Anzitutto, il Garante ha ribadito che l’informativa deve indicare esclusivamente i trattamenti effettivamente svolti dal titolare. In tal senso, dunque, è contraria al GDPR la redazione di documenti che, nella pur comprensibile ottica di evitare costanti aggiornamenti del documento, elenchino trattamenti che, in realtà, non vengono svolti. Nella prassi, in effetti, spesso si incrociano documenti redatti senza uno specifico risk-assessment rispetto ai trattamenti concretamente effettuati dal titolare.
Al contempo, il continuo evolversi delle tecnologie impone di verificare periodicamente l’effettivo aggiornamento del documento in questione.
Il Garante, al riguardo, ha aggiunto che, tra i trattamenti eventualmente svolti e di cui l’informativa deve dare atto, rientrano anche quelli relativi a dati di navigazione, a dati o metadati afferenti alla casella di posta elettronica individualizzata assegnata al dipendente nonché al contenuto dei messaggi di posta in entrata e in uscita relativamente a indirizzi di posta aziendale individualizzati. Vale la pena ricordare, in proposito, che l’indicazione di questo trattamento nell’informativa presuppone una verifica dei tempi di conservazione, in ossequio alle indicazioni del Garante al riguardo, anche al fine di valutare la necessità di adempiere a quanto previsto all’art. 4 dello Statuto dei Lavoratori in punto di controlli a distanza.
Ancora: il Garante si è concentrato sul tema della geolocalizzazione, sempre più diffusa in ambito lavorativo, anche in conseguenza della sempre più frequente installazione, sulle flotte aziendali, di localizzatori GPS (spesso per fini assicurativi) e di sistemi di pagamento automatico dei pedaggi.
In proposito, il Garante ha evidenziato che, tra i dati personali, rientrano anche i dati concernenti la geolocalizzazione del veicolo utilizzato dal lavoratore. Di conseguenza, la relativa raccolta implica l’obbligo di indicazione del relativo trattamento nell’informativa, in uno con l’adempimento degli obblighi di cui all’art. 4 dello Statuto dei Lavoratori in punto di controlli a distanza. Al riguardo, in effetti, è opportuno rilevare che le informazioni sulla localizzazione di un dipendente, pur non includendo direttamente l’identità dell’interessato, consentono di identificarlo indirettamente (e.g., associando detti dati ai dati del veicolo assegnato al medesimo lavoratore) e così di ricostruirne gli spostamenti. Anche in questo caso, dunque, dovranno trovare applicazione le previsioni di cui allo Statuto dei Lavoratori sul controllo a distanza dei dipendenti.
Alla luce di quanto precede, è opportuno procedere con cadenza periodica ad una revisione dell’informativa privacy consegnata ai propri dipendenti, al fine non solo di assicurarsi che la stessa indichi in maniera completa i trattamenti svolti, tenendo conto della costante evoluzione tecnologica, ma anche per valutare l’adempimento degli obblighi di cui all’art. 4 dello Statuto dei Lavoratori in tema di controlli a distanza.
