Komputery, telefony, poczta elektroniczna, karty wejściowe, kamery i GPS mogą zbierać wiele danych o pracownikach. Ta lekcja wyjaśnia włoskie przepisy o kontroli na odległość oraz to, czym ryzykują firma i osoby przetwarzające dane.
Kontrola pracowników na odległość
Art. 4 Statuto dei lavoratori (ustawa 300/1970, w obecnie obowiązującym brzmieniu) rozróżnia dwa przypadki.
1. Urządzenia audiowizualne i inne narzędzia, z których wynika także możliwość kontroli na odległość (na przykład kamery). Można ich używać tylko dla potrzeb organizacyjnych i produkcyjnych, bezpieczeństwa pracy i ochrony mienia firmy. Do ich zainstalowania potrzebne jest porozumienie z przedstawicielstwami związkowymi (RSU lub RSA; dla firm z oddziałami w kilku prowincjach lub regionach, z najbardziej reprezentatywnymi związkami na szczeblu krajowym). Bez porozumienia potrzebne jest zezwolenie Ispettorato nazionale del lavoro (INL, włoskiej Krajowej Inspekcji Pracy).
2. Narzędzia, których pracownik używa do wykonywania pracy (komputer, telefon służbowy, poczta elektroniczna) oraz narzędzia do rejestrowania wejść i obecności (karta wejściowa). Tu nie potrzeba ani porozumienia, ani zezwolenia.
W obu przypadkach (ust. 3) zebrane dane można wykorzystać do wszystkich celów związanych ze stosunkiem pracy, także dyscyplinarnych, tylko jeśli pracownik otrzymał odpowiednią informację o sposobie korzystania z narzędzi i o sposobie przeprowadzania kontroli oraz przy poszanowaniu Codice privacy. Art. 114 Codice odsyła do art. 4 Statuto.
Co to znaczy dla ciebie
- Pracownik ma prawo wiedzieć, jakie narzędzia mogą rejestrować dane o nim i jak są one wykorzystywane. Powinna to wyjaśniać informacja o prywatności lub regulamin firmy.
- Bez wymaganej informacji firma nie może wykorzystać tych danych przeciwko pracownikowi.
- Powszechna i ciągła kontrola poczty lub przeglądania stron sprzeciwia się zasadom konieczności i proporcjonalności (zob. wytyczne Garante dotyczące poczty elektronicznej i internetu z 2007 r.).
- W telepracy i pracy zdalnej pracodawca musi szanować osobowość i wolność moralną pracownika (art. 115 Codice).
- Garante wielokrotnie uznawał za nieproporcjonalne rejestrowanie obecności odciskami palców i karał firmy oraz instytucje, które robiły to bez przepisu na to zezwalającego. Zgoda pracowników nie wystarcza.
Jeśli administrujesz takimi systemami (informatyka, kadry), nie masz uprawnienia, by z własnej inicjatywy kontrolować współpracownika: możesz to robić tylko zgodnie z zasadami i zadaniami wyznaczonymi przez firmę.
Garante i kary
Garante może między innymi udzielić upomnienia, ograniczyć lub zakazać przetwarzania, nakazać spełnienie praw osób, których dane dotyczą, i nałożyć administracyjne kary pieniężne (art. 58 i 83 RODO). Maksimum to 10 milionów euro lub 2 % całkowitego rocznego światowego obrotu za naruszenia mniej poważne (na przykład bezpieczeństwo i zgłaszanie naruszeń) oraz 20 milionów euro lub 4 % za najpoważniejsze (na przykład podstawowe zasady, podstawy prawne, prawa osób, których dane dotyczą). We Włoszech kary dotyczą także podmiotów publicznych: Garante ukarał na przykład jednostki ochrony zdrowia i gminy (art. 166 Codice).
Kto poniósł szkodę, może żądać odszkodowania (art. 82 RODO).
Przestępstwa
Codice przewiduje przestępstwa (art. 167 i następne). Niezgodne z prawem przetwarzanie danych (art. 167) jest zagrożone karą pozbawienia wolności od sześciu miesięcy do roku i sześciu miesięcy, a w przypadku danych szczególnych kategorii, danych o przestępstwach i niezgodnych z prawem transferów za granicę od roku do trzech lat. Potrzeba, by czyn naruszał określone przepisy Codice, został popełniony w celu osiągnięcia zysku lub wyrządzenia szkody osobie, której dane dotyczą, i spowodował szkodę. Są też przestępstwa dotyczące niezgodnego z prawem rozpowszechniania i oszukańczego pozyskiwania danych na dużą skalę (art. 167-bis i 167-ter). Kto na przykład sprzedaje listy klientów, odpowiada osobiście, a nie tylko dyscyplinarnie.
Co jeszcze musi zrobić pracodawca
Ten kurs nie zastępuje obowiązków administratora. Pracodawca nadal musi:
- upoważnić na piśmie osoby przetwarzające dane i dać im polecenia (art. 29 RODO, art. 2-quaterdecies Codice);
- przygotować informacje o prywatności i prowadzić rejestr czynności przetwarzania tam, gdzie jest wymagany;
- ustalić wewnętrzne procedury dotyczące dostępu, przechowywania, wniosków i naruszeń;
- uregulować stosunki z zewnętrznymi podmiotami przetwarzającymi (art. 28), ocenić ryzyko, przeprowadzić ocenę skutków dla ochrony danych tam, gdzie trzeba (art. 35), i wyznaczyć IOD w przewidzianych przypadkach.
Prawo nie nakazuje żadnego konkretnego kursu ani certyfikatu. To pracodawca decyduje, jakie szkolenie jest potrzebne jego organizacji.