Geolocalizzazione dei dipendenti e dei volontari: GDPR e Statuto dei lavoratori nelle operazioni sul campo

Il GDPR cita espressamente i dati relativi all’ubicazione tra gli identificativi che rendono personale un’informazione (articolo 4, punto 1). Una posizione in tempo reale associata a un componente della squadra identificato, e il tracciato dei luoghi in cui quella persona è stata durante un turno, sono dati personali. Nel tempo possono rivelare molto più del lavoro: dove qualcuno abita, quando fa le pause, da quale medico va.

L’organizzazione che decide perché e come si raccolgono le posizioni è il titolare del trattamento: il datore di lavoro, il comune, l’organizzazione di soccorso o la ONG che gestisce l’operazione. Un’azienda che ospita il software per Suo conto è di norma un responsabile del trattamento e serve un contratto ai sensi dell’articolo 28. Quando più organizzazioni lavorano nella stessa operazione, concordate chi è responsabile di cosa; i contitolari del trattamento devono stabilirlo ai sensi dell’articolo 26.

Ai sensi del GDPR il consenso deve essere libero. Le linee guida dell’EDPB sul consenso affermano che, a causa dello squilibrio di potere tra datore di lavoro e dipendente, i dipendenti solo raramente possono prestare un consenso libero, e che i datori di lavoro dovrebbero in generale basarsi su un’altra base giuridica. Se dire di no comporta conseguenze, il consenso non è valido.

I volontari non sono dipendenti, ma una pressione simile esiste quando la localizzazione è una condizione per far parte di un’unità o di un impiego. Il consenso può funzionare per funzioni davvero facoltative, per esempio condividere la posizione con la famiglia durante un evento lungo. Per il cuore di un’operazione, il legittimo interesse o il compito di interesse pubblico, sostenuti da una valutazione adeguata, sono di solito più onesti e più stabili.

L’articolo 35 richiede una valutazione d’impatto sulla protezione dei dati (DPIA) quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone. Le linee guida sulla DPIA approvate dall’EDPB (WP248 rev.01) elencano criteri che indicano un rischio elevato. La geolocalizzazione di una squadra ne soddisfa spesso diversi:

• Monitoraggio sistematico delle posizioni delle persone.
• Interessati vulnerabili: le linee guida citano i dipendenti, per lo squilibrio di potere.
• Uso innovativo della tecnologia, come combinare i tracciati con sensori, telecamere o allarmi automatici.
• Raffronto o combinazione di insiemi di dati, per esempio tracciati con turni e registrazioni delle criticità.
• Larga scala, quando si localizzano molte persone per lunghi periodi.

Gli articoli 12 e 13 richiedono informazioni chiare nel momento in cui si inizia a raccogliere le posizioni. Nelle operazioni sul campo significa comunicare alle persone, in linguaggio semplice e prima che attivino l’app, almeno: chi è il titolare, perché si raccolgono le posizioni e su quale base giuridica, chi può vederle, quando la localizzazione è attiva e quando si ferma, per quanto si conservano i tracciati e come esercitare i propri diritti, compreso il diritto di opposizione quando la base è il legittimo interesse o un compito di interesse pubblico.

Il parere del WP29 sul trattamento dei dati nel contesto lavorativo aggiunge un punto pratico: se dispositivi o veicoli possono essere usati anche privatamente, le persone dovrebbero poter disattivare la localizzazione fuori dall’orario di lavoro. Il Garante per la protezione dei dati personali, nel 2016, ha ammesso la geolocalizzazione degli smartphone dei dipendenti per rilevare le presenze solo con un’icona sempre visibile quando la funzione è attiva, senza accesso ad altri dati del telefono e con la cancellazione delle coordinate dopo la verifica. Un indicatore visibile e una fine chiara fanno per la fiducia più di una lunga informativa che nessuno legge.

Raccogliere solo ciò che serve allo scopo (articolo 5, paragrafo 1, lettera c) e conservarlo non più del necessario (articolo 5, paragrafo 1, lettera e). Il GDPR non fissa un numero di giorni; lo decide e lo motiva Lei. Scelte pratiche che reggono bene:

• Condividere le posizioni in tempo reale solo mentre un’operazione è attiva, e solo con i ruoli che ne hanno bisogno.
• Conservare i tracciati dettagliati per il tempo necessario al debriefing, poi cancellarli o aggregarli.
• Conservare più a lungo solo ciò per cui c’è un motivo specifico, come un evento sotto indagine o un obbligo di conservazione per motivi legali.
• Non riutilizzare i tracciati per controllare le prestazioni, a meno che questo scopo sia stato valutato e comunicato in anticipo.
• Rimuovere la posizione dalle foto prima che escano dall’operazione, se non è necessaria.

In Sinkaos un componente vede sempre quando la sua posizione è condivisa e con chi. La condivisione può essere limitata alla durata dell’operazione o a determinati ruoli, la conservazione si imposta per tipo di dato, i metadati delle foto vengono rimossi o mantenuti secondo le regole, ed esportazioni e azioni amministrative finiscono in un registro di audit. Queste impostazioni sostengono il Suo lavoro sul GDPR; le decisioni descritte sopra restano Sue. Veda la pagina sulla sicurezza e la condivisione della posizione della squadra.