Il Tribunale di Trento, con la sentenza qui commentata (n. 132 del 16 luglio 2024) analizza in maniera approfondita i diritti alla protezione dei dati personali dei dipendenti in occasione della scelta aziendale di digitalizzare gli strumenti di registrazione degli accessi. La pronuncia del 16 luglio 2024, non appellata che qui si annota, si segnala per il rigore dei passaggi logici, con cui il Giudice finisce per valorizzare il comportamento datoriale trasparente, ritenendo non meritevoli di protezione le istanze della dipendente.

Va precisato che dopo la pronuncia in primo grado, la controversia, a quanto consta, è stata oggetto di accordo transattivo.

Inquadramento normativo

La questione affrontata dal Tribunale di Trento interessa i limiti del potere datoriale di introdurre un sistema di timbratori digitali. La ricetta europea adottata per regolare i processi di digitalizzazione aziendale è “impostata” su un modello culturale di “autodeterminazione” in cui l’interessato “controlla” le proprie informazioni personali gestendone la circolazione (G. Finocchiaro, Diritto dell’intelligenza artificiale, 2024, Bologna Zanichelli, 72), mentre vengono affidate al titolare del trattamento valutazione dei rischi e adozione di misure adeguate di protezione dei dati.

In effetti, nel Regolamento UE sulla protezione dei dati personali (Reg. UE n.2016/679 d’ora innanzi “GDPR”), spetta al datore di lavoro, titolare del trattamento dei dati delle persone impiegate in attività di lavoro, la responsabilità di valutare i rischi ai diritti fondamentali delle risorse umane nella propria organizzazione e di adottare le misure adeguate in maniera trasparente. Il datore di lavoro, che utilizzi nuove tecnologie, deve valutarne l’impatto (qualora il trattamento, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, presenti un rischio elevato per i diritti e le libertà delle persone fisiche coinvolte – art.35 GDPR). Inoltre il datore di lavoro, che adotti sistemi di decisioni automatizzate, è tenuto ad informare in maniera specifica l’interessato, riconoscergli il diritto di ottenere l’intervento umano, di esprimere la propria opinione, di ottenere una spiegazione della decisione conseguita dopo tale valutazione e di contestare la decisione (art.22 GDPR). Il descritto assetto di tutele può essere potenziato nei singoli Stati a cui viene lasciata la possibilità di introdurre protezioni più stringenti per gli interessati coinvolti nel rapporto di lavoro (Considerando 155 e art.88 GDPR).

Nella declinazione italiana della disciplina europea sulla protezione dei dati personali in azienda, ci si limita a confermare un duplice livello di controllo dei poteri datoriali: un controllo individuale (art.4, comma 2, l. n.300/1970) e un controllo collettivo/amministrativo (art.4, comma 1, l. n.300/1970). Risale alla novella dell’art.4, legge n.300/1970 – contenuta nel jobs act (d. lgs. n.151/2015) – il riconoscimento della facoltà del datore di lavoro di utilizzare nuove tecnologie – come gli strumenti di registrazione degli accessi – senza la preventiva autorizzazione e/o accordo collettivo (comma 2), ma a condizione di riconoscere al lavoratore una “adeguata” informazione sulle modalità d’uso degli strumenti e di effettuazione dei controlli nel rispetto del Codice italiano sulla protezione dei dati personali d. lgs. n.196/2003 (comma 3).

La raccolta di informazioni sull’accesso del dipendente in azienda implica un trattamento di dati personali, tramite strumenti digitali di registrazione. Sicché il datore di lavoro (in quanto titolare dei trattamenti sui dati personali dei propri dipendenti/collaboratori) è gravato degli obblighi di valutazione dei rischi per i diritti e le libertà dei dipendenti e di valutazione dell’impatto dei trattamenti eseguiti nel contesto lavorativo (art.24 e 35 GDPR). “I trattamenti di dati personali effettuati nell’ambito del rapporto di lavoro, se necessari per la finalità di gestione del rapporto stesso (v. artt.6 par.1 lett.c); 9 par.2 lett.b) del Regolamento) devono svolgersi nel rispetto del principio di liceità, in base al quale il trattamento è lecito se conforme alle discipline di settore applicabili (art.5 par.1 lett.a) del regolamento). Coerentemente con tale impostazione l’art.88 del Regolamento ha fatto salve le norme nazionali di maggior tutela (“norme più specifiche”) volte ad assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei lavoratori. Il legislatore nazionale ha approvato, quale disposizione più specifica l’art.114 del Codice (d. lgs. n.196/2003) che, tra le condizioni di liceità del trattamento ha stabilito l’osservanza di quanto prescritto dall’art.4 legge n.300/1970.” (Garante per la Protezione dei dati personali Provvedimento 7 aprile 2022, doc. web 9823195).

Da ultimo, gli obblighi datoriali di trasparenza sul trattamento dei dati personali sono potenziati, in caso di adozione di “sistemi decisionali o di monitoraggio totalmente automatizzati”, con il d. lgs. n.104/2022 di recepimento della dir. UE n.2019/1152 (Min. Lav. 20 settembre 2022, n.19; Ispettorato Nazionale del Lavoro, 10 agosto 2022, n.4; Garante 24 gennaio 2023 doc web 9844960).

Il Caso affrontato dal Tribunale di Trento

Nel caso affrontato dal Tribunale di Trento, l’azienda aveva illustrato – ai segretari delle organizzazioni provinciali e alle rispettive R.S.U. – le modalità di funzionamento di un nuovo sistema di timbratori digitali che intendeva adottare.

Smartphone posizionati nei cantieri avrebbero monitorato gli accessi grazie a un’Applicazione che avrebbe rilevato “Tag NFC (Near Field Communication)” adesivi applicati sul badge aziendale: chiunque, avvicinandosi agli smartphone e stabilita una comunicazione, avrebbe potuto registrare sull’App CLOCK IT installati sugli Smartphone data e orario in cui avveniva l’accostamento del badge nel cantiere, senza geolocalizzarsi e consentendo così al datore di lavoro di visualizzare il rilevamento della presenza.

I rappresentanti sindacali avevano chiesto all’azienda che fosse raccolto il consenso individuale di ciascun dipendente all’introduzione della modalità digitale di timbratura e che fosse permesso a ciascuno di visualizzare le proprie timbrature.

Tuttavia, le richieste sindacali non consideravano che da un lato l’art.4, co.2 legge n.300/1970 e s.m.i. non richiede alcun accordo sindacale né autorizzazione dell’Ispettorato per utilizzare strumenti di registrazione accessi; dall’altro la raccolta dei dati personali dei dipendenti non è mai legittimata dal consenso dei dipendenti quale base giuridica del trattamento dei dati personali.

Lo squilibrio di forze nel rapporto e la soggezione rispetto al datore di lavoro non permette di considerare il consenso del dipendente “libero”, precludendo che possa fondare la legittimità del trattamento dei dati personali (cfr. European Data Protection Board EDPB Linee Guida n.3/2019; Garante italiano Protezione dei dati personali Provvedimento 4 luglio 2013 doc. web 2578071).

Pertanto, la raccolta del consenso dei dipendenti all’installazione del nuovo sistema di rilevazione presenze sarebbe stata del tutto irrilevante ai fini della legittimità del trattamento dei dati personali.

Ed in effetti, l’azienda – ricevute le richieste sindacali – aveva evidenziato che la digitalizzazione del sistema di rilevamento presenze tramite Regolamento aziendale non presupponeva di ricevere il consenso individuale dei dipendenti.

Tuttavia, al solo fine di dimostrare la disponibilità datoriale, l’azienda provvedeva a caricare sulla pagina personale di ciascun collaboratore una informativa specifica sulle concrete modalità di funzionamento del nuovo sistema presenze e affidava al Referente di cantiere l’estrazione mensile della situazione individuale relativa alle timbrature, nonché l’intervento in caso di malfunzionamento dei sistemi interessati.

Nonostante il trasparente comportamento aziendale, rispettoso dell’art.4 co.3 l.n.300/1970, una addetta alla manutenzione con mansioni di elettricista deliberatamente disattendeva le nuove disposizioni aziendali: in 42 giornate, noncurante dei richiami verbali e senza autorizzazione alcuna, attestava l’orario di entrata e di uscita mediante annotazione scritta a mano in moduli cartacei rifiutandosi di utilizzare l’app di rilevamento presenze nel cantiere in cui era assegnata. Le ripetute infrazioni del Regolamento aziendale venivano contestate, sanzionate con otto misure conservative e alla fine giustificavano il licenziamento con preavviso dell’addetta.

I motivi di ricorso

Impugnato il licenziamento innanzi al Giudice del lavoro di Trento, la dipendente aveva sostenuto che era stata illegittimamente licenziata poiché l’ordine ricevuto era illegittimo per contrarietà del sistema di timbrature istallato alle prescrizioni del Regolamento Europeo sulla protezione dei dati personali (Reg. UE n.2016/679).

A conforto della sua impugnazione aveva addotto una carenza dell’informativa sul trattamento dei dati personali prevista dall’art.13 GDPR, l’erroneità e/o non corrispondenza al vero dei dati di cui all’art. 13, par. 1 lett. a) e b) GDPR riportati nell’Informativa e violazione degli artt. 44 e ss. GDPR, l’erroneità e/o non corrispondenza al vero dei dati di cui all’art. 13 par. 1 lett. c) GDPR riportati nell’Informativa e violazione del combinato disposto degli artt. 5 e 6 GDPR, la mancanza di adeguate misure di sicurezza con violazione degli artt. 5 lett. f) e 32 GDPR, la carenza della valutazione di impatto in violazione dell’art. 35 GDPR, l’illiceità di trattamenti ulteriori rispetto a quelli contenuti nell’informativa.

Aveva pertanto chiesto l’annullamento non solo delle sanzioni conservative (con risarcimento del danno e cancellazione delle stesse da qualsiasi registro aziendale), ma altresì del licenziamento (con applicazione della tutela reale attenuata ex art.3 co.2 d. lgs. n.23/2015 e in subordine di quella indennitaria).

La decisione del Tribunale

Il Giudice del Lavoro, osservata la concorde ricostruzione della materialità delle condotte addebitate e poste a fondamento delle sanzioni disciplinari, rileva come il rifiuto di eseguire un ordine possa essere considerato legittimo qualora la condotta del dipendente sia improntata a correttezza e buona fede. Pertanto, secondo le indicazioni della Suprema Corte in tema di eccezione di inadempimento art.1460 c.c. (Cass. 18.4.2023, n.10227; Cass. 3.11.2023, n. 30654), esamina l’incidenza degli asseriti inadempimenti datoriali rispetto agli interessi della lavoratrice e, quindi, sull’equilibrio sinallagmatico, nonché la loro proporzionalità rispetto alla funzione economico-sociale del contratto.

Innanzitutto il Giudice osserva che “l’obbligazione gravante sul datore si collega a una situazione di potere (espressione del potere direttivo ex art. 2104 co. 2 cod. civ.), consistente nella legittima pretesa a che la lavoratrice attestasse le ore di entrata e di uscita al lavoro con le modalità indicate dal datore” e consiste “nell’obbligo di adottare un sistema di rilevazione delle presenze al lavoro conforme alla legge e alle discipline di settore”.

Il Tribunale esamina quindi le contestazioni alla legittimità del trattamento dei dati personali ed esclude che possano essere condivise le doglianze.

Quanto ai profili di illegittimità del trattamento per tardività della consegna dell’informativa ex art.13 GDPR (fornita successivamente all’installazione e messa in funzione del sistema di rilevamento presenze), il Giudice ne dichiara l’irrilevanza poiché il primo mancato utilizzo del sistema di rilevamento presenze da parte della lavoratrice era stato successivo alla consegna datoriale dell’informativa.

In merito all’erroneità dell’informativa ex art. 13 GDPR, per erronea indicazione del titolare del trattamento nel datore di lavoro (Cass. 18 dicembre 2023, n.35256), il Giudice osserva l’assenza di effetti pregiudizievoli e precisa che discutendo dell’eccezione di inadempimento “ciò che rileva è stabilire se, presenti i caratteri dell’inadempimento, ne derivino effetti pregiudizievoli per gli interessi della lavoratrice in misura tale da giustificare l’inadempimento di quest’ultima”. Riguardo all’erroneità dell’informativa ex art.13 GDPR per mancata indicazione del trasferimento dei dati fuori dallo Spazio Economico Europeo il Giudice accerta che l’Applicazione utilizzata in cantiere è stata sviluppata dalla Capogruppo italiana che ne possiede la proprietà intellettuale.

Quanto all’erroneità dell’informativa ex art. 13 par.1 lett. c) GDPR, per violazione dei principi di legittimità e proporzionalità del trattamento dei dati personali ex artt. 5 e 6 GDPR, il Giudice rileva come il sistema di rilevazione digitale consenta un’attestazione oggettiva e, quindi, il più attendibile possibile dell’ora di inizio e dell’ora di fine servizio e quindi risponda a una duplice necessità. Una del datore di lavoro (di una corretta esecuzione del contratto di lavoro subordinato; di un esatto adempimento degli obblighi di fonte legale; di predisposizione di un sistema oggettivo, affidabile e accessibile che consenta la misurazione della durata dell’orario di lavoro giornaliero). Una della lavoratrice (di assicurare l’effetto utile dei diritti previsti dalla direttiva 2003/88 e del diritto fondamentale sancito dall’art.31, par.2, della Carta come osservato dalla Corte di giustizia, nella sentenza del 14.5.2019, in C-55/18, Fedemción de Servicios de Comisiones Obreras, CP 8 U:C:2019:4023)

Quanto all’illegittimità del trattamento per mancata adozione di adeguate misure di sicurezza ex art.32 GDPR, il Giudice ritiene che siano state adottate adeguate misure di sicurezza poiché i dati ricavabili dall’Applicazione erano stati pseudonimizzati (ossia i dipendenti erano individuati solo tramite codice abbinato al numero di matricola).

Pertanto, il nuovo sistema di rilevazione delle presenze adottava una protezione dei dati personali ben maggiore a quella consentita dalla rilevazione cartacea (considerando che i fogli presenza in cui venivano annotate generalità, gli orari di inizio e fine servizio, la presenza e le ragioni delle assenze, le ore lavorate venivano precedentemente conservati in un raccoglitore nell’anti-stanza del preposto senza alcuna specifica misura protettiva).

E da ultimo, quanto alla illegittimità di trattamenti dei dati ulteriori rispetto a quelli descritti nell’informativa (e costituiti dalla fotografia delle schermate di timbrature), il Giudice osserva che si era trattato di attività collocate in un momento iniziale dell’introduzione del nuovo sistema, non più sussistenti all’epoca di gran parte dei rifiuti. Sicché “l’asserito pregresso inadempimento datoriale è comunque inidoneo in radice a giustificare l’inadempimento, da parte della lavoratrice, dell’obbligo di attestare le ore di entrata e di uscita al lavoro con le modalità indicate dal datore; ciò senza necessità di procedere a valutazioni comparative in punto incidenza di ciascuno di essi sugli interessi sottesi alle rispettive obbligazioni.”

Controllo degli accessi e sistemi di intelligenza artificiale: una normativa in cambiamento

Nella pronuncia in esame il Tribunale di Trento applica condivisibilmente le norme che sinora hanno regolato l’introduzione di tecnologia delle nostre aziende (Reg. UE n.2016/679 e dir. UE n.2019/1152). Lungi dal vietare la digitalizzazione delle informazioni personali (relative alla presenza nei luoghi di lavoro), le norme adottate sinora si sono limitate a responsabilizzare il datore di lavoro imponendo una valutazione del rischio e il rispetto nel trattamento dei dati personali dei principi di proporzionalità, finalità, correttezza (art.5 e 6 GDPR) e trasparenza (art.13 GDPR).

Il Giudice del lavoro di Trento quindi esegue, come richiesto dalla normativa europea e nazionale, un bilanciamento di interessi, riconoscendo la legittimità del comportamento datoriale e conferma le scelte del datore di lavoro, che in quanto titolare del trattamento dei dati personali, adotta un nuovo sistema di controllo degli accessi dopo aver valutato i rischi per i diritti fondamentali delle persone. Quanto alla valutazione di impatto (art.35 GDPR) sull’utilizzo di strumenti tecnologici di registrazione degli accessi, il Giudice ne esclude l’esigenza, ritenendo sufficienti e adeguate le garanzie (art.25 GDPR) e le misure di sicurezza adottate dall’azienda (art.32 GDPR).

In altri termini, condivisibilmente ritiene che un sistema di registrazione degli accessi non implichi un “rischio elevato” per i dipendenti.

La digitalizzazione nelle aziende si sta evolvendo e lo stesso contesto normativo, che abbiamo sinora conosciuto, sta per cambiare. Per effetto dell’entrata in vigore del Reg. EU n.2024/1689 – cd. Ai Act – l’adozione di “sistemi di intelligenza artificiale”, imporrà al datore di lavoro non solo di garantire una protezione dei dati personali, ma di rispettare altresì una etero-valutazione del rischio alla persona per la promozione di una “IA antropocentrica e affidabile” e la garanzia di un “livello elevato di protezione della salute, della sicurezza e dei diritti sanciti dalla Carta dei diritti fondamentali” (considerando n. 1 Reg. EU n.2024/1689). Sicché per esempio l’impiego dell’Intelligenza Artificiale in sistemi di monitoraggio dei dipendenti, capaci di offrire vantaggi di una maggiore sicurezza e un controllo della conformità (cd. “smart safety”, la sicurezza intelligente grazie all’uso di tecnologie digitali), potrebbe dover rispettare nuove regole se ritenuto “ad alto rischio” per i diritti fondamentali (art. 6, par. 2 e Allegato III Reg. EU n.2024/1689).

L’AI Act limita l’utilizzo di sistemi “per monitorare e valutare le prestazioni e il comportamento delle persone nell’ambito di tali rapporti di lavoro” (Allegato III, punto 4, lett. b), disciplina la sorveglianza umana, potenzia gli obblighi di trasparenza anche nei confronti delle rappresentanze sindacali (art.26 Reg. EU n.2024/1689), con un sostanziale potenziamento dei controlli, senza spingersi però ad affidare alla contrattazione collettiva il ruolo di regolare processi ed effetti.

Da un modello regolatorio incentrato sulla responsabilizzazione del datore di lavoro (cd. accountability) si passerà a un modello che opererà sia sul versante del contenimento del rischio, sia su quello tradizionale della riparazione del danno e riallocazione della perdita generata dalla violazione (cd. liability) (G. Comandè, Intelligenza artificiale e responsabilità tra “liability” e “accountability”. Il carattere trasformativo dell’IA e il problema della responsabilità, in Analisi giuridica dell’economia, 2019, 169).

E si affida al legislatore europeo il compito di definire i sistemi di intelligenza artificiale con rischio inaccettabile e quindi vietati (art.5 Reg. EU n.2024/1689), quelli ad alto rischio (Allegato III), quelli a rischio moderato e minimo unitamente alle necessarie misure di mitigazione. Un’Autorità Garante sarà deputata alla definizione delle misure di sicurezza al controllo e monitoraggio dei sistemi di marcatura digitale. Tuttavia, ciascuno Stato membro manterrà la facoltà di introdurre “disposizioni legislative, regolamentari o amministrative più favorevoli ai lavoratori in termini di tutela dei loro diritti in relazione all’uso di sistemi di AI da parte dei datori di lavoro, o incoraggino o consentano l’applicazione di contratti collettivi più favorevoli ai lavoratori” (art.2, par.11 Reg. EU n.2024/1689).

Lo scorso 2 febbraio 2025 un primo gruppo di prescrizioni dell’AI act hanno iniziato a trovare applicazione: il divieto di produzione e utilizzo di sistemi di intelligenza artificiale con rischio inaccettabile (art. 5 Reg. EU n.2024/1689) e l’obbligo di “alfabetizzazione” del personale aziendale sui temi dell’intelligenza artificiale (art. 4 Reg. EU n.2024/1689). Sarà tuttavia necessario attendere il 2026 per poter disporre di una disciplina completa per ora soltanto abbozzata nel Regolamento Europeo: dalla pubblicazione in Gazzetta dovranno decorrere 12 mesi per definire il sistema di governance, 24 mesi per regolare i sistemi ad alto rischio di cui all’Allegato III, 36 mesi per i sistemi ad alto rischio integrati nei prodotti soggetti a certificazione come da Allegato I.

Claudia Ogriseg, avvocato in Udine

Visualizza il documento: Trib. Trento, 16 luglio 2024, n. 132

Scarica il commento in PDF

L'articolo Digitalizzazione aziendale e strumenti di registrazione degli accessi sembra essere il primo su Rivista Labor - Pacini Giuridica.