Entro i prossimi mesi potrebbe essere introdotta in Microsoft Teams una nuova funzionalità in grado di indicare automaticamente la posizione di un dipendente all'interno degli spazi aziendali. Il sistema, secondo le informazioni attualmente disponibili, sfrutterebbe la connessione del dispositivo alla rete Wi-Fi aziendale per mostrare ai colleghi la presenza della persona in un determinato edificio, piano o area di lavoro.  Nella testa di chi l'ha pensata, questa novità avrebbe il grande vantaggio di rendere inutili  i vecchi badge o i sistemi fisici di check-in, riducendo l'obbligo di aggiornare lo stato a mano e aiutando i colleghi a pianificare riunioni improvvisate dal vivo.  

L'obiettivo dichiarato da Microsoft è favorire la collaborazione e semplificare l'organizzazione delle attività in presenza, soprattutto nei contesti di lavoro ibrido. Tuttavia, dal punto di vista della privacy e del diritto del lavoro, la funzionalità pone una serie di questioni che meritano particolare attenzione.

QUALI DATI VENGONO TRATTATI?

Sebbene non si tratti di una vera e propria geolocalizzazione GPS, il sistema comporta comunque il trattamento di dati personali relativi alla posizione del lavoratore.Tra i dati potenzialmente trattati troviamo:

• identificativo dell'utente Teams;
• presenza in sede o da remoto;
• area, piano o edificio di ubicazione;
• orario di ingresso e uscita dalla rete aziendale;
• informazioni di connessione alla rete wireless.

Anche se i dati fossero visualizzati solo in tempo reale e non storicizzati, si tratterebbe comunque di un trattamento di dati personali soggetto al Regolamento UE 2016/679 (GDPR).

IL TEMA DELLA BASE GIURIDICA DEL GDPR

Ai sensi dell'articolo 6 del GDPR, ogni trattamento deve essere supportato da una base giuridica adeguata.Nel contesto lavorativo il consenso del dipendente è generalmente considerato inidoneo, poiché il rapporto di subordinazione rende difficile garantire che sia realmente libero.L'eventuale utilizzo della funzionalità dovrebbe quindi essere fondato principalmente:

• sul legittimo interesse del datore di lavoro (art. 6, par. 1, lett. f GDPR);
• oppure sull'esecuzione del rapporto di lavoro e sull'organizzazione dell'attività lavorativa.

In ogni caso, il datore di lavoro dovrebbe dimostrare che il trattamento è necessario e proporzionato rispetto agli obiettivi perseguiti.

I PRINCIPI DI MINIMIZZAZIONE, PRIVACY BY DESIGN E DEFAULT

L'articolo 5 del GDPR impone che siano trattati solo i dati strettamente necessari per le finalità perseguite.Da questo punto di vista occorre chiedersi:

• è davvero necessario indicare il piano o l'area specifica in cui si trova il lavoratore?
• sarebbe sufficiente segnalare la semplice presenza in sede?
• tutti i dipendenti devono poter visualizzare la posizione di tutti i colleghi?

Si tratta di valutazioni fondamentali per rispettare il principio di minimizzazione dei dati.Inoltre, il principio di "privacy by design" previsto dall'articolo 25 GDPR richiede che il sistema venga configurato con il minor livello di invasività possibile.Ad esempio:

• limitare la precisione dell'informazione sulla posizione;
• consentire all'utente di disattivare la condivisione quando non necessaria;
• prevedere impostazioni predefinite orientate alla protezione dei dati.

E' NECESSARIA UNA DPIA?

L'implementazione di una funzionalità che consente di monitorare la presenza fisica dei lavoratori può comportare rischi elevati per i diritti e le libertà degli interessati. Per questo motivo il datore di lavoro dovrebbe valutare attentamente la necessità di effettuare una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) ai sensi dell'art. 35 GDPR.

Le Linee Guida del Comitato Europeo per la Protezione dei Dati e i provvedimenti del Garante Privacy italiano hanno più volte evidenziato come i sistemi che consentono il monitoraggio sistematico dei dipendenti possano richiedere una preventiva valutazione d'impatto.

E COME LA METTIAMO CON LO STATUTO DEI LAVORATORI?

L'aspetto più delicato non riguarda il GDPR, bensì l'articolo 4 della Legge 300/1970 (Statuto dei Lavoratori).La norma vieta l'uso di strumenti finalizzati al controllo a distanza dell'attività dei lavoratori, consentendone l'utilizzo soltanto:

• per esigenze organizzative e produttive;
• per esigenze di sicurezza del lavoro;
• per la tutela del patrimonio aziendale.

Quando uno strumento è potenzialmente idoneo a consentire il controllo dell'attività lavorativa, il datore di lavoro deve normalmente stipulare un accordo sindacale oppure ottenere un'autorizzazione dell'Ispettorato Nazionale del Lavoro, salvo che si tratti di strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa o per registrare accessi e presenze.Ed è proprio qui che potrebbero sorgere le principali criticità.Se la funzionalità di Teams consentisse di ricostruire:

• tempi di permanenza;
• movimenti tra diverse aree aziendali;
• frequenza della presenza in ufficio;
• comportamenti lavorativi,

potrebbe configurarsi una forma di controllo indiretto dell'attività del lavoratore.In tal caso sarebbe necessario verificare attentamente l'applicabilità dell'articolo 4 e gli eventuali adempimenti richiesti.

INFORMATIVA E TRASPARENZA

Prima di introdurre il sistema, il datore di lavoro dovrebbe fornire ai dipendenti un'informativa completa che specifichi:

• quali dati vengono raccolti;
• come vengono determinati;
• chi può visualizzarli;
• per quanto tempo vengono conservati;
• per quali finalità vengono utilizzati;
• se possono essere impiegati per finalità disciplinari.

La trasparenza rappresenta un requisito essenziale sia ai sensi degli articoli 12 e 13 del GDPR sia alla luce della disciplina lavoristica.

COSA DEVONO FARE LE AZIENDE

Le aziende che decidessero di attivare tale funzionalità senza un'attenta analisi preventiva potrebbero esporsi a diversi rischi:

• violazioni dei principi del GDPR;
• contestazioni da parte dei dipendenti;
• interventi del Garante per la protezione dei dati personali;
• problematiche legate all'articolo 4 dello Statuto dei Lavoratori;
• inutilizzabilità di eventuali dati raccolti ai fini disciplinari.

La semplice disponibilità tecnica della funzionalità non equivale infatti alla sua liceità dal punto di vista giuridico. Prima di attivare sistemi che consentano la localizzazione interna dei lavoratori attraverso strumenti digitali, è opportuno:

1. analizzare le finalità effettive del trattamento;
2. verificare la compatibilità con l'art. 4 dello Statuto dei Lavoratori;
3. effettuare una valutazione privacy preventiva;
4. valutare la necessità di una DPIA;
5. aggiornare informative e registri dei trattamenti;
6. configurare il sistema secondo principi di minimizzazione e privacy by default;
7. coinvolgere DPO, ufficio HR e consulenti del lavoro.

CONCLUSIONI

La nuova funzionalità di Microsoft Teams evidenzia una tendenza sempre più diffusa: l'integrazione di strumenti collaborativi e dati di localizzazione per rendere più efficiente l'organizzazione del lavoro ibrido.

Tuttavia, quando la tecnologia permette di conoscere in tempo reale la presenza e gli spostamenti dei lavoratori, il tema non è più soltanto organizzativo ma diventa anche giuridico. Le imprese dovranno quindi trovare un punto di equilibrio tra esigenze di collaborazione e tutela dei diritti fondamentali delle persone, evitando che uno strumento pensato per favorire l'incontro tra colleghi si trasformi, anche involontariamente, in un sistema di controllo a distanza dell'attività lavorativa.