Minimizzazione violata, consenso invalido e informativa carente nei controlli su smartphone personale
La Presidencia de la Agencia Española de Protección de Datos (AEPD) ha inflitto a Ares Capital, S.A. — società spagnola operante nel settore del trasporto privato con conducente (VTC) con oltre 5.787 dipendenti e fatturato 2024 superiore a 256 milioni di euro — una sanzione complessiva di 200.000 euro con la risoluzione del procedimento sanzionatorio n. PS-00454/2024. Le violazioni contestate riguardano gli articoli 5.1.c) (minimizzazione dei dati), 6.1 (liceità del trattamento) e 13 (informativa) del Regolamento (UE) 2016/679 (GDPR). Il fatto materiale è costituito dall’imposizione ai conducenti di installare sul dispositivo mobile personale quattro applicazioni dotate di permessi eccedenti la necessità funzionale per lo svolgimento della prestazione, senza valida base giuridica né informativa adeguata.
Il modello operativo e i fatti accertati
Ares Capital aveva strutturato un programma BYOD (Bring Your Own Device) che prevedeva formalmente la possibilità di scegliere tra uno smartphone aziendale e l’utilizzo del proprio dispositivo personale, con rimborso mensile per le spese connesse all'”uso mobile personale”. Nella pratica, la disponibilità di terminali aziendali era subordinata a “limitaciones presupuestarias y de plantilla”, rendendo la “scelta” meramente teorica: i lavoratori si trovavano costretti a utilizzare il proprio smartphone. Sugli stessi dispositivi dovevano essere installate obbligatoriamente quattro applicazioni che raccoglievano dati eccedenti ogni ragionevole necessità: la prima includeva permessi per ubicazione, stato fisico, dati personali (nome, indirizzo e-mail, ID utente, numero di telefono), contatti, informazioni finanziarie, registrazioni audio, foto e video; la seconda, destinata all’apertura e chiusura dei veicoli tramite Bluetooth, richiedeva permessi per ubicazione approssimata e precisa, foto e video, dati personali. L’AEPD ha documentato le violazioni sulla base delle schermate acquisite dal Play Store di Google che illustravano i permessi richiesti all’atto dell’installazione.
La violazione del principio di minimizzazione
L’articolo 5.1.c) GDPR impone che i dati personali siano “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”. L’AEPD ha accertato che le quattro applicazioni obbligatorie raccolgono dati chiaramente eccedenti: lo stato fisico del lavoratore, i contatti personali, le registrazioni audio, i video. Nessuna di queste categorie risulta necessaria per la gestione di una flotta VTC o per la sicurezza dei passeggeri, finalità che avrebbero potuto essere soddisfatte con sistemi di tracciamento installati direttamente sui veicoli e applicazioni a permessi minimi. La metodologia probatoria utilizzata dall’AEPD — fondata sulle informazioni pubblicamente disponibili negli store applicativi — costituisce evidenza sufficiente per dimostrare che il titolare ha messo a disposizione dei dipendenti strumenti eccedenti la necessità funzionale, indipendentemente dall’effettivo utilizzo di tali permessi.
La questione della base giuridica e l’invalidità del consenso
Ares Capital aveva sostenuto che il trattamento trovasse fondamento nell’esecuzione del contratto di lavoro (art. 6.1.b) GDPR) e nel consenso dei lavoratori (art. 6.1.a) GDPR). L’AEPD ha respinto entrambe le argomentazioni. Quanto alla base contrattuale: l’esecuzione del contratto giustifica il trattamento di dati strettamente necessari allo svolgimento della prestazione; una geolocalizzazione continua, l’accesso ai contatti personali, alle registrazioni audio e ai dati di salute del lavoratore non presentano nesso causale diretto e necessario con la mansione di conducente VTC. Quanto al consenso: l’AEPD richiama il Considerando 43 GDPR e le Linee guida EDPB 05/2020 del 4 maggio 2020 sulla libertà del consenso. Nel contesto del rapporto di lavoro subordinato, il consenso è strutturalmente a rischio di essere non libero per via della dipendenza economica del lavoratore. Quando l’accesso al dispositivo aziendale è condizionato a risorse limitate dell’impresa — sicché il lavoratore si trova di fatto obbligato a usare il proprio telefono — il “consenso” all’installazione delle applicazioni non è una manifestazione libera e autonoma della volontà, ma una condizione imposta per mantenere il posto di lavoro. In aggiunta, l’impossibilità di modificare i permessi delle applicazioni installate — vietata dalla policy aziendale senza autorizzazione scritta — esclude che il lavoratore possa esercitare un reale controllo sui propri dati.
Il difetto di informativa
L’AEPD accerta che Ares Capital non aveva fornito ai lavoratori informazioni sufficienti sulle modalità di funzionamento delle applicazioni, sui dati effettivamente raccolti, sui tempi di conservazione e — aspetto particolarmente significativo — sulle concrete modalità di disconnessione al termine della giornata lavorativa. La clausola contrattuale che prevedeva la possibilità di disconnettersi “fuera de su jornada laboral” era considerata generica e insufficiente, non avendo l’impresa chiarito se la disconnessione richiedesse la chiusura della sessione, la disinstallazione temporanea o lo spegnimento del dispositivo. Il difetto di informativa determina non solo una violazione formale dell’art. 13 GDPR, ma incide sulla validità del consenso medesimo: un consenso prestato senza piena consapevolezza di che cosa si stia autorizzando non è “informato” ai sensi dell’art. 4.11 GDPR, né soddisfa i requisiti minimi di contenuto indicati nelle Linee guida EDPB 05/2020.
Cosa devono fare le imprese
Le imprese che operano secondo modelli BYOD devono avviare senza indugi una revisione sistematica dei propri programmi di compliance secondo questa progressione: Mappatura completa. Costruire un inventario delle applicazioni la cui installazione è prevista o imposta su dispositivi dei dipendenti, distinguendo tra quelle su terminali aziendali e quelle su dispositivi personali, documentando per ciascuna i permessi richiesti dal sistema operativo, i dati effettivamente raccolti secondo la privacy label dello store, i destinatari del trattamento e gli eventuali trasferimenti verso Paesi terzi. Questa mappatura costituisce la base per il registro dei trattamenti ex art. 30 GDPR. Verifica di proporzionalità. Per ogni applicazione, il DPO deve verificare se i permessi concretamente richiesti siano strettamente necessari rispetto alla finalità lavorativa dichiarata, attraverso una matrice funzionale che confronti: funzione dell’app → dati minimi necessari → permessi effettivamente richiesti. Dove sussiste un delta positivo (l’applicazione richiede più di quanto necessario) va risolta la violazione ex art. 5.1.c) GDPR mediante sostituzione dell’applicazione, negoziazione con il fornitore per una versione “privacy-reduced”, ovvero rinuncia all’imposizione su dispositivi personali. Individuazione della base giuridica. Per ciascun trattamento connesso all’uso di applicazioni su dispositivi dei dipendenti, la base giuridica va documentata nel registro prima dell’avvio. In ambito lavorativo, le basi giuridiche praticabili sono principalmente l’esecuzione del contratto (art. 6.1.b) GDPR) e il legittimo interesse (art. 6.1.f) GDPR) — quest’ultimo solo previa conduzione del bilanciamento degli interessi e nel rispetto della proporzionalità. Il consenso non dovrebbe mai essere invocato come base autonoma per trattamenti afferenti alla sfera privata del lavoratore. Revisione delle clausole contrattuali. Le clausole BYOD e le policy interne devono specificare: le applicazioni la cui installazione è richiesta; i dati raccolti da ciascuna; le finalità; la base giuridica; le modalità operative di disconnessione al termine della giornata lavorativa (log-out dall’applicazione, disattivazione dei permessi in background, spegnimento del dispositivo); i diritti dell’interessato e le relative modalità di esercizio. Clausole generiche risultano non conformi al requisito di trasparenza ex art. 13 GDPR. Informativa specifica. Fornire al lavoratore che utilizzi dispositivi personali per finalità lavorative un’informativa specifica — non la medesima informativa generica dell’assunzione — che contenga: lista delle applicazioni richieste; categoria di dati raccolta da ciascuna; modalità operative di disconnessione (distinguendo chiaramente i tre livelli); indicazione se le applicazioni continuano a raccogliere dati al di fuori dell’orario di lavoro e in quali condizioni. DPIA per trattamenti ad alto rischio. Condurre una Valutazione d’Impatto ex art. 35 GDPR ogni qual volta il trattamento contempli: geolocalizzazione continua o frequente; raccolta di dati sulla salute o lo stato fisico; elaborazione di profili comportamentali; accesso a comunicazioni private. La DPIA è obbligatoria quando si configura sorveglianza sistematica su larga scala di lavoratori in mobilità. Accordo sindacale o autorizzazione per i controlli a distanza (rilevante per il contesto italiano). Qualora l’applicazione consenta un controllo a distanza dell’attività lavorativa — come avviene per la geolocalizzazione continua — l’art. 4, comma 1, dello Statuto dei Lavoratori impone il previo accordo sindacale o l’autorizzazione dell’Ispettorato Nazionale del Lavoro. Governance tecnica. Per i terminali aziendali, adottare soluzioni MDM (Mobile Device Management) che consentano di limitare i permessi delle applicazioni al minimo necessario (art. 25 GDPR); per i dispositivi personali, scegliere applicazioni che rispettino il principio di minimizzazione anche in assenza di controllo tecnico centralizzato. Formazione periodica. Strutturare attività formativa ricorrente e documentata sui diritti in materia di protezione dei dati — con particolare riferimento alle modalità concrete di disconnessione digitale, all’esercizio dei diritti ex artt. 15-22 GDPR e ai canali di contatto con il DPO — specie in contesti ad alta rotazione del personale.
Conclusioni
Il provvedimento dell’AEPD offre una ricostruzione chiara e documentata della sorveglianza digitale dei lavoratori tramite applicazioni su dispositivi personali, ricondotta ai principi fondamentali del GDPR con un rigore che lo rende riferimento interpretativo diretto anche per i DPO e i giuristi d’impresa italiani. L’insegnamento principale è che il BYOD non è un fenomeno regolabile mediante sola autonomia contrattuale: la compensazione economica può giustificare l’uso del dispositivo, non l’acquisizione incontrollata di dati personali eccedenti la finalità lavorativa. La responsabilità del titolare che impone l’installazione di un’applicazione di terza parte rimane integra indipendentemente da chi sviluppi il software: il titolare deve verificare — prima dell’imposizione — quali permessi l’applicazione richiede, se tali permessi sono giustificati dalla finalità, e se esista un’alternativa tecnica con minor impatto sui dati personali.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
