Decreto trasparenza – Garante Privacy

Seguici anche su

Il Garante Privacy ha fornito alcuni primi chiarimenti in relazione al “Decreto trasparenza” (Dlgs. 27 giugno 2022, n.104) in una comunicazione inviata al Ministero del Lavoro e all’Ispettorato Nazionale del Lavoro in risposta ai numerosi quesiti ricevuti da P.A. e imprese.

Il Decreto infatti, che si applica ai contratti di tipo subordinato e ad altre forme di lavoro, ha introdotto, tra gli altri, l’obbligo per il datore di lavoro di informare adeguatamente i lavoratori qualora vengano utilizzati “sistemi decisionali o di monitoraggio automatizzati deputati a fornire indicazioni rilevanti ai fini della assunzione o del conferimento dell’incarico, della gestione o della cessazione del rapporto di lavoro, dell’assegnazione di compiti o mansioni nonché indicazioni incidenti sulla sorveglianza, la valutazione, le prestazioni e l’adempimento delle obbligazioni contrattuali dei lavoratori”.

Più precisamente, si fa riferimento a strumenti e tecnologie, quali, ad esempio, “software per il riconoscimento emotivo”, “strumenti di data analytics o machine learning, rete neurali, deep-learning”, nonché “sistemi per il riconoscimento facciale, sistemi di rating e ranking”, che – specie se impiegati nel contesto lavorativo – determinano un elevato livello di rischio per i diritti e le libertà degli interessati.

Le nuove disposizioni di legge presentano pertanto profili rilevanti in materia di protezione dei dati, in quanto l’impiego dei già menzionati sistemi dà luogo a “trattamenti” di dati personali, riferiti a “interessati”, identificati o identificabili (art. 4, par. 1, nn. 1) e 2), del Regolamento UE 2016/679) nel contesto lavorativo, e devono pertanto essere necessariamente coordinate con la normativa in materia di protezione dei dati personali.

Ciò implica, innanzitutto, la necessità che il datore di lavoro, titolare del trattamento, verifichi la sussistenza di un idoneo presupposto di liceità (cfr. artt. 5, par. 1, lett. a) e 6 del Regolamento) prima di effettuare trattamenti di dati personali dei lavoratori attraverso tali sistemi.

Quando il datore di lavoro utilizza i già menzionati sistemi – in aggiunta a quanto previsto dagli artt. 13 e 14 del Regolamento – deve fornire le seguenti informazioni:

• gli aspetti del rapporto di lavoro sui quali incide l’utilizzo dei sistemi decisionali o di monitoraggio automatizzati;
• il funzionamento dei sistemi;
• i parametri principali utilizzati per programmare o addestrare i sistemi decisionali o di monitoraggio automatizzati, inclusi i meccanismi di valutazione delle prestazioni;
• le misure di controllo adottate per le decisioni automatizzate, gli eventuali processi di correzione e il responsabile del sistema di gestione della qualità;

• il livello di accuratezza, robustezza e sicurezza dei sistemi decisionali o di monitoraggio automatizzati e le metriche utilizzate per misurare tali parametri, nonché gli impatti potenzialmente discriminatori delle metriche stesse.

È raccomandabile, secondo il Garante, che le specifiche informazioni sui sistemi decisionali o di monitoraggio vengano fornite congiuntamente – e nello stesso documento – alle informazioni di cui agli artt. 13 e 14 del Regolamento, prima dell’inizio del trattamento in modo conciso, trasparente, intellegibile e facilmente accessibile, con un linguaggio semplice e chiaro.

In attuazione del principio di accountability, il datore di lavoro, quale titolare del trattamento, dovrà anche valutare se i trattamenti che intende realizzare possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche e quindi se sia necessario effettuare in via preliminare una valutazione di impatto ai sensi dell’art. 35 del Regolamento.

Inoltre, andranno rispettati i principi generali in materia di trattamento di dati personali, il principio di minimizzazione, di privacy by design e by default , il rispetto delle basi di trattamento e la necessità di aggiornare anche con i predetti trattamenti il Registro dei trattamenti.

Il Garante ha manifestato la propria disponibilità ad avviare un tavolo di confronto con il Ministero del Lavoro e l’Ispettorato Nazionale del Lavoro volto a definire una corretta interpretazione delle norme introdotte dal Decreto Trasparenza e ricordato che l’introduzione delle nuove garanzie non modifica le tutele già previste dal Regolamento UE per la protezione dei dati personali e dallo Statuto dei lavoratori.

Per maggiori informazioni contattare Giovanni Balocchi responsabile dell’Ufficio Sindacale

Mail: balocchi@gia.pr.it Tel. 0521/2262 (centralino)