La valutazione di impatto (DPIA) va sviluppata obbligatoriamente solo per particolari trattamenti, e cioè quando il trattamento prevede l’uso di nuove tecnologie e può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. L’articolo 35 del GDPR indica i criteri in base ai quali si individuano i casi nei quali la DPIA è necessaria:
- il trattamento determina una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici;
- il trattamento riguarda dati sensibili o giudiziari su larga scala;
- il trattamento riguarda la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.
Inoltre, con il provvedimento dell’11 ottobre 2018, il Garante ha reso pubblico un elenco di tipologie di trattamenti per i quali si rende necessaria la DPIA.
Vedasi l’elenco completo >https://www.compet-e.com/dpia-le-tipologie-di-trattamenti-su-cui-e-obbligatorio-effettuarla/
Al punto 5, in particolare, viene chiarito senza alcun dubbio che riguardo i trattamenti che implicano videosorveglianza e geolocalizzazione nell’ambito del rapporto di lavoro vige l’obbligo di condurre una valutazione d’impatto.
“5) Trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (sistemi di videosorveglianza e di geolocalizzazione) dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti; “
Contenuto della DPIA
Le informazioni minime che dovrebbero essere presenti in una valutazione d’impatto sono:
- la descrizione sistematica dei trattamenti previsti, la finalità del trattamento, compreso l’interesse legittimo perseguito dal titolare;
- la valutazione dei rischi;
- le misure previste per affrontare i rischi, incluse le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati e dimostrare la conformità al regolamento.
Il titolare e il responsabile del trattamento provvedono a sviluppare la valutazione di impatto. La valutazione implica una analisi e descrizione delle aree critiche da esaminare, del profilo di tutti i soggetti coinvolti, gli effetti e le conseguenze del trattamento dei dati, una valutazione dei rischi collegati, e quindi la stesura di un piano di mitigazione dei rischi. Il passo successivo sarà l’attuazione delle misure di sicurezza proposte.
La DPIA non sostituisce l’accordo sindacale
Per poter installare un impianto di geolocalizzazione o videosorveglianza è necessario un accordo sindacale o l’autorizzazione dell’ispettorato del lavoro. Senza quest’autorizzazione non sarà possibile installare nessuna di queste tecnologie, anche in presenza del consenso esplicito dei soggetti interessati (i lavoratori).
| STATUTO DEI LAVORATORI | REGOLAMENTO PRIVACY | |
| INSTALLAZIONE DI IMPIANTI DI VIDEOSORVEGLIANZA | Serve l’accordo sindacale Servono l’autorizzazione o l’accordo sindacale. L’uso delle telecamere è ammesso per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del partimonio aziendale. Serve l’informativa ex. art. 4. | Valutazione di impatto da fare Servono l’informativa al personale e la valutazione d’impatto privacy (DPIA). Bisogna considerare la casistica dei provvedimenti del Garante (ad esempio per l’estensione del periodo di conservazione delle immagini fino a 7 giorni). |
| INSTALLAZIONE DI SISTEMI SATELLITARI | Serve l’accordo sindacale Servono l’autorizzazione o l’accordo sindacale. L’uso di questi sistemi è ammesso per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del partimonio aziendale. Serve l’informativa ex. art. 4. | Valutazione di impatto da fare Servono l’informativa al personale e la valutazione d’impatto privacy (DPIA). E’ necessario considerare la casistica analizzata nei provvedimenti del Garante della Privacy. |
