Diritto del lavoroData ProtectionPrimi chiarimenti sugli adempimenti privacy dopo il decreto trasparenza.

Articolo pubblicato su altalex

La Circolare-19-del-20-09-22 del Ministero del Lavoro e delle Politiche sociali fornisce i primi, attesi, chiarimenti sugli ulteriori obblighi informativi introdotti dal decreto trasparenza nel caso di utilizzo di sistemi decisionali o di monitoraggio automatizzati. 

1. Introduzione.

Come è noto, il D.Lgs. n. 104 del 27/06/2022 (cd. decreto trasparenza) è intervenuto a disciplinare il diritto all’informazione sugli elementi essenziali del rapporto di lavoro, sulle condizioni di lavoro e la relativa tutela introducendo nuovi stringenti obblighi per i datori nella loro qualità di Titolari del trattamento a tutto beneficio della trasparenza del rapporto di lavoro. Nella prima analisi seguita alla pubblicazione del decreto in commento (qui l’articolo), si delineava la ratio della norma la quale è da rinvenirsi, per i dipendenti, nella piena conoscenza dell’utilizzo di sistemi decisionali o di monitoraggio automatizzati ai quali sono sottoposti e per il Titolare, nella aumentata consapevolezza dei rischi relativi ai trattamenti esaminati. Rimanevano, tuttavia, alcuni dubbi interpretativi in particolare sull’ambito di applicazione di tali sistemi.

L’articolo 1-bis del d.lgs. n. 152/1997, inserito dall’articolo 4, lett. b), del d.lgs. n. 104/2022, infatti, prevede che «Il datore di lavoro o il committente pubblico e privato è tenuto ad informare il lavoratore dell’utilizzo di sistemi decisionali o di monitoraggio automatizzati deputati a fornire indicazioni rilevanti ai fini della assunzione o del conferimento dell’incarico, della gestione o della cessazione del rapporto di lavoro, dell’assegnazione di compiti o mansioni nonché indicazioni incidenti sulla sorveglianza, la valutazione, le prestazioni e l’adempimento delle obbligazioni contrattuali dei lavoratori. Resta fermo quanto disposto dall’articolo 4 della legge 20 maggio 1970, n. 300.».

Secondo la circolare n. 19 del 20 settembre 2022 del Ministero del Lavoro, possono individuarsi due distinte ipotesi che il decreto ha voluto regolare per gli aspetti informativi, qualora il datore di lavoro utilizzi sistemi decisionali o di monitoraggio automatizzati che siano: a) finalizzati a realizzare un procedimento decisionale in grado di incidere sul rapporto di lavoro; b) incidenti sulla sorveglianza, la valutazione, le prestazioni e l’adempimento delle obbligazioni contrattuali dei lavoratori.

2. I sistemi finalizzati a realizzare un procedimento decisionale in grado di incidere sul rapporto di lavoro.

Premesso che il legislatore ha inteso occuparsi di strumenti tecnologici e modelli organizzativi in costante evoluzione, con particolare riferimento alla fattispecie dei sistemi di monitoraggio decisionali o di monitoraggio automatizzati che siano finalizzati a realizzare un procedimento decisionale in grado di incidere sul rapporto di lavoro, sulla base delle conoscenze e delle esperienze attualmente disponibili, si può ritenere che per sistemi decisionali o di monitoraggio automatizzati si intendono quegli strumenti che, attraverso l’attività di raccolta dati ed elaborazione degli stessi effettuata tramite algoritmo, intelligenza artificiale, ecc., siano in grado di generare decisioni automatizzate.

La caratteristica di generare decisioni automatizzate appare quindi il discrimine per quei processi che ricadono sotto l’applicazione della norma in commento e per i quali sussiste l’obbligo dell’informativa anche nel caso di intervento umano meramente accessorio.

Nella sostanza, il decreto legislativo richiede che il datore di lavoro proceda all’informativa quando la disciplina della vita lavorativa del dipendente, o suoi particolari aspetti rilevanti, siano interamente rimessi all’attività decisionale di sistemi automatizzati.

La circolare 19/22 del Ministero del Lavoro entra nello specifico dei casi nei quali sussiste l’obbligo di informativa:

• assunzione o conferimento dell’incarico tramite l’utilizzo di chatbots durante il colloquio. Il riferimento è all’utilizzo di software che simula ed elabora le conversazioni umane (scritte o parlate), consentendo agli utenti di interagire con i dispositivi digitali come se stessero comunicando con una persona reale;
• 
profilazione automatizzata dei candidati. L’obbligo di informare gli interessati dell’utilizzo di tecniche di profilazione era già presente nel comma 2 lett. f) dell’art. 13 del Regolamento europeo 679/2016 (GDPR) il quale obbliga il Titolare a fornire all’interessato informazioni circa “l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato;
• screening dei curricula. È chiarito, quindi, che rientrano nell’ambito di applicazione della norma il ricorso a recruiting tool per selezionare i candidati in possesso dei requisiti minimi per partecipare alla selezione;
• utilizzo di software per il 
riconoscimento emotivo e test psicoattitudinali, ecc. Allo stesso modo rientrano nell’obbligo di informativa i sistemi che utilizzano algoritmi per classificare automaticamente lo stato emotivo di un individuo sulla base dell’analisi del volto contenuto in una immagine e in un flusso video o che utilizzano un software per condurre test psicoattidudinali;
• gestione o cessazione del rapporto di lavoro con assegnazione o revoca automatizzata di compiti, 
mansioni o turni, definizione dell’orario di lavoro, analisi di produttività, determinazione della retribuzione, promozioni, etc., attraverso analisi statistiche, strumenti di data analytics o machine learning, rete neurali, deep-learning, ecc. 
Si tratta di decisioni che vengono prese, per conto del datore di lavoro, da strumenti automatizzati che si sostituiscono integralmente all’attività decisionale dell’essere umano.

Ne consegue che non sarà necessario procedere all’informativa nel caso, ad esempio, di sistemi automatizzati deputati alla rilevazione delle presenze in ingresso e in uscita, cui non consegua un’attività interamente automatizzata finalizzata ad una decisione datoriale. In altre parole, l’utilizzo di sistemi di timbratura elettronici non rientrerà nell’obbligo di informativa se utilizzata per la rilevazione delle presenze, lasciando al datore di lavoro ogni decisione conseguente.

3. Sistemi decisionali o di monitoraggio automatizzati che incidano sulla sorveglianza, la valutazione, le prestazioni e l’adempimento delle obbligazioni contrattuali dei lavoratori.

Anche in questa ipotesi il datore di lavoro ha l’obbligo di informare il lavoratore dell’utilizzo di tali sistemi automatizzati, quali – a puro titolo di esempio: tablet, dispositivi digitali e wearables, gps e geolocalizzatori, sistemi per il riconoscimento facciale, sistemi di rating e ranking, etc.

Si pensi ai sistemi di rilevamento della posizione del lavoratore attraverso il compimento di una determinata azione (carico o scarico pacchi; ritiro raccolta differenziata) attraverso un palmare, bracciale elettronico o altro dispositivo indossabile, i quali, allo scopo di agevolare i processi produttivi, tutelare la salute dei lavoratori, consentire lo svolgimento di attività da remoto, per loro natura danno vita ad un monitoraggio sulle attività dei lavoratori.

Si deve ritenere, pertanto, che l’obbligo informativo introdotto dal citato articolo 1-bis del d.lgs. n. 152/1997 trovi applicazione anche in relazione all’utilizzo di sistemi decisionali o di monitoraggio automatizzati integrati negli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa, allorquando presentino le caratteristiche tecniche e le funzioni descritte in precedenza.

4. Conclusioni.

Merito della circolare in commento quello di aver ridimensionato l’ambito di applicazione della norma, avendone chiarito meglio i confini di applicabilità. Escluso, quindi, il dovere di informativa nel caso di sistemi informatizzati per la rilevazione delle presenze (se ogni successiva decisione viene lasciata all’intervento dell’uomo) si devono per gli stessi motivi escludere anche i sistemi di videosorveglianza dei luoghi in cui opera il lavoratore, sistemi di monitoraggio dell’attività lavorativa in smartworking; di gestione della posta elettronica o delle videoconferenze, sempre che non siano in grado di generare decisioni automatizzate.

Ci si aspettano ora ulteriori chiarimenti sulle ulteriori informazioni (previste dal secondo comma dell’art. 1-bis) da fornire sui sistemi decisionali o di monitoraggio automatizzati come sopra individuati, prima dell’inizio della prestazione lavorativa, ossia “: a) gli aspetti del rapporto di lavoro sui quali incide l’utilizzo dei sistemi di cui al comma 1. b) gli scopi e le finalità dei sistemi di cui al comma 1. c) la logica ed il funzionamento dei sistemi di cui al comma 1. d) le categorie di dati e i parametri principali utilizzati per programmare o addestrare i sistemi di cui al comma 1, inclusi i meccanismi di valutazione delle prestazioni; e) le misure di controllo adottate per le decisioni automatizzate, gli eventuali processi di correzione e il responsabile del sistema di gestione della qualità. f) il livello di accuratezza, robustezza e cybersicurezza dei sistemi di cui al comma 1 e le metriche utilizzate per misurare tali parametri, nonché gli impatti potenzialmente discriminatori delle metriche stesse”.

Esigenza di trasparenza da bilanciare con quella di riservatezza, dal momento che vi è il concreto pericolo che la cieca osservanza degli obblighi informativi del secondo comma dell’art. 1-bis, finisca per rendere pubbliche informazioni che possano mettere in pericolo la sicurezza dei sistemi. Il tutto rispettando la tempistica indicata dalla norma, specialmente in caso di modifiche che comportino variazioni delle condizioni di svolgimento del lavoro.