Комп’ютери, телефони, електронна пошта, бейджі, камери та GPS можуть збирати багато даних про працівників. Цей урок пояснює італійські правила про дистанційний контроль і те, чим ризикують компанія та ті, хто обробляє дані.
Дистанційний контроль працівників
Ст. 4 Statuto dei lavoratori (закон 300/1970 у чинній редакції) розрізняє два випадки.
1. Аудіовізуальні установки та інші засоби, що дають також змогу дистанційного контролю (наприклад, камери). Їх можна використовувати лише для організаційних і виробничих потреб, безпеки праці, захисту майна компанії. Для встановлення потрібна угода з представництвами профспілок (RSU або RSA; для компаній із підрозділами в кількох провінціях чи регіонах — з профспілками, найбільш представницькими на національному рівні). Без угоди потрібен дозвіл Ispettorato nazionale del lavoro (INL, італійської Національної інспекції праці).
2. Засоби, якими працівник користується для виконання роботи (комп’ютер, службовий телефон, електронна пошта), і засоби реєстрації доступу та присутності (бейдж). Тут не потрібні ні угода, ні дозвіл.
В обох випадках (п. 3) зібрані дані можна використовувати для всіх цілей, пов’язаних із трудовими відносинами, зокрема дисциплінарних, лише якщо працівникові надано належну інформацію про те, як використовують засоби і як відбуваються перевірки, та з дотриманням Codice privacy. Ст. 114 Codice відсилає до ст. 4 Statuto.
Що це означає для вас
- Працівник має право знати, які засоби можуть записувати дані про нього і як їх використовують. Це має пояснювати повідомлення про конфіденційність або внутрішній регламент.
- Без передбаченої інформації компанія не може використати ці дані проти працівника.
- Суцільний і постійний контроль пошти чи перегляду сторінок суперечить принципам необхідності й пропорційності (див. настанови Garante щодо електронної пошти й інтернету 2007 року).
- У телероботі й гнучкій роботі роботодавець має поважати особистість і моральну свободу працівника (ст. 115 Codice).
- Garante неодноразово вважав непропорційним облік присутності за відбитками пальців і штрафував компанії та установи, які робили це без норми, що це дозволяє. Згоди працівників недостатньо.
Якщо ви адмініструєте такі системи (ІТ, кадри), ви не маєте права контролювати колегу з власної ініціативи: це можна робити лише за правилами та завданнями, призначеними компанією.
Garante і санкції
Garante може, зокрема, оголосити попередження, обмежити або заборонити обробку, наказати задовольнити права суб’єктів даних і накласти адміністративні штрафи (ст. 58 і 83 GDPR). Максимум становить 10 мільйонів євро або 2 % світового річного обороту за менш тяжкі порушення (наприклад, безпека та повідомлення про порушення) і 20 мільйонів євро або 4 % за найтяжчі (наприклад, основні принципи, правові підстави, права суб’єктів даних). В Італії штрафи діють і для публічних органів: Garante штрафував, наприклад, медичні установи й муніципалітети (ст. 166 Codice).
Хто зазнав шкоди, може вимагати відшкодування (ст. 82 GDPR).
Злочини
Codice передбачає злочини (ст. 167 і наступні). Незаконна обробка даних (ст. 167) карається позбавленням волі від шести місяців до року й шести місяців, а для спеціальних категорій даних, даних про правопорушення та незаконних передач за кордон — від одного до трьох років. Потрібно, щоб діяння порушувало певні норми Codice, було вчинене заради вигоди або щоб завдати шкоди суб’єкту даних і спричинило шкоду. Є також злочини щодо незаконного поширення та шахрайського здобуття даних у великому масштабі (ст. 167-bis і 167-ter). Хто, наприклад, продає списки клієнтів, відповідає особисто, а не лише в дисциплінарному порядку.
Що ще має зробити роботодавець
Цей курс не замінює обов’язків контролера. Роботодавець і далі має:
- письмово призначити тих, хто обробляє дані, і дати їм вказівки (ст. 29 GDPR, ст. 2-quaterdecies Codice);
- підготувати повідомлення про конфіденційність та вести реєстр операцій обробки, де це потрібно;
- встановити внутрішні процедури щодо доступу, зберігання, запитів і порушень;
- врегулювати відносини із зовнішніми обробниками (ст. 28), оцінити ризики, провести оцінку впливу на захист даних, де це потрібно (ст. 35), і призначити DPO у передбачених випадках.
Закон не приписує якогось конкретного курсу чи сертифіката. Яке навчання потрібне його організації, вирішує роботодавець.