Lavoro agile e protezione dei dati personali (Top Legal Focus Privacy & Data Protection, febbraio 2021 – Vittorio De Luca, Elena Cannone)

Con la Legge n. 81 del 22 maggio 2017 recante “Misure per la tutela del lavoro autonomo non imprenditoriale e misure volte a favorire l’articolazione flessibile nei tempi e nei luoghi del lavoro subordinato”, è stato regolamentato per la prima volta nel nostro ordinamento il lavoro agile (comunemente definito “smart working”). Si tratta di una modalità flessibile di esecuzione della prestazione lavorativa, nell’ambito del rapporto di lavoro subordinato, caratterizzata dall’assenza di vincoli di orario o luogo di lavoro e da forme di organizzazione per fasi, cicli e obiettivi.

Nell’implementare Il lavoro agile nella propria azienda il datore di lavoro deve tener conto della normativa dettata in materia di protezione dei dati personali.

Il Regolamento (UE) 2016/679 in materia di protezione dei dati personali (“GDPR”) ha introdotto il c.d. principio di accountability ossia l’adozione, da parte del Titolare del trattamento (nel nostro caso il datore di lavoro), di comportamenti proattivi e tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del GDPR stesso. In sostanza, il datore di lavoro è tenuto ad individuare e gestire i rischi relativi ai trattamenti svolti, nel rispetto del principio della protezione dei dati fin dalla progettazione di ciascun trattamento (“by design”) e della protezione dei dati medesimi di default (“by default”).

Ciò significa che, nel lavoro agile, il datore di lavoro deve effettuare un idoneo risk assessment e, ove necessario, una valutazione di impatto in modo tale da analizzare tutti i rischi esistenti e potenziali nonché individuare le misure di sicurezza, tecniche e organizzative, adeguate a garantire la sicurezza e la protezione dei dati. In questa ottica il datore di lavoro deve adottare Regolamenti, Policies o Linee Guida recanti i comportamenti che i lavoratori agili devono tenere per garantire la riservatezza, l’integrità e la disponibilità dei dati trattati nello svolgimento delle proprie mansioni.

Il datore di lavoro deve, altresì, verificare che il controllo da remoto non sia un controllo invasivo in contrasto con l’art. 4 della Legge 300/1970. Ciò comporta un esame dettagliato dei sistemi che consentono un monitoraggio continuo dell’utilizzo degli strumenti di lavoro e della rete aziendale da parte dei dipendenti.

Proprio per questo il lavoratore agile deve essere dettagliatamente informato delle modalità tramite le quali il datore esercita il potere di controllo nonché di quali sono i comportamenti passibili di una eventuale sanzione disciplinare.

Non solo. Il datore di lavoro deve formare i lavoratori agili affinché questi abbiano piena consapevolezza e conoscenza degli strumenti messi a loro disposizione, dei rischi e delle misure da adottare durante il lavoro agile.