ambito lavorativo, come gli smartphone o i prodotti wearable, che consentono la gestione anche da remoto e quindi indipendente dal possessore del device. In questo caso nel rispetto delle norme del GDPR, l’azienda deve essere in grado di dimostrare interessi concreti nell’utilizzo di tali tecnologie, così invasive per la privacy del dipendente, dimostrando quindi che il monitoraggio dei dati non è volto all’esclusivo controllo dell’attività dei lavoratori.