IL CONTROLLO SULL’AUTO AZIENDALE DA PARTE DEL DATORE DI LAVORO
Negli ultimi anni i sistemi di fleet management e i dispositivi telematici a bordo delle auto aziendali sono diventati la normalità: aiutano a ottimizzare costi, a fare manutenzione, a garantire sicurezza e perfino ad arginare l’impatto ambientale. Il punto è che, quando quei sistemi iniziano a misurare le persone (e non solo i veicoli), il rischio di trasformare uno strumento organizzativo in un mezzo di sorveglianza è dietro l’angolo.
È esattamente ciò che ha ricordato il Garante privacy con una sanzione da 120.000 euro: non è lecito usare i dati dell’auto aziendale per “valutare” i dipendenti attribuendo un punteggio di guida (stile di guida, consumi, chilometri, tempi) e conservando quelle informazioni per mesi.
Cosa è successo?
Una società (inserita in un gruppo multinazionale) aveva installato sui veicoli aziendali un dispositivo collegato al nominativo del conducente. Il sistema registrava dati molto dettagliati anche su tragitti “misti” lavoro/privato e generava un rating mensile sul comportamento alla guida, conservando i dati per 13 mesi. L’Autorità è intervenuta dopo un reclamo e, tra gli esiti, ha ordinato anche la cancellazione dei dati raccolti per lo scoring.
Fin qui la cronaca. Ma la parte davvero utile per le imprese è un’altra: perché questo tipo di progetto “inciampa” spesso in più regole contemporaneamente.
Perché il tema è delicato: qui si incrociano GDPR e Statuto dei Lavoratori
1) Non è solo privacy: è anche diritto del lavoro (controlli a distanza)
In Italia, quando una tecnologia può comportare anche solo “in potenza” un controllo sull’attività del lavoratore, entra in gioco l’art. 4 dello Statuto dei Lavoratori (L. 300/1970): l’installazione è possibile solo al ricorrere di specifiche esigenze (organizzative/produttive, sicurezza, tutela del patrimonio) e con accordo sindacale oppure autorizzazione dell’Ispettorato.
E per i sistemi GPS/telematici, l’Ispettorato ha chiarito che, di regola, la geolocalizzazione è un “elemento aggiunto” e quindi rientra nel perimetro dell’art. 4, salvo casi particolari in cui sia davvero indispensabile per rendere la prestazione o imposta da norme specifiche.
In più, il nostro ordinamento “lega” esplicitamente il tema privacy ai controlli a distanza: il Codice Privacy richiama quelle garanzie proprio per evitare scorciatoie tecnologiche nel rapporto di lavoro.
2) Anche quando “passa” l’art. 4, il GDPR resta (e va rispettato fino in fondo)
Mettere in regola l’impianto sul piano giuslavoristico non basta. Occorre comunque superare i test tipici del GDPR:
trasparenza (informative chiare, ruoli e destinatari);
minimizzazione (solo dati necessari, niente “telemetria a tappeto”);
limitazione della conservazione;
accessi profilati e autorizzati;
accountability (documentare scelte, valutazioni, bilanciamenti).
E nel caso dello “scoring” di guida, la criticità cresce perché si rischia una forma di valutazione/profilazione del lavoratore. Le linee europee sul lavoro evidenziano che la telematica dei veicoli può raccogliere non solo la posizione, ma anche comportamenti di guida, con impatti importanti sui diritti dei dipendenti.
I 5 errori più comuni (che vediamo spesso in audit e ispezioni)
Scopo “scivoloso”: si parte dicendo “sicurezza e manutenzione”, ma si finisce a valutare performance individuali (punteggi, classifiche, premi/penalizzazioni).
Informative generiche: testi standard, poco comprensibili, senza indicare bene finalità, basi giuridiche, tempi di conservazione e chi accede ai dati.
Conservazione lunga “per comodità”: mesi e mesi di storico, anche quando basterebbero poche settimane o dati aggregati.
Accessi troppo larghi nel gruppo: piattaforme condivise, account “multi-società”, ruoli non definiti e autorizzazioni deboli.
Consenso del dipendente come scorciatoia: nel rapporto di lavoro il consenso è spesso problematico perché manca reale libertà (sbilanciamento datore/lavoratore).
Come si può fare bene (senza bloccare l’innovazione)
Se un’azienda ha davvero bisogno di telematica sulle auto, la strada non è “rinunciare”, ma progettare il trattamento in modo proporzionato:
Separare gestione del veicolo e valutazione della persona: in molti casi si può lavorare su dati aggregati(flotta) e non individuali.
Limitare i dati: non tutto ciò che è tecnicamente misurabile è giuridicamente necessario.
Limitare il tracciamento fuori orario / uso privato: quando c’è promiscuo, servono scelte tecniche e organizzative coerenti.
Retention breve e motivata: tempi di conservazione “a misura di finalità”, non “a misura di piattaforma”.
Accessi a cerchi concentrici: chi vede cosa, perché e per quanto; logging e autorizzazioni reali.
Ruoli e contratti: chi è titolare? chi è responsabile? chi è destinatario? soprattutto nei gruppi multinazionali.
Valutazione d’impatto (DPIA) quando serve: lo scoring e i trattamenti valutativi/profilanti sono tipicamente “attenzionati” dalle autorità (anche nelle liste e criteri di rischio).
Questo articolo ha finalità divulgative e non sostituisce una consulenza legale sul caso concreto.
Commenti