L’utilizzo di dispositivi personali per finalità lavorative (Bring Your Own Device – BYOD) è una pratica sempre più diffusa tra le aziende, in quanto consente a quest’ultime ed ai propri collaboratori di beneficiare di una maggiore flessibilità operativa ad un costo molto competitivo.
Tuttavia, un simile approccio comporta specifici rischi per la sicurezza dei dati aziendali e personali, nonché una possibile commistione di informazioni private e lavorative che rischiano di essere difficilmente scindibili.
Per tali ragioni il Provvedimento del Garante spagnolo (AEPD) assume particolare rilevanza, in quanto rappresenta un’importante summa delle best practice da adottare per rendere le proprie politiche BYOD conformi al GDPR.
Ecco i contenuti:
Indice
Il caso esaminato
Il provvedimento del Garante spagnolo trae origine dal reclamo presentato da un lavoratore, con la qualifica di autista, per l’illegittimo trattamento di dati personali effettuato dalla società datrice di lavoro operante nel settore del noleggio con conducente.
In particolare, il reclamante sosteneva che la società datrice lo obbligasse ad utilizzare il telefono cellulare personale nell’ambito lavorativo, nonché a scaricare quattro applicazioni volte a monitorare la posizione, i messaggi, le chiamate e altri parametri di attività, 24 ore su 24 in modo continuo, senza oltretutto esserne preventivamente ed adeguatamente informato.
Le dichiarazioni del Titolare del Trattamento
La società contestata si è sin da subito difesa adducendo la totale libertà concessa ai lavoratori di scegliere se utilizzare i dispositivi aziendali ovvero personali, sulla base delle individuali esigenze e preferenze.
Ma, a seguito dell’istruttoria e del contradditorio instauratesi con la società attenzionata, è emerso un quadro sensibilmente diverso rispetto a quanto dichiarato da quest’ultima.
Difatti, se da una parte l’azienda effettivamente consentiva ai propri dipendenti di esprimere una preferenza in merito alla possibilità di utilizzare il proprio telefono personale anziché quello aziendale, dall’altra veniva precisato che l’eventuale dotazione dei dispositivi aziendali era sempre subordinata alle disponibilità di tali strumenti in magazzino.
Difatti all’interno dei documenti interni societari veniva espressamente riportato che:
“L’azienda si impegna a fornire, nei limiti delle proprie possibilità e in base alle limitazioni di bilancio e di organico, dispositivi mobili aziendali a tutti i lavoratori che scelgano, ai sensi della clausola 11 delle clausole aggiuntive al Contratto di Lavoro, l’uso del dispositivo mobile aziendale per lo svolgimento del proprio lavoro”.
L’istruttoria
Dopo aver accertato che la scelta del lavoratore tra l’utilizzo di dispositivi personali o aziendali per lo svolgimento dell’attività lavorativa non fosse effettivamente libera, poiché condizionata in concreto dalle disponibilità di magazzino, il Garante spagnolo ha concentrato la propria attenzione sulle funzionalità delle applicazioni obbligatoriamente installate all’interno dei dispositivi personali.
Le risultanze di tale attività hanno evidenziato una raccolta sistematica ed invasiva di informazioni personali da parte delle suddette applicazioni, non giustificate o giustificabili in rapporto con le mansioni attribuite al prestatore di lavoro.
In particolare, le applicazioni raccoglievano, tra le altre cose: informazioni personali (nome, indirizzo e-mail, ID utente, numero di telefono e altre informazioni), contatti, informazioni finanziarie, registrazioni vocali o sonore, geolocalizzazione continua, foto e video o informazioni sulle condizioni fisiche.
Le inadempienze contestate
Liceità del trattamento (art. 6 GDPR):
Il passaggio più importante della vicenda riguarda sicuramente la valutazione sulla legittimità dell’imposizione datoriale all’utilizzo di dispositivi personali da parte dei lavoratori, ai fini dell’esecuzione della prestazione lavorativa.
In tale contesto il Garante spagnolo si è espresso in termini negativi al quesito, ragionando sull’eventuale compatibilità del consenso del lavoratore con la disciplina a tutela dei dati personali. In particolare, l’Autorità spagnola ha statuito che:
La società obbliga i lavoratori a scaricare le suddette applicazioni sui propri telefoni cellulari personali come condizione per lo svolgimento delle loro mansioni, il che implica che non si sta ottenendo un consenso libero ai sensi del RGPD, bensì un’imposizione che annulla la validità del consenso previsto dall’articolo 6 del RGPD come base giuridica del trattamento.
Principio di minimizzazione dei dati (art. 5 par. 1 lett. c):
Valutando la quantità e qualità dei dati raccolti dalle applicazioni obbligatoriamente installate sui dispositivi dei lavoratori, il Garante ha ritenuto che tale attività di trattamento andasse oltre a quanto indispensabile per le finalità legittime del rapporto di lavoro.
È infatti principio consolidato quello secondo il quale, nell’ambito dei rapporti di lavoro eseguiti tramite dispositivi personali, che qualsiasi applicazione che raccolga dati a tali fini debba limitarsi ai dati strettamente necessari per l’esecuzione delle mansioni previste dal contratto di lavoro.
Come sottolineato dal Garante, tale obiettivo deve essere perseguito con le misure meno invasive possibili, come ad esempio attraverso l’installazione di sistemi di geolocalizzazione sui motocicli con cui vengono trasportati gli ordini o di braccialetti dotati di tali dispositivi, che non comportano per il dipendente la necessità di fornire mezzi propri e, cosa ancora più importante, né dati di carattere personale quali il numero di telefono o l’indirizzo e-mail al quale devono ricevere il codice di download dell’applicazione informatica che attiva il sistema.
Obbligo di informativa (art. 13 GDPR):
Il Garante spagnolo ha altresì accertato come la società non avesse informato adeguatamente i propri dipendenti in merito ai dati raccolti dalle applicazioni, nonché in merito alla modalità di disattivazione di quest’ultimi al termine della giornata lavorativa.
Il datore di lavoro ha l’obbligo di informare i lavoratori, in modo conciso, trasparente, comprensibile e facilmente accessibile, utilizzando un linguaggio chiaro e semplice, sugli aspetti relativi al trattamento dei dati personali che comporta l’uso di applicazioni mobili sui dispositivi personali. Ciò include dettagli specifici su come gestire la disattivazione di tali applicazioni, chiarendo se sia sufficiente disconnettersi, se le applicazioni rimangano attive in background o se sia necessario spegnere completamente il dispositivo.
Approfondimento sulla liceità del trattamento nei contesti BYOD
Risulta quindi evidente che laddove una azienda ritenesse necessario utilizzare determinati dispositivi o applicativi per l’esecuzione delle mansioni dei propri lavoratori, ha l’obbligo di procurarsi tali strumenti al fine di concederli in dotazione ai propri lavoratori, senza pretendere che siano quest’ultimi ad utilizzare i dispositivi personali.
Riprendendo i ragionamenti del Garante spagnolo, nessuna delle basi giuridiche attualmente previste all’art. 6 GDPR è infatti in grado di legittimare una simile imposizione, tenuto conto che il requisito della “necessità del trattamento” (che caratterizzano le basi giuridiche di cui agli articoli 6 lett. b, d, e, f ) non può sussistere in relazione alle ipotesi BYOD, salvo il caso in cui il lavoratore sia messo concretamente nelle condizioni di poter liberamente scegliere tra dispositivi personali o aziendali.
Nella diversa ipotesi in cui la scelta del lavoratore di utilizzare dispositivi personali fosse realmente libera, il datore potrebbe legittimamente obbligare quest’ultimo ad installare quelle specifiche applicazioni che permettono lo svolgimento della prestazione lavorativa e che garantiscano la sicurezza dei dati trattati da parte del lavoratore, sottoponendole come condizioni effettivamente indispensabili per dare esecuzione alle politiche aziendali di BYOD.
In tale ultimo contesto, è quindi imprescindibile e necessario redigere una specifica policy in materia di BYOD che espliciti le condizioni che devono essere osservate dal prestatore di lavoro per accedere a tale modalità di svolgimento della prestazione lavorativa, con l’effetto ultimo di legittimare la raccolta delle informazioni provenienti dall’istallazione di determinate applicazioni (che devono sempre e comunque ricomprendere solo quelle strettamente necessarie e funzionali all’esecuzione del lavoro) in quanto considerate necessarie ai sensi dell’art. 6 par. 1 lett. b GDPR.
Rischi e valutazioni preliminari all’adozione delle politiche BYOD
Prima di introdurre la possibilità di utilizzare dispositivi personali all’interno di un’azienda, il datore di lavoro dovrebbe anzitutto valutare i rischi che possono nascere dall’eventuale commistione di dati aziendali e quelli privati.
Difatti, se da una parte le imprese potrebbero rischiare di accedere a dati personali e privati del personale (ad esempio, accedendo ai dati personali sincronizzati con l’infrastruttura aziendale), dall’altra i membri del personale rischiano di esporre informazioni aziendali attraverso l’uso di servizi personali come l’archiviazione cloud o il backup (facilmente attivabili dagli utenti stessi), o tramite applicazioni installate per usi personali che potrebbero successivamente offrire ‘gateway‘ per accessi illeciti alle informazioni detenute dall’azienda.
Lo scenario BYOD è quindi sicuramente più problematico rispetto a quello istituzionale a causa del controllo ridotto che l’impresa ha sul dispositivo mobile. In ogni caso è bene sapere che i rischi potrebbero comunque ridursi notevolmente attraverso l’adozione di adeguate misure tecniche ed organizzative volte a garantire la sicurezza delle informazioni ed a rispettare la riservatezza dei lavoratori.
Ecco di seguito spiegato come:
Buone prassi ed indicazioni operative
Il Garante spagnolo ci ha permesso di trarre diversi spunti applicativi in materia di BYOD, il cui utilizzo non può quindi mai essere imposto e in ogni caso necessita una sensibile valutazione preventiva e di una contestuale regolamentazione aziendale.
Il dipartimento IT avrà innanzitutto il compito di individuare quelle misure tecniche considerate necessarie e proporzionate a garantire la sicurezza delle informazioni nelle ipotesi di BYOD, tenuto conto delle concrete mansioni espletate dal lavoratore e senza che le stesse sfocino in un’ingerenza ingiustificata nella vita privata di quest’ultimo.
Contestualmente, sulla base delle misure individuate dal dipartimento IT, andrà redatta una specifica informativa privacy che espliciti le informazioni personali che entreranno nella disponibilità del datore di lavoro, chiarendo finalità, periodo di conservazione e tutte le altre informazioni obbligatorie previste dall’art. 13 GDPR.
In seguito, andrà adottata una policy interna che regolamenti l’utilizzo dei dispositivi personali per l’esecuzione della prestazione lavorative, esplicitando le condizioni tecniche ed organizzative per accedere a tale modalità (come, ad esempio, restrizioni sul tipo o versione del dispositivo, tipo di sistema operativo, configurazioni, ecc.…).
Se necessario, potrà essere opportuno fornire agli utenti uno specifico supporto al fine di configurare correttamente i dispositivi, nonché erogare una formazione sui rischi e sulle modalità di utilizzo del dispositivo.
Per ultimo ma non per importanza, a seconda delle esigenze aziendali e del livello di rischio individuato, potrà rendersi necessario redigere una valutazione di impatto sulla protezione dei dati personali (art. 35 GDPR) ovvero valutare l’applicazione di altre normative di settore, come lo Statuto dei lavoratori in materia di controlli a distanza e divieto di indagine sulla prestazione lavorativa (artt. 4 e 8 L. 300/1970).
