BYOD e app di monitoraggio in azienda: rischi e misure organizzative
L’Agenzia Spagnola per la Protezione dei Dati (AEPD) ha inflitto una sanzione di 200.000 euro alla società Ares Capital S.A., operante nel settore del trasporto privato con conducente, per aver obbligato i propri dipendenti-autisti a installare fino a quattro applicazioni di monitoraggio sui loro dispositivi mobili personali. Il procedimento sanzionatorio si era aperto a seguito della denuncia presentata il 23 luglio 2024 da un lavoratore della compagnia.
Le applicazioni richieste dall’azienda consentivano la raccolta sistematica e continua di dati dei lavoratori ben oltre le esigenze operative: geolocalizzazione in tempo reale, messaggi e chiamate, fotografie, registrazioni audio e video, nonché dati relativi allo stato fisico e alla salute dei conducenti. Era inoltre vietato ai dipendenti di modificare qualsiasi impostazione o permesso delle applicazioni stesse. Il Garante spagnolo ha individuato e sanzionato tre distinte violazioni del GDPR:
- violazione del principio di minimizzazione
- mancanza di una base giuridica valida per il trattamento
- inadempimento dell’obbligo di informazione trasparente ai lavoratori
In questo articolo vogliamo illustrare alcune misure organizzative per prevenire un evento come quello descritto.
Politiche BYOD (Bring Your Own Device) e MDM - L’utilizzo di dispositivi personali del lavoratore per scopi professionali — prassi sempre più diffusa — richiede la predisposizione di una specifica politica aziendale (Policy BYOD) che deve prevedere:
- delimitare con precisione i dati di origine aziendale che possono essere trattati sul dispositivo personale e per quali finalità;
- garantire la separazione logica (containerizzazione) tra l’ambiente aziendale e quello privato del dispositivo;
- adottare soluzioni di Mobile Device Management (MDM) proporzionate e trasparenti, con la certezza che i software di gestione agiscano esclusivamente sull’area aziendale del dispositivo;
- garantire il diritto alla disconnessione digitale al termine dell’orario di lavoro, come richiesto esplicitamente dalla stessa AEPD nel provvedimento in esame.
Il principio di minimizzazione come vincolo di progettazione - L’infrazione più gravemente sanzionata nel caso Ares Capital riguarda la raccolta eccessiva di dati. Le applicazioni aziendali richiedevano l’accesso a microfono, fotocamera, archivio fotografico, stato fisico e geolocalizzazione continua, laddove la prestazione del servizio di trasporto avrebbe richiesto al più la geolocalizzazione durante la corsa e alcune funzionalità di comunicazione.
Sul piano organizzativo, il principio di minimizzazione impone alle aziende di adottare un approccio di Privacy by Design e Privacy by Default nello sviluppo o nella selezione di qualsiasi applicazione o sistema di monitoraggio.
Le configurazioni predefinite devono garantire il trattamento del minor numero di dati possibile, e ogni permesso aggiuntivo deve essere giustificato da una specifica necessità operativa documentata.
Prima di adottare qualsiasi soluzione tecnologica di monitoraggio, è indispensabile effettuare una mappatura dei flussi di dati e una valutazione della proporzionalità tra finalità perseguite e dati raccolti, documentando le scelte adottate. La valutazione d’impatto (DPIA) è di grande ausilio tale mappatura e si rileva necessaria nella maggior parte dei casi in cui è necessario fare ricorso a BYOD. Una procedura per l’introduzione o modifica di un trattamento dovrebbe prevedere anche un approfondimento mirato in tali circostanze.
(Nella foto: l'Ing. Monica Perego, docente del Master per Esperto Privacy)
Il ruolo del DPO - Nel caso in esame noi sappiamo se, come e quali indicazioni abbia fornito il Data Protection Officer. In ogni caso le criticità sono tali che fanno immaginare che lo stesso non è stato informato o che il suo parere non è stato considerato. Sul piano organizzativo, si evidenzia come la sola presenza di un DPO non sia sufficiente; è invece necessario che i suoi pareri vincolino realmente i processi decisionali aziendali e che esista un sistema di governance che integri le funzioni di compliance, IT, HR e direzione generale. Esso, non può essere quindi una figura decorativa, attraverso i flussi deve essere coinvolto ed il suo parere deve essere tenuto in debito conto.
Misure organizzative - Alla luce dell’analisi condotta, si suggeriscono le seguenti misure per le aziende che intendano adottare o che già utilizzino sistemi di monitoraggio digitale dei lavoratori:
Costituisce però un errore significativo richiedere di applicare le stesse disposizioni sia ai dispositivi “personali” sia a quelli cosiddetti “aziendali”; allo stesso modo, risulta poco utile predisporre policy distinte per le due categorie di utilizzo, poiché una simile scelta rischierebbe soltanto di creare confusione e un’inutile moltiplicazione della documentazione interna.
Conclusioni - Il caso Ares Capital e le parallele vicende sanzionatorie in materia di utilizzo di dispositivi personali dei lavoratori fanno comprende come le misure organizzative non sono ostacoli burocratici, bensì di garanzie fondamentali per l’equilibrio tra efficienza e rispetto della dignità dei lavoratori.
