El ordenador, el teléfono, el correo electrónico, la tarjeta de acceso, las cámaras y el GPS pueden recoger muchos datos de los empleados. Esta lección explica las normas italianas sobre los controles a distancia y qué arriesgan la empresa y quienes tratan los datos.
El control a distancia de los trabajadores
El art. 4 del Statuto dei lavoratori (el Estatuto de los trabajadores italiano, ley 300/1970, en su texto vigente) distingue dos casos.
1. Instalaciones audiovisuales y otros instrumentos de los que se deriva también la posibilidad de control a distancia (por ejemplo las cámaras). Solo pueden usarse por necesidades organizativas y de producción, seguridad en el trabajo o protección del patrimonio de la empresa. Para instalarlos hace falta un acuerdo con las representaciones sindicales (RSU o RSA; para las empresas con sedes en varias provincias o regiones, con los sindicatos más representativos a nivel nacional). Sin acuerdo hace falta la autorización del Ispettorato nazionale del lavoro (INL, la Inspección nacional de trabajo italiana).
2. Instrumentos que el trabajador usa para realizar su prestación (ordenador, teléfono de empresa, correo electrónico) e instrumentos de registro de accesos y de presencia (tarjeta de acceso). Aquí no hacen falta ni acuerdo ni autorización.
En ambos casos (apartado 3) los datos recogidos pueden usarse para todos los fines relacionados con la relación laboral, incluidos los disciplinarios, solo si el trabajador ha recibido información adecuada sobre cómo se usan los instrumentos y cómo se realizan los controles, y respetando el Codice privacy. El art. 114 del Codice remite al art. 4 del Statuto.
Qué significa para usted
- Un empleado tiene derecho a saber qué instrumentos pueden registrar datos sobre él y cómo se usan. Debe explicarlo la cláusula informativa o un reglamento de la empresa.
- Sin la información prevista, la empresa no puede usar esos datos contra un trabajador.
- Los controles generalizados y continuos del correo o de la navegación chocan con los principios de necesidad y proporcionalidad (véanse las directrices del Garante sobre correo electrónico e internet de 2007).
- En el teletrabajo y en el trabajo ágil, el empleador debe respetar la personalidad y la libertad moral del trabajador (art. 115 del Codice).
- El Garante ha considerado en varias ocasiones desproporcionado registrar la asistencia con huellas dactilares y ha sancionado a empresas y organismos que lo hacían sin una norma que lo permitiera. El consentimiento de los empleados no basta.
Si usted administra estos sistemas (informática, personal), no tiene poder para controlar a un compañero por su cuenta: solo puede hacerlo según las normas y las tareas que le asigne la empresa.
El Garante y las sanciones
El Garante puede, entre otras cosas, apercibir, limitar o prohibir un tratamiento, ordenar que se atiendan los derechos de los interesados e imponer sanciones administrativas (arts. 58 y 83 del RGPD). El máximo es de 10 millones de euros o el 2 % del volumen de negocio mundial anual para las infracciones menos graves (por ejemplo seguridad y notificación de violaciones de seguridad) y de 20 millones de euros o el 4 % para las más graves (por ejemplo principios básicos, bases jurídicas, derechos de los interesados). En Italia las sanciones valen también para los organismos públicos: el Garante ha sancionado, por ejemplo, a servicios sanitarios y ayuntamientos (art. 166 del Codice).
Quien sufre un daño puede pedir una indemnización (art. 82 del RGPD).
Los delitos
El Codice prevé delitos (art. 167 y siguientes). El tratamiento ilícito de datos (art. 167) se castiga con prisión de seis meses a un año y seis meses, o de uno a tres años en el caso de datos especiales, datos sobre delitos y transferencias ilícitas al extranjero. Hace falta que el hecho infrinja ciertas normas del Codice, se cometa para obtener un beneficio o para perjudicar al interesado y cause un daño. Hay también delitos por la difusión ilícita y la adquisición fraudulenta de datos a gran escala (arts. 167-bis y 167-ter). Quien vende listas de clientes, por ejemplo, responde personalmente, además de en el plano disciplinario.
Qué debe hacer todavía el empleador
Este curso no sustituye los deberes del responsable. El empleador debe todavía:
- designar por escrito a quienes tratan los datos y darles instrucciones (art. 29 del RGPD, art. 2-quaterdecies del Codice);
- redactar las cláusulas informativas y llevar el registro de actividades de tratamiento, donde se exija;
- establecer procedimientos internos sobre accesos, conservación, solicitudes y violaciones de seguridad;
- regular las relaciones con los encargados externos (art. 28), evaluar los riesgos, hacer una evaluación de impacto donde haga falta (art. 35) y nombrar un DPD en los casos previstos.
La ley no prescribe un curso ni un certificado concretos. Es el empleador quien decide qué formación necesita su organización.