News

Telecamere nella sede aziendale per proteggere il patrimonio dell’impresa e GPS installati sui mezzi per prevenirne il furto, per proteggere il personale che svolge lavori isolati o a rischio rapina, oppure per questioni logistiche. A volte sono i clienti, soprattutto le stazioni appaltanti, a premiare chi ha dotato il proprio parco mezzi di un sistema satellitare. Quindi viene naturale pensare che non serva alcuna autorizzazione dei sistemi di videosorveglianza (impianti audiovisivi) e satellitari. In realtà bisogna verificare una condizione, ossia la presenza o meno di lavoratori in azienda: nel caso sia presente anche un solo lavoratore, per installare telecamere e GPS, il titolare dell’impresa deve ottenere specifica autorizzazione prima della loro installazione.

A chi richiedere l’autorizzazione?

Le strade percorribili sono due.

1. La sottoscrizione di un accordo sindacale. Questa strada è percorribile se sono presenti rappresentanze sindacali aziendali (RSA) o unitarie (RSU), oppure facendo riferimento alle rappresentanze sindacali territoriali (tra le più rappresentative a livello nazionale).
2. La presentazione di una domanda di autorizzazione alla sede territorialmente competente dell’Ispettorato del lavoro, invece, è percorribile nel caso in cui
   – non siano stati eletti RSA o RSU;
   – sia stato sottoscritto un verbale di mancato accordo con le rappresentanze sindacali (anche quelle territoriali) in relazione all’utilizzo dell’impianto di localizzazione satellitare e/o delle apparecchiature di videosorveglianza.

Come funziona l’iter autorizzativo?

Accordo sindacale

L’accordo sindacale altro non è che un documento scritto nel quale vengono dettagliate le condizioni alle quali il titolare dell’impresa e le rappresentanze sindacali hanno convenuto che le attrezzature di videosorveglianza e satellitari potranno essere utilizzate al fine di consentire il raggiungimento degli obiettivi di tutela del patrimonio, di organizzazione logistica o di sicurezza dei lavoratori, senza costituire una possibilità di controllo a distanza dell’attività dei lavoratori e garantendo la tutela dei dati personali.

La tempistica richiesta per giungere all’accordo dipende dalla complessità del sistema da autorizzare e dalla complessità della trattativa.

Dato che l’accordo non è obbligatorio, ossia una delle due parti potrebbe non ritenere accettabili le condizioni imposte dalla controparte, la trattativa potrebbe concludersi senza nulla di fatto, imponendo di procederecon la richiesta di autorizzazione all’Ispettorato del lavoro.

La domanda all’Ispettorato del lavoro

Il titolare dell’impresa deve procedere alla predisposizione di specifica modulistica, scaricabile dal sito dell’Ispettorato Nazionale del Lavoro, che comprende

• modulo d’istanza di autorizzazione all’installazione (a cui bisogna applicare n. 1 marca da bollo da € 16,00);
• autocertificazione di dichiarazione sostitutiva per marca da bollo (a cui bisogna applicare n.2 marche da bollo da € 16,00).

Inoltre l’impresa deve predisporre una relazione di dettaglio che illustri le ragioni dell’installazione e le modalità di funzionamento.

Le tempistiche di rilascio dell’autorizzazione variano a seconda della sede territoriale di riferimento e l’Ispettorato può procedere all’esecuzione di un sopralluogo a sorpresa per verificare quanto dichiarato nella domanda e che la tecnologia non sia già stata installata. La sola installazione e/o la messa in esercizio dei sistemi prima del rilascio dell’autorizzazione comporta infatti l’applicazione delle sanzioni penali previste dall’art. 38 dello Statuto dei lavoratori (L. 300/1970) :

• ammenda da € 154 a € 1.549 o arresto da 15 giorni a 1 anno;
• nei casi più gravi (ex. l’installazione degli impianti a totale insaputa del lavoratore; l’installazione di telecamere fisse che inquadrino esclusivamente l’attività svolta dai lavoratori o i luoghi di pausa o di mensa; l’assenza di esigenze organizzative, produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale che giustifichino l’installazione degli impianti) le pene dell’arresto e dell’ammenda sono applicate congiuntamente;
• quando, per le condizioni economiche del titolare dell’impresa, l’ammenda sopra riportata si presume inefficace anche se applicata nel massimo, il giudice ha facoltà di aumentarla fino al quintuplo.

Perché bisogna richiedere l’autorizzazione?

Perché l’art. 4, comma 1 dello Statuto dei lavoratori prevede che gli impianti audiovisivi o altri strumenti da cui possa derivare “la possibilità di controllo a distanza dell’attività dei lavoratori” possono essere impiegati esclusivamente:

• se rispondono a “esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale“;
• previo accordo sindacale o autorizzazione da parte dell’Ispettorato del lavoro, antecedenti la loro installazione.

Quanto dura l’autorizzazione?

L’art. 4, comma 1 dello Statuto dei lavoratori stabilisce che i provvedimenti autorizzativi sono definitivi, tuttavia la prassi operativa (i modelli autorizzativi dell’Ispettorato del lavoro e la formulazione degli accordi sindacali) prevedono la necessità di dare comunicazione e quindi di richiedere autorizzazione per modifiche rilevanti dei sistemi già autorizzati.

Serve “solo” l’autorizzazione?

Non proprio. Sempre l’art. 4 dello Statuto dei lavoratori, al comma 3, precisa anche che le informazioni raccolte mediante i sistemi di videosorveglianza e satellitari “sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. 196“, quindi, oltre al possesso dell’autorizzazione, il titolare dell’impresa deve essere in grado di dimostrare:

1. di aver adeguatamente informato i lavoratori sul funzionamento dei sistemi installati e sull’esecuzione dei controlli;
2. di trattare i dati raccolti mediante i sistemi di videosorveglianza e satellitari nel rispetto dei requisti di privacy.

Il piano ispettivo del Garante della privacy per il secondo semestre 2019 prevede circa un centinaio di controlli ai soggetti pubblici e privati, con riferimento ad attività specifiche:

• alle banche, in riferimento ai flussi verso l’anagrafe dei conti;
• agli intermediari del servizio di fatturazione elettronica;
• alle società, per attività di marketing;
• agli enti pubblici, con riferimento a banche dati di notevoli dimensioni, per le attività di profilazione e fidelizzazione;
• alle società del food delivery;
• alla sanità privata.

Quattro gli aspetti oggetto di controllo:

1. il periodo di conservazione dei dati;
2. la regolarità di consensi e informative;
3. i trattamenti collegati alla fatturazione elettronica;
4. i dati trasmessi dalle banche all’anagrafe dei conti tenuta dal Fisco.

Consenso e periodo di conservazione dei dati per le attività di marketing: che cosa dice il GDPR?

Al fine di consentire una verifica della compliance in ambito privacy, concentriamoci su

1. consenso;
2. periodo di conservazione dei dati (che spesso induce a errori sostanziali nella modalità e in merito alla necessità).

Il consenso per le attività di marketing

Marketing diretto (in assenza di intermediari)

• La tutela dei dati personali degli utenti è rappresentata dal consenso che non può essere mai proposto con caselle già contrassegnate e non può costituire condizione legata all’ottenimento del servizio principale.
• Non è lecito ricorrere a dati estratti da registri pubblici, elenchi, siti web, atti o documenti pubblici.
• L’interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei suoi dati a fini di marketing, pur avendo originariamente manifestato il consenso.
• Non è necessario chiedere consensi distinti per ogni canale comunicativo; un consenso rilasciato per l’invio di mail, sms, mms, telefonate automatizzate, copre anche quello per altre forme di comunicazione (ex. posta cartacea, telefonate tramite operatore).
• Il non consenso, quando proposto in modo unico, non permetterà al titolare di inviare alcuna comunicazione.
• Il GDPR prevede che, se il trattamento è basato sui legittimi interessi, non occorre il consenso. Significa che i legittimi interessi del titolare del trattamento possono rendere lecito il trattamento, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato.

Esempio 1 – Quando esiste una relazione pertinente e appropriata tra l’interessato e il titolare del trattamento: l’interessato è alle dipendenze del titolare del trattamento.

Esempio 2 – Quando si è in presenza di un cliente acquisito, si può far leva sul “bilanciamento degli interessi” e quindi la base giuridica può consistere nei legittimi interessi del titolare evitando il consenso, purché si rispettino i seguenti requisiti dimostrabili al Garante   

• la trasmissione del messaggio avviene per posta elettronica (non sono ammesse comunicazioni telefoniche);
• la mail deve essere quella indicata nel contesto della vendita di un prodotto o servizio;
• i messaggi devono essere inviati a fini di vendita diretta di prodotti e/o servizi forniti dal titolare, mai da terzi;
• il prodotto o il servizio devono essere analoghi a quelli già acquistati dall’interessato;
• il destinatario non deve aver rifiutato all’inizio o nel corso di ulteriori comunicazioni tale invio di comunicazioni promozionali;
• il destinatario deve avere la possibilità di opporsi al trattamento dei dati in ogni momento, gratuitamente e in maniera semplice.

Marketing indiretto

L’identificazione dell’utente può avvenire solo previo consenso manifestato sulla base di una informativa che espliciti tale finalità.

Il termine di conservazione dei dati

Il Regolamento stabilisce che i dati devono essere “conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici”.

L’articolo 13 del GDPR prevede che il titolare del trattamento debba informare gli interessati circa il periodo di conservazione dei dati personali e, se ciò non è possibile, almeno dei “criteri utilizzati per determinare tale periodo”.

Il tempo di conservazione in taluni trattamenti è preciso (per esempio se legato a obblighi contrattuali, normative, la garanzia del prodotto, termini di prescrizioni per far fronte a futuri contenziosi). In caso contrario viene stabilito direttamente dal titolare e talvolta non è di facile individuazione, in quanto non è immediato valutare la proporzionalità rispetto alla finalità del trattamento come richiesto dal GDPR. In ogni caso un tempo di conservazione illimitato non è mai consentito.

Una volta terminato tale periodo il dato va cancellato (da tutti i supporti, compresi i backup) oppure, in alternativa, anonimizzato.