Computerul, telefonul, poșta electronică, cardul de acces, camerele de supraveghere și GPS-ul pot colecta multe date despre angajați. Această lecție explică regulile italiene privind controalele la distanță și ce riscă firma și cei care prelucrează date.
Controlul la distanță al lucrătorilor
Art. 4 din Statuto dei lavoratori (Statutul lucrătorilor, legea 300/1970, în textul în vigoare) distinge două cazuri.
1. Instalațiile audiovizuale și alte instrumente din care rezultă și posibilitatea controlului la distanță (de exemplu camerele de supraveghere). Pot fi folosite numai pentru nevoi organizatorice și de producție, securitatea muncii, protejarea patrimoniului firmei. Pentru instalarea lor este nevoie de un acord cu reprezentanțele sindicale (RSU sau RSA; pentru firmele cu sedii în mai multe provincii sau regiuni, cu sindicatele cele mai reprezentative la nivel național). Fără acord este nevoie de autorizația Ispettorato nazionale del lavoro (INL, Inspectoratul național al muncii).
2. Instrumentele folosite de lucrător pentru a-și presta munca (computer, telefon de serviciu, poștă electronică) și instrumentele de înregistrare a accesurilor și a prezenței (card de acces). Aici nu sunt necesare nici acord, nici autorizație.
În ambele cazuri (alin. 3) datele colectate pot fi folosite pentru toate scopurile legate de raportul de muncă, inclusiv cele disciplinare, numai dacă lucrătorul a primit informații adecvate despre modul de utilizare a instrumentelor și despre modul în care se fac controalele, cu respectarea Codice privacy. Art. 114 din Codice trimite la art. 4 din Statuto.
Ce înseamnă pentru dumneavoastră
- Un angajat are dreptul să știe ce instrumente pot înregistra date despre sine și cum sunt folosite. Trebuie să explice acest lucru nota de informare sau un regulament intern.
- Fără informarea prevăzută, firma nu poate folosi acele date împotriva unui lucrător.
- Controalele generalizate și continue ale poștei sau ale navigării contravin principiilor necesității și proporționalității (a se vedea liniile directoare ale Garante privind poșta electronică și internetul din 2007).
- În telemuncă și în munca agilă angajatorul trebuie să respecte personalitatea și libertatea morală a lucrătorului (art. 115 din Codice).
- Garante a considerat în mai multe rânduri disproporționată înregistrarea prezenței cu amprente digitale și a sancționat firme și instituții care o făceau fără o normă care să o permită. Consimțământul angajaților nu este suficient.
Dacă administrați aceste sisteme (informatică, personal), nu aveți puterea de a controla un coleg din proprie inițiativă: o puteți face doar potrivit regulilor și sarcinilor atribuite de firmă.
Garante și sancțiunile
Garante poate, printre altele, să avertizeze, să limiteze sau să interzică o prelucrare, să ordone respectarea drepturilor persoanelor vizate și să aplice sancțiuni administrative (art. 58 și art. 83 GDPR). Maximul este de 10 milioane de euro sau 2 % din cifra de afaceri anuală mondială pentru încălcările mai puțin grave (de exemplu securitatea și notificarea încălcărilor) și de 20 de milioane de euro sau 4 % pentru cele mai grave (de exemplu principiile de bază, temeiurile legale, drepturile persoanelor vizate). În Italia sancțiunile se aplică și instituțiilor publice: Garante a sancționat, de exemplu, unități sanitare și primării (art. 166 din Codice).
Cine suferă un prejudiciu poate cere despăgubiri (art. 82 GDPR).
Infracțiunile
Codice prevede infracțiuni (art. 167 și următoarele). Prelucrarea ilegală a datelor (art. 167) se pedepsește cu închisoare de la șase luni la un an și șase luni, sau de la unu la trei ani pentru categorii speciale de date, date privind infracțiuni și transferuri ilegale în străinătate. Este necesar ca fapta să încalce anumite norme din Codice, să fie săvârșită pentru profit sau pentru a-i aduce un prejudiciu persoanei vizate și să cauzeze un prejudiciu. Există și infracțiuni pentru difuzarea ilegală și obținerea frauduloasă de date la scară largă (art. 167-bis și 167-ter). Cine vinde liste de clienți, de exemplu, răspunde personal, pe lângă răspunderea disciplinară.
Ce mai trebuie să facă angajatorul
Acest curs nu înlocuiește sarcinile operatorului. Angajatorul trebuie în continuare:
- să desemneze în scris cine prelucrează datele și să dea instrucțiuni (art. 29 GDPR, art. 2-quaterdecies din Codice);
- să redacteze notele de informare și să țină evidența activităților de prelucrare, acolo unde se cere;
- să stabilească proceduri interne privind accesul, păstrarea, cererile și încălcările;
- să reglementeze relațiile cu persoanele împuternicite externe (art. 28), să evalueze riscurile, să facă o evaluare a impactului acolo unde este nevoie (art. 35) și să numească un DPO în cazurile prevăzute.
Legea nu prescrie un curs sau un certificat anume. Angajatorul decide ce instruire este necesară organizației sale.