Lo smart working e gli obblighi in materia di trattamento dei dati personali

Il lavoro agile (o smart working) è una modalità di esecuzione del rapporto di lavoro subordinato che sta trovando ampia applicazione a seguito delle misure governative per il contenimento e la gestione dell'emergenza epidemiologica da COVID-19 (coronavirus).

Se, da un lato, i primi provvedimenti del Governo “raccomandavano” l’applicazione delle modalità di lavoro agile (DPCM 01/03/2020 e 04/03/2020), con i successivi interventi l’attivazione dello smart working è divenuto obbligatorio per i datori di lavoro pubblici e privati (DPCM 11/03/2020).

Peraltro, stante la situazione emergenziale, il lavoro agile è attivato anche in deroga agli accordi individuali e agli obblighi informativi previsti dalla normativa che disciplina la materia (Legge n. 81/2017).

Ed infatti, non può sfuggire che lo svolgimento della prestazione al di fuori delle sedi del Titolare può rendere vulnerabili i dati personali trattati, anche mediante attacchi di soggetti terzi. Ecco perché, appare irrinunciabile che gli smartworkers assumano una condotta particolarmente diligente circa l’utilizzo e la custodia degli strumenti di lavoro e la tutela dei dati trattati.

Così, l’emergenza sanitaria non giustifica il datore di lavoro che contravviene agli obblighi privacy previsti dalla normativa nazionale ed europea, come dimostrato dalla circostanza che tutti i provvedimenti governativi in materia contengono specifiche disposizioni in tema di trattamento dei dati personali: in sostanza, l’eccezionalità del momento non consente un trattamento inosservante delle regole.

Gli adempimenti privacy del datore di lavoro

Affinché possa ritenersi adempiente, il datore di lavoro è tenuto a predisporre una policy specifica per lo smart working, contenente dettagliate linee guida di comportamento per i lavoratori e, soprattutto, precise informazioni ed istruzioni che assicurino la sicurezza e la liceità del trattamento. In particolare, non potranno restare privi di disciplina aspetti quali (a titolo esemplificativo): le autorizzazioni al trattamento, la gestione della password, l’operatività delle misure di sicurezza, le modalità di comunicazione, trasferimento e conservazione dei dati personali, l’utilizzo e il ricovero degli strumenti di lavoro, l’utilizzo di Internet e della posta elettronica, ecc.

Inoltre, il datore di lavoro dovrà assicurare un’informativa ai lavoratori nei casi di eventuale applicazione di uno specifico sistema di monitoraggio della prestazione lavorativa e/o di un sistema disciplinare specifico per l’inosservanza delle regole di comportamento da parte degli smartworkers.

Ancora, in qualità di Titolare del trattamento, il datore di lavoro dovrà effettuare – prima di procedere al trattamento – una valutazione d’impatto sulla protezione dei dati, da considerarsi obbligatoria in quanto il trattamento avviene mediante l’uso di nuove tecnologie (art. 35 GDPR) e soggetta ad aggiornamento periodico.

Infine, dovrà essere attivata una specifica procedura per i casi di violazione dei dati (c.d. data breach), in adempimento agli obblighi normativi previsti per tali evenienze, con conseguente necessità di istruire tutti i soggetti coinvolti nel trattamento (artt. 33, 34 GDPR).

Saremo lieti di rispondere alle richieste di approfondimento ed offrire la nostra professionalità al servizio delle Vostre esigenze.