Il 29 luglio 2022 è stato pubblicato il D.Lgs. 104/2022, che recepisce la Direttiva Trasparenza 2019/1152 UE, introducendo una novità molto importante.
In particolare, tra i vari obblighi previsti per il datore di lavoro che fa impiego di strumenti automatizzati per la gestione dei lavoratori, vi è quello di comunicare ai lavoratori i sistemi informatici che vengono utilizzati per la gestione del rapporto di lavoro, dal momento dell’assunzione fino alla sua cessazione.
Si tratta di sistemi decisionali o di monitoraggio automatizzati che forniscono indicazioni rilevanti per le diverse fasi del rapporto di lavoro (assunzione/gestione/cessazione), e che incidono sulla sorveglianza, sulla valutazione e sulle prestazioni dei lavoratori.
Nello specifico, al fine di comunicare ai dipendenti le informazioni richieste, il datore dovrà analizzare puntualmente gli strumenti informatici in uso per descriverne:
- la logica e il funzionamento;
- i dati e i parametri di programmazione;
- gli impatti potenzialmente discriminatori.
Pertanto, una volta individuate le informazioni rilevanti da comunicare ai lavoratori, queste devono essere tradotte in un formato strutturato e di uso comune e rese fruibili anche attraverso dispositivi automatici.
Queste informazioni devono essere condivise dal datore anche con soggetti terzi:
- le rappresentanze sindacali aziendali, e su richiesta
- il Ministero del Lavoro e l’INL.
Alle richieste dei lavoratori si deve dare riscontro scritto entro 30 giorni dal ricevimento e in caso di modifiche rilevanti i lavoratori devono essere informati per iscritto almeno 24 ore prima.
Dal punto di vista degli obblighi già imposti dal GDPR, sarà necessario:
- rivedere l’informativa con le istruzioni sulla sicurezza dei dati;
- aggiornare il registro dei trattamenti;
- procedere a una valutazione di impatto sulla protezione dei dati (il DPIA) al fine di valutare i rischi associati all’uso di determinati strumenti automatizzati e individuare misure idonee a gestirli.
Dunque, al fine di prepararsi all’adempimento dei suddetti obblighi, il datore di lavoro dovrà procedere con i seguenti steps:
1) Censire gli strumenti automatizzati decisionali o di monitoraggio automatizzati in uso. Per ciascuno strumento, definire:
- finalità di utilizzo;
- dati personali trattati;
- profili del rapporto di lavoro impattati;
- misure previste per garantire sicurezza e affidabilità del sistema;
- determinare anche le logiche del sistema, dati e parametri usati per programmarlo, meccanismi di valutazione e misure di controllo in caso di decisioni automatizzate, parametri per la valutazione del sistema e relativi impatti potenzialmente discriminatori.
2) Identificare come fornire le informazioni aggiuntive:
- integrazione di documentazione privacy esistente, evitando di aggiungere ulteriore documentazione al sistema documentale in essere,
- predisposizione di allegati/policies ad hoc, che consentono un più agevole aggiornamento in caso di future modifiche o
- definire le modalità per fornire le informazioni ai lavoratori, in linea con i requisiti indicati dal Decreto.
3) Predisporre procedure per rispondere a richieste di accesso in base al decreto.
4) Verificare che il Registro dei trattamenti sia tenuto regolarmente, in modo da essere pronti all’aggiornamento.
5) Verificare la procedura prevista per eseguire una valutazione di impatto privacy.