Il D.Lgs. 104/2022, attuativo della Direttiva (UE) 2019/1152 relativa a condizioni di lavoro trasparenti e prevedibili nell’Unione Europea, ha introdotto significative innovazioni in materia di obblighi informativi del datore di lavoro, incidendo anche sull’ambito della protezione dei dati personali.
In particolare, l’art. 1-bis del D.Lgs. 152/1997, come modificato dal Decreto Trasparenza, prevede che il datore di lavoro o il committente fornisca al lavoratore informazioni specifiche qualora vengano utilizzati sistemi decisionali o di monitoraggio automatizzati idonei a incidere su aspetti fondamentali del rapporto di lavoro (reclutamento, assegnazione delle mansioni, valutazione delle prestazioni, cessazione del rapporto, ecc.).
1. Rilevanza privacy e coordinamento con il GDPR
L’introduzione di tali obblighi determina un punto di contatto diretto con la disciplina del GDPR, poiché i sistemi automatizzati menzionati comportano necessariamente il trattamento di dati personali dei lavoratori.
Ne consegue che, prima dell’attivazione di tali processi, occorre procedere a una valutazione di liceità del trattamento, verificando:
- la sussistenza di una base giuridica idonea ai sensi dell’art. 6 GDPR (esecuzione del contratto, obbligo legale, legittimo interesse, ecc.);
- la conformità ai principi generali del trattamento (art. 5 GDPR), tra cui correttezza, trasparenza, limitazione della finalità e minimizzazione dei dati;
- l’eventuale necessità di effettuare una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’art. 35 GDPR, qualora il sistema presenti un rischio elevato per i diritti e le libertà degli interessati.
2. L’informativa al lavoratore
Il D.Lgs. 104/2022 non introduce un nuovo obbligo di informativa autonoma, ma amplia l’ambito oggettivo delle informazioni che devono essere fornite ai lavoratori ai sensi degli articoli 12, 13 e 14 del GDPR.
Pertanto, l’informativa privacy dovrà essere integrata con ulteriori elementi specifici relativi ai sistemi automatizzati, tra cui:
- le logiche di funzionamento e i parametri principali utilizzati;
- le categorie di dati trattati;
- gli effetti potenzialmente rilevanti sul rapporto di lavoro;
- le misure di garanzia, comprese quelle volte a evitare discriminazioni, abusi o errori algoritmici;
- la possibilità di intervento umano e la modalità di esercizio del diritto di ottenere una revisione delle decisioni automatizzate.
Tali obblighi si applicano non solo alle imprese private, ma anche alle Pubbliche Amministrazioni e agli enti pubblici economici che utilizzano sistemi automatizzati nella gestione del personale, conformemente ai principi di trasparenza e accountability sanciti dall’art. 5, par. 2 del GDPR.
3. Considerazioni conclusive
Il coordinamento tra il D.Lgs. 104/2022 e il GDPR rafforza la dimensione della trasparenza algoritmica nei rapporti di lavoro, promuovendo un modello di gestione dei dati improntato alla responsabilità del titolare e alla tutela effettiva dei diritti dei lavoratori.
La disciplina del Decreto Trasparenza, pur collocandosi in un ambito giuslavoristico, rappresenta di fatto un adeguamento della normativa privacy, estendendo l’obbligo informativo e l’attenzione al rischio derivante dall’automazione dei processi decisionali.