Il decreto Lavoro "ridimensiona" gli obblighi informativi, ma attenzione alla compliance privacy
Il decreto Trasparenza, dando attuazione alla Direttiva Ue 2019/1152, in materia di condizioni di lavoro trasparenti e prevedibili nell'Unione europea, ha introdotto nuovi ed importanti obblighi informativi in capo al datore di lavoro
Il cd. "decreto Lavoro" (decreto Legge 48/2023) è intervenuto anche sul decreto Trasparenza (Dlgs 104/2022) limitando fortemente l'applicazione del neo-introdotto obbligo informativo in capo al datore di lavoro che utilizza sistemi decisionali o di monitoraggio automatizzati nel contesto lavorativo.
Obbligo di informativa solo per i sistemi decisionali o di monitoraggio totalmente automatizzati
Il decreto Trasparenza, dando attuazione alla Direttiva Ue 2019/1152, in materia di condizioni di lavoro trasparenti e prevedibili nell'Unione europea, ha introdotto nuovi ed importanti obblighi informativi in capo al datore di lavoro.
In base all'originaria formulazione del decreto Trasparenza, nei nuovi adempimenti è compreso il dovere di fornire un'informazione trasparente e "qualificata", con precisi "elementi" informativi, nel caso in cui il datore di lavoro decida di utilizzare, nell'ambito della gestione del rapporto lavorativo, sistemi decisionali o di monitoraggio automatizzati.Il descritto obbligo informativo si riferisce a sistemi decisionali o di monitoraggio automatizzati deputati a fornire indicazioni rilevanti ai fini della assunzione o del conferimento dell'incarico, della gestione o della cessazione del rapporto di lavoro, dell'assegnazione di compiti o mansioni nonché indicazioni incidenti sulla sorveglianza, la valutazione, le prestazioni e l'adempimento delle obbligazioni contrattuali dei lavoratori (nuovo articolo 1-bis, Dlgs 152/1997).
In particolare, con l'ultimo intervento normativo, il Legislatore, privilegiando un'applicazione restrittiva, stabilisce che il datore di lavoro (in veste di titolare del trattamento dei dati relativi ai dipendenti/collaboratori) sia tenuto ad informare il lavoratore dell'utilizzo di tali strumenti esclusivamente nel caso in cui i sistemi decisionali o di monitoraggio siano "integralmente" automatizzati.
Quindi il decreto Lavoro con l'aggiunta dell'avverbio "integralmente" nella norma che introduce l'obbligo informativo, restringe il campo ai sistemi decisionali e/o di monitoraggio totalmente automatizzati ovvero alle piattaforme informatiche utilizzate in modo continuativo; con la novella legislativa sono, pertanto, esclusi dal perimetro nel nuovo obbligo informativo i sistemi che solo parzialmente gestiscono le attività specificatamente previste dalla norma sopra indicate (finalità di selezione, gestione del rapporto lavorativo, cessazione dello stesso, sorveglianza, valutazione, prestazioni e adempimento delle obbligazioni dei lavoratori).
Pertanto è chiaro come l'adempimento, operativo dall'agosto 2022, in capo al datore di lavoro di fornire un'informazione più trasparente in merito all'utilizzo di sistemi decisionali o di monitoraggio automatizzati, nell'ambito della gestione dei rapporti di lavoro, risulti oggi fortemente ridimensionato per effetto dell'approvazione del decreto Lavoro.
Informazioni in fase di assunzione: adempimento semplificato
Sempre con riguardo alle ultime novità normative apportate con il decreto Legge 48/2023, il decreto Trasparenza è stato rivisto e semplificato anche sugli elementi obbligatori da inserire nel contratto di assunzione ora possibile con un mero rimando alla legge o al CCNL. Si ricorda, infatti, che il decreto Trasparenza aveva anche ampliano il corredo informativo da rendere ai lavoratori attraverso una rilevante modifica del Dlgs 152/1997, concernente l'obbligo del datore di lavoro di informare il lavoratore delle condizioni applicabili al contratto o al rapporto di lavoro. Pertanto, parallelamente, lo stesso decreto Lavoro apporta altre semplificazioni agli adempienti informativi del datore di lavoro per alcune informazioni che devono essere date in fase di assunzione.
In particolare, per tutta una serie di informazioni, relative, ad esempio, alla durata del periodo di prova, al congedo per ferie e ad altri congedi retribuiti, all'importo iniziale della retribuzione, alla programmazione dell'orario normale di lavoro, è previsto che il datore di lavoro possa assolvere all'obbligo informativo con l'indicazione del riferimento normativo o della contrattazione, anche aziendale, che disciplina queste materie.
Inoltre, sempre per semplificare gli adempimenti, si stabilisce che l'azienda possa consegnare o a mettere a disposizione del personale, anche sui siti web, contratti collettivi e regolamenti aziendali applicabili al rapporto di lavoro.
Sistemi decisionali o di monitoraggio integralmente automatizzati: i chiarimenti del Garante privacy
Tornando al tema dell'utilizzo, in contesti lavorativi, di sistemi decisionali o di monitoraggio automatizzati deputati a fornire indicazioni rilevanti per tutta una serie di aspetti sopra specificati, si evidenzia come tali strumenti per funzionare raccolgano e rielaborino un elevato numero di dati personali dei lavoratori, pertanto è chiaro come tale tematica impatti anche sulla governance privacy di società ed enti, a prescindere dal fatto che l'obbligo informativo ora risulti limitato agli strumenti di decisione e di monitoraggio integralmente automatizzati.
Per questo motivo il Garante privacy è intervenuto con alcune prime indicazioni, diffuse lo scorso gennaio, per sottolineare la stretta correlazione delle nuove norme con quelle già previste dalla disciplina in materia di protezione dei dati personali, fornendo chiarimenti per promuovere la consapevolezza dei titolari dal trattamento rispetto a un'attuazione coordinata ed efficace del decreto Trasparenza in rapporto al GDPR e al Codice privacy.
A questo proposito, l'Autorità di controllo ricorda che le informazioni che il datore di lavoro, soggetto ai nuovi obblighi informativi, in qualità di titolare del trattamento, deve fornire al lavoratore (in qualità di interessato) rientrano:
- gli aspetti del rapporto di lavoro sui quali incide l'utilizzo dei sistemi decisionali o di monitoraggio automatizzati;
- il funzionamento dei sistemi;
- i parametri principali utilizzati per programmare o addestrare i sistemi decisionali o di monitoraggio automatizzati, inclusi i meccanismi di valutazione delle prestazioni;
- le misure di controllo adottate per le decisioni automatizzate, gli eventuali processi di correzione e il responsabile del sistema di gestione della qualità;
- il livello di accuratezza, robustezza e cybersicurezza dei sistemi decisionali o di monitoraggio automatizzati e le metriche utilizzate per misurare tali parametri, nonché gli impatti potenzialmente discriminatori delle metriche stesse.
Il Garante privacy ha chiarito che tali obblighi informativi non sostituiscono quelli già previsti dal General data protection regulation (GDPR) che confluiscono nell'informativa sul trattamento dei dati personali nella gestione del rapporto di lavoro ex articoli 13 e 14 GDPR, ma si aggiungono ad essi.
Tra gli elementi che, invece, specificano la portata di quanto già previsto dal GDPR rientrano la logica dei sistemi decisionali o di monitoraggio (ora, integralmente) automatizzati e l'indicazione delle categorie di dati trattati, che, in base al GDPR, è specificamente prevista solo qualora i dati oggetto di trattamento non siano ottenuti presso l'interessato.Inoltre, le specifiche informazioni riguardanti i sistemi decisionali o di monitoraggio integralmente automatizzati vanno fornite congiuntamente alle informazioni contenute nell'informativa privacy ex articoli 13 e 14 GDPR, quindi nello stesso documento, prima dell'inizio dell'attività lavorativa.
La possibilità di fornire al lavoratore un unico documento, contenente entrambi i "gruppi" di informazioni, riguarda i rapporti di lavoro instaurati successivamente al 1° agosto 2022. Mentre i dipendenti che hanno iniziato il rapporto di lavoro precedentemente a tale data possono ottenere tutte le informazioni previste a seguito di specifica richiesta scritta rivolta al datore di lavoro.
Le informazioni vanno trasmesse in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, nonché in formato strutturato, di uso comune e leggibile da dispositivo automatico. Si potrebbe anche aggiungere, riguardo agli aspetti "formali" delle informative congiunte, la preferenza per una redazione dei documenti in grado di evidenziare, con l'aiuto di titoletti e paragrafi dedicati, le informazioni riguardanti l'ambito del decreto Trasparenza, considerando di applicare le più moderne tecniche del legal design.
Il Garante privacy, con i chiarimenti diffusi a fine gennaio, si preoccupa di "armonizzare" altri aspetti relativi alla compliance privacy in rapporto anche alla normativa gius-lavoristica, ponendo l'attenzione sulla verifica della sussistenza di idonei presupposti di liceità prima di decidere di utilizzare sistemi decisionali o di monitoraggio automatizzati.In particolare, l'adozione di sistemi di monitoraggio nel contesto lavorativo deve sempre essere sempre preceduta da una preliminare verifica delle condizioni di liceità stabilite dalla disciplina in materia di controlli a distanza (si veda l'articolo 4, Statuto dei lavoratori), nonché da una valutazione dei rischi per verificarne l'impatto sui diritti e sulle libertà degli interessati.
L'Autorità di controllo raccomanda il rispetto della normativa con riguardo, nello specifico, all'adozione di strumenti con logiche di machine learning, di rating e ranking, sistemi particolarmente invasivi che pongono criticità in termini di proporzionalità e necessario bilanciamento con i principi di protezione dei dati e con le norme nazionali di settore a tutela della libertà, della dignità e della sfera privata del lavoratore.
Infine, sul versante dell'importante adempimento legato alla compilazione del registro dei trattamenti di dati personali e del suo necessario aggiornamento, in seguito all'eventuale inserimento di sistemi decisionali e di monitoraggio (ora, integralmente) automatizzati, il Garante chiarisce come il datore di lavoro/titolare del trattamento non sia tenuto a informare i lavoratori/interessati della predisposizione del registro stesso e di ogni suo successivo aggiornamento.
* a cura di Elisa Chizzola
