Veicoli aziendali e geo-localizzazione satellitaria: il bilanciamento della privacy dei dipendenti con le ragioni dell’efficienza produttiva

T.A.R. Emilia Romagna Bologna, sez. II – 29/7/2022 n. 618 

IL CASO

Un’azienda che eroga il servizio pubblico di captazione e distribuzione di acqua ad usi civili (su una rete idrica di oltre 2.000 Km. e su una rete fognaria di 900), sostiene di eseguire 26.000 interventi all’anno per 70.000 utenti complessivi, avvalendosi di 97 operatori che fruiscono di un centinaio di automezzi.

Nel corso degli anni passati riferisce dell’avvenuta stipula – con le organizzazioni sindacali – di un accordo ex art. 4 della L. 300/70 per istallare un dispositivo di geolocalizzazione sui mezzi, così da soddisfare esigenze produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale: l’apparato rileva la posizione e la modalità d’uso del mezzo in modalità acceso/spento e permette di ottenere la distanza percorsa e la velocità media del veicolo nonché i tempi di percorrenza; rileva dati che fanno risalire al consumo di carburante e registra i tempi di carico e scarico del veicolo, permettendo di ottenere il tempo impiegato nei singoli lavori.

Dopo la riforma dell’art. 4 della L. 300/70 ad opera del Jobs Act, e con l’emanazione del regolamento europeo n. 2016/679 e del D. Lgs. 101/2018, è stata introdotta la facoltà di utilizzo dei dati a fini disciplinari, previo il coinvolgimento delle OOSS. 

Nel caso di specie le RSU, ritualmente interpellate, si sono rifiutate di accettare il nuovo testo, che è stato sottoposto all’Ispettorato Territoriale del Lavoro (ITL) per acquisire la necessaria autorizzazione. Dopo l’instaurazione del contraddittorio procedimentale, l’Ispettorato ha richiamato l’accordo in essere con le RSU, e osservato che l’azienda già utilizzava l’impianto oggetto della nuova istanza, la quale è finalizzata all’impiego dei dati acquisiti per tutte le finalità connesse al rapporto di lavoro (comprese quelle disciplinari). Ad avviso dell’amministrazione, “la tipologia di impianto prevede la raccolta di informazioni non proporzionata con gli scopi rappresentati dalla Società”, secondo quanto stabilito dal Garante della privacy nei propri provvedimenti.

Con ricorso proposto innanzi al T.A.R. la Società ha sottolineato che il legislatore afferma la liceità del trattamento per tutti i fini connessi all’esecuzione del rapporto di impiego, pur nel rispetto della privacy, mentre l’uso per finalità di gestione del rapporto di lavoro (compreso l’aspetto disciplinare) è un’opzione consentita formalmente dal Jobs Act. Non sussisterebbe dunque la dedotta sproporzione, in quanto il monitoraggio avverrebbe rendendo anonime tutte le informazioni necessarie a finalità logistiche, con disattivazione dei periodi di pausa, e i dati personali sarebbero trattenuti per un periodo limitato e per i casi di stretta necessità (con associazione solo indiretta dell’identità della persona al veicolo), e accesso a intervalli temporali sensibilmente intervallati tra loro (1 o 2 volta l’anno) tramite report anonimizzati.

LA DECISIONE 

L’istallazione di sistemi di localizzazione dei veicoli dei lavoratori è stata normata già con provvedimento del Garante della privacy 4/10/2011 n. 370, e poi con l’art. 4 della L. 300/70 nel testo innovato dall’art. 23 del D. Lgs. 151/2015. Il comma 1 statuisce che “Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali. … In mancanza di accordo, gli impianti e gli strumenti di cui al primo periodo possono essere installati previa autorizzazione della sede territoriale dell'Ispettorato nazionale del lavoro …”. Ai sensi del successivo comma 3 “Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione ….”.

Nella propria relazione, l’amministrazione ha rilevato che il sistema prescelto consentirebbe di tracciare e localizzare la posizione dell’automezzo “in continuo”, individuando gli stati di movimento, sosta motore, velocità, e la statistica servirebbe per distribuire i carichi di lavoro tra i “diversi operatori”. 

Il Giudice adito ha anzitutto ritenuto che il sistema di localizzazione dei numerosi automezzi fosse <<oggettivamente utile per far fronte a necessità ordinarie e straordinarie (emergenze). Premesso che i veicoli sono fruiti soltanto per finalità di servizio e non per scopi personali, è indubbio che dal rapporto di guida si possono trarre informazioni utili a fini statistici, come i tempi effettivi delle operazioni “in media” alla luce di varie condizioni (traffico, altri contrattempi, etc.). L’obiettivo perseguito con l’implementazione delle informazioni appare congruo, consentendo di razionalizzare i tragitti e ottimizzare i costi nel quadro di una migliore organizzazione aziendale complessiva, tenuto conto che l’oggetto dell’attività coincide con il servizio pubblico essenziale di erogazione dell’acqua potabile (per cui sarebbe possibile, ad esempio, identificare il veicolo più vicino al luogo dove si è verificata un’interruzione nella fornitura). Le necessità organizzative e produttive risultano dunque soddisfatte dalla proposta di integrazione formulata>>.

La questione si è allora trasferita sull’ulteriore profilo ritenuto ostativo dall’amministrazione, consistente nel deficit di proporzionalità della raccolta di informazioni rispetto agli scopi perseguiti (con controllo del personale e possibilità di identificazione con modalità eccedenti lo scopo dichiarato di una migliore organizzazione).

Nel provvedimento n. 396/2018, il Garante della privacy si è preoccupato di tutelare gli autisti da un controllo penetrante ed eccessivo, espletato a periodicità ravvicinata. Ha così stigmatizzato il cd. monitoraggio continuo dell’attività del dipendente, realizzato con la ricostruzione su mappa dei percorsi effettuati sia in tempo reale che giornalmente, anche per ciascuna tratta comprese le pause, con una periodicità di rilevazione anche estremamente ravvicinata, senza dispositivo di disattivazione durante le pause (oltre all’integrale conservazione dei dati raccolti e all’indiscriminato accesso agli stessi).

Viceversa, nella decisione 16/3/2017 il Garante ha valutato positivamente un sistema che contemplava il controllo indiretto della prestazione lavorativa con possibile valutazione del rendimento (tempo di lavoro, sistema di distribuzione dei carichi ai dipendenti). Posto che il sistema consentiva di associare i dati rilevati al conducente solo sulla base di distinte interrogazioni (e quindi con, almeno tendenziale, trattamento anonimo dei dati), secondo il Garante le finalità perseguite erano lecite “considerata la loro riconducibilità a finalità organizzative e produttive nonché legate alla sicurezza del lavoro e alla tutela del patrimonio aziendale” e lo strumento utilizzato adeguato ad esse. Ha ritenuto soddisfatta quindi la regola aurea del bilanciamento di interessi, “a condizione che i dati non siano trattati in modo continuativo, ma con una periodizzazione temporale e con un breve termine di conservazione, in relazione alle finalità perseguite”. Infine, i report periodici del sistema (mensili o a cadenza più ampia) non consentivano di identificare il conducente e avevano valore statistico. 

In termini generali, i vincoli introdotti dall’Autorità di regolazione sono individuabili nel trattamento non continuativo a intervalli abbastanza ampi, nella non identificabilità (in via ordinaria) del dipendente, nella conservazione per lo stretto arco temporale necessario. Ad avviso del T.A.R., nella controversia all’esame l’auto-limite introdotto dalla Società “risulta pressoché completamente in linea con le precauzioni stabilite dal Garante della privacy”: 

- l’accesso a dati quali tipo del mezzo, targa, posizione, stato veicolo, velocità, località, data e ora, avviene a intervalli di 6 mesi tramite report anonimizzati, fatti salvi i “casi di necessità” (par. 2), ossia di richieste di intervento o di emergenze, per il tempo indispensabile; 

- l’utilizzo dei dati personali di lavoratori avviene “in caso di necessità” per “richieste di intervento, emergenze, incidenti, furti dell’automezzo, salvaguardia del lavoratore” (nell’ordinario il dato personale non viene enucleato, salvo affiorino ragioni particolari di urgenza che esigono una pronta risposta);

- il tempo “strettamente necessario” riguarda anche il periodo di conservazione, con un massimo di 5 anni per il rapporto di lavoro.

Il TAR adito si è poi soffermato sul Regolamento UE 679/2016: il GDPR (General data protection regulation) enuclea il principio dell’accountability, ossia della “responsabilizzazione” delle figure coinvolte nella gestione della privacy (cfr. art. 24 rubricato “Responsabilità del titolare del trattamento”), che deve mettere in atto misure tecniche ed organizzative adeguate e costantemente aggiornate per garantire ed essere in grado di dimostrare che il trattamento sia effettuato conformemente al regolamento stesso.

Viene introdotto l'obbligo di eseguire il Data Protection Impact Assessment (DPIA), consistente in una valutazione preliminare di impatto posta a garanzia dei diritti del singolo, da espletare ogniqualvolta il trattamento dei dati comporti un rischio per i suoi diritti e le sue libertà (art. 35 GDPR, che individua i casi in cui la valutazione d'impatto è necessaria). Con provvedimento n. 467 dell'11/10/2018 il Garante della privacy ha stabilito l'obbligo del DPIA per tutti i “trattamenti effettuati nell'ambito del rapporto di lavoro mediante sistemi tecnologici (anche con riguardo ai sistemi di videosorveglianza e di geolocalizzazione) dai quali derivi la possibilità di effettuare un controllo a distanza dell'attività dei dipendenti”.

Le Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilità che il trattamento “possa presentare un rischio elevato” ai fini del regolamento (UE) 2016/679 – adottate il 4/4/2017 e aggiornate da ultimo il 4/10/2017 – hanno enucleato 9 criteri tra i quali (al n. 3) il monitoraggio sistematico: trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti o "la sorveglianza sistematica su larga scala di una zona accessibile al pubblico" (articolo 35, paragrafo 3, lettera c). Con tale tipo di monitoraggio i dati personali possono essere raccolti in circostanze nelle quali gli interessati possono non essere a conoscenza di chi sta raccogliendo i loro dati e di come li utilizzerà. Inoltre, può essere impossibile per le persone evitare di essere soggette a tale trattamento nel contesto di spazi pubblici (o accessibili al pubblico).

Il DPIA non è espressamente nominato dall'art. 4 della L. 300/70, e tuttavia il provvedimento del Garante n. 467/2018 ne integra di fatto le disposizioni, individuando questo adempimento, al pari dell'informativa, quale requisito di legittimità per il trattamento dei dati personali nell'ambito dell'effettuazione di controlli a distanza mediante strumenti rilevanti ai fini dell'art. 4 medesimo.

Posto che l’atto impugnato non ha preso posizione sull’obbligo del DPIA, il Collegio ha ritenuto che le preoccupazioni dell’amministrazione, pur plausibili, “debbano essere calibrate sugli impegni che la Società si è assunta”, ribadendo “che la proporzionalità del trattamento di dati personali risulta nella sostanza assicurata dalla Società ricorrente”.

Il T.A.R. ha riconosciuto in conclusione la fondatezza della pretesa avanzata, con conseguente obbligo di riedizione del potere amministrativo: il dictum del giudice di prime cure ha al contempo puntualizzato che <<l’ITL Ferrara-Rovigo ben potrà impartire specifiche prescrizioni (ad esempio, sull’esemplificazione dei “casi di necessità” per definirne i contorni in modo più puntuale, sui tempi massimi di conservazione, sulla periodizzazione temporale della rilevazione) in modo da riportare singoli aspetti entro margini maggiormente accettabili. In questo contesto, può esser utilmente valorizzato lo strumento del DPIA (peraltro obbligatorio)>>.