Questioni interpretative e applicative in materia di protezione dei dati connesse all’entrata in vigore del d. lgs. 27 giugno 2022, n. 104 in materia di condizioni di lavoro trasparenti e prevedibili (c.d. “Decreto trasparenza”)

Il Garante per la protezione dei dati personali ha fornito, al Ministero del Lavoro e all’Ispettorato Nazionale del Lavoro, le prime indicazioni sul Decreto trasparenza, in risposta ai numerosi quesiti ricevuti da Pa e imprese.

Inoltre, il Garante ha manifestato la propria disponibilità ad avviare un tavolo di confronto volto a definire una corretta interpretazione delle norme introdotte dal cosiddetto Decreto Trasparenza.

Oggetto: questioni interpretative e applicative in materia di protezione dei dati connesse all’entrata in vigore del d. lgs. 27 giugno 2022, n. 104 in materia di condizioni di lavoro trasparenti e prevedibili (c.d. “Decreto trasparenza”).

Come noto, in data 13 agosto 2022 è entrato in vigore il d.lgs. 27 giugno 2022, n. 104 di attuazione della direttiva (UE) 2019/1152 del Parlamento europeo e del Consiglio del 20 giugno 2019, relativa a condizioni di lavoro trasparenti e prevedibili nell’Unione europea (di seguito, il “Decreto”), che ha introdotto ulteriori obblighi informativi qualora il datore di lavoro utilizzi “sistemi decisionali o di monitoraggio automatizzati deputati a fornire indicazioni rilevanti ai fini della assunzione o del conferimento dell’incarico, della gestione o della cessazione del rapporto di lavoro, dell’assegnazione di compiti o mansioni nonché indicazioni incidenti sulla sorveglianza, la valutazione, le prestazioni e l’adempimento delle obbligazioni contrattuali dei lavoratori”.

Poiché le nuove disposizioni di legge presentano profili rilevanti in materia di protezione dei dati, in quanto l’impiego dei predetti sistemi dà luogo a “trattamenti” di dati personali, riferiti a “interessati”, identificati o identificabili (art. 4, par. 1, nn. 1) e 2), del Regolamento) nel contesto lavorativo, tale disciplina di settore deve essere necessariamente coordinata, in sede applicativa, con la normativa in materia di protezione dei dati personali (Regolamento (UE) 2016/679; d. lgs. 30 giugno 2003, n. 196 – Codice in materia di protezione dei dati personali).

Lo stesso Decreto prevede, infatti, che resta salva “la configurabilità di eventuali violazioni in materia di protezione dei dati personali ove sussistano i presupposti di cui agli articoli 83 del Regolamento UE 2016/679 e 166 del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni”.

Al riguardo, nel prendere atto dei primi chiarimenti forniti da codesti Enti, sui profili di propria competenza, rispettivamente con circolare n. 19 del 20/9/2022 e con circolare n. 4 del 10/8/2022, e al fine di coordinare le reciproche posizioni e le linee interpretative in merito all’applicazione del Decreto si trasmette l’allegato documento che reca un’interpretazione sistematica delle disposizioni del Decreto, alla luce della disciplina eurounitaria in materia di protezione dei dati.

L’esigenza di coordinamento è particolarmente avvertita dall’Autorità anche in considerazione del fatto che la menzionata circolare del Ministero, nell’esemplificare i casi in cui possono trovare applicazione gli obblighi informativi oggetto del Decreto, fa riferimento a strumenti e tecnologie, quali, ad esempio, “software per il riconoscimento emotivo”, “strumenti di data analytics o machine learning, rete neurali, deep-learning”, nonché “sistemi per il riconoscimento facciale, sistemi di rating e ranking”, che, specie se impiegati nel contesto lavorativo, determinano un elevato livello di rischio per i diritti e le libertà degli interessati oggetto di specifica tutela nell’ambito del sistema di protezione dei dati personali.

L’impiego di tali sistemi di monitoraggio particolarmente invasivi, pone, anzitutto, un tema di liceità dei trattamenti di dati personali effettuati mediante gli stessi, tenuto conto della disciplina di settore in materia di impiego di strumenti tecnologici nel contesto lavorativo (v. art. 114 del Codice, che rimanda all’art. 4 della L. 300/1970).

Le specificità delle tecnologie di questi sistemi, nonché la natura dei dati trattati (ad esempio, i dati biometrici e quelli relativi alle emozioni del lavoratore) e le funzionalità che spesso ad essi sono associate, sollevano, altresì, dubbi in ordine alla stessa proporzionalità del loro impiego, nonché di compatibilità con i principi generali in materia di protezione dei dati e con il quadro di garanzie in materia di libertà e dignità del lavoratore, potendosi, peraltro, porsi in contrasto con le disposizioni nazionali che vietano al datore di lavoro di trattare informazioni attinenti alla sfera privata del lavoratore (v. art. 113 del Codice, che rimanda all’art. 8 della L. 300/1970).

Tanto premesso, anche al fine di superare le incertezze generatesi sul piano interpretativo e orientare le scelte sul piano applicativo dei titolari del trattamento che hanno rivolto quesiti e richieste di chiarimento a questa Autorità, si manifesta la disponibilità del Garante ad avviare un confronto sui temi oggetto del documento allegato.

IL DIRIGENTE DEL DIPARTIMENTO
Claudio Filippi

IL DIRIGENTE DEL DIPARTIMENTO
Francesco Modafferi