L’utilizzo dello smartphone personale per finalità lavorative è una pratica sempre più diffusa, spesso presentata come una soluzione comoda, flessibile e apparentemente innocua.
In realtà, quando il dispositivo privato del lavoratore entra stabilmente nell’organizzazione aziendale, il tema non è più soltanto tecnologico o gestionale. Diventa un tema giuridico, organizzativo e, prima ancora, di tutela della persona.
Lo smartphone personale, infatti, non è un semplice strumento di lavoro. È un contenitore di dati, abitudini, relazioni, immagini, spostamenti, comunicazioni e informazioni che appartengono alla sfera più intima dell’individuo. Per questo motivo, l’impresa che pretende o induce il lavoratore a utilizzare il proprio telefono per svolgere l’attività lavorativa deve interrogarsi con particolare attenzione sui limiti di liceità, proporzionalità e trasparenza del trattamento dei dati personali.
Un recente provvedimento dell’Autorità spagnola per la protezione dei dati personali, l’AEPD, offre uno spunto molto significativo. L’Autorità ha sanzionato Ares Capital S.A., società operante nel settore del trasporto privato di passeggeri, per avere richiesto ai propri conducenti l’utilizzo del telefono personale e l’installazione di applicazioni necessarie allo svolgimento dell’attività lavorativa.
Secondo quanto emerso nel procedimento, tali applicazioni non si limitavano a consentire la gestione ordinaria del servizio, ma comportavano trattamenti molto ampi: geolocalizzazione, accesso a immagini, video, informazioni personali e, in alcuni casi, anche dati riconducibili allo stato fisico o all’attività dell’utente.
Il punto centrale della decisione non è, quindi, l’uso della tecnologia in sé. Il problema nasce quando lo strumento tecnologico consente una raccolta di dati eccedente rispetto alle finalità dichiarate.
Il GDPR, all’art. 5, paragrafo 1, lettera c), impone il principio di minimizzazione: i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. In ambito lavorativo questo principio assume un rilievo particolarmente delicato, perché si inserisce in un rapporto fisiologicamente asimmetrico, nel quale il lavoratore difficilmente può ritenersi realmente libero di opporsi a richieste provenienti dal datore di lavoro.
È proprio questo uno degli aspetti più importanti del caso esaminato dall’Autorità spagnola. La società sosteneva che i lavoratori potessero scegliere tra l’utilizzo di un dispositivo aziendale e quello del proprio telefono personale. Tuttavia, la disponibilità dei dispositivi aziendali risultava limitata e subordinata alle risorse dell’impresa. Di conseguenza, quella che formalmente appariva come una scelta poteva tradursi, nella pratica, in una soluzione quasi obbligata.
Questo passaggio è essenziale anche per comprendere il tema del consenso nel rapporto di lavoro. Il consenso, per essere valido ai sensi del GDPR, deve essere libero, specifico, informato e inequivocabile. Ma nel contesto lavorativo la libertà della manifestazione di volontà deve essere valutata con particolare rigore, perché il lavoratore può trovarsi nella condizione di accettare trattamenti invasivi per timore di conseguenze sulla propria posizione professionale.
Il provvedimento richiama quindi un principio molto concreto: il datore di lavoro non può trasferire sul dipendente i costi organizzativi, economici e privacy degli strumenti necessari all’attività lavorativa.
Quando l’impresa decide di adottare modelli BYOD, cioè “Bring Your Own Device”, consentendo o richiedendo l’utilizzo di dispositivi personali per finalità aziendali, non può limitarsi a una scelta di comodità. Deve predisporre regole chiare, informative complete, misure tecniche adeguate, limiti precisi all’accesso ai dati e una valutazione effettiva della proporzionalità degli strumenti utilizzati.
In Italia, a questo quadro si aggiunge anche la necessità di considerare l’art. 4 dello Statuto dei lavoratori, che disciplina gli strumenti dai quali possa derivare un controllo a distanza dell’attività dei dipendenti. Ogni tecnologia impiegata nel contesto lavorativo deve quindi essere valutata non solo sotto il profilo della protezione dei dati personali, ma anche rispetto ai limiti del potere datoriale di controllo.
Le criticità non sono astratte. L’uso promiscuo del telefono personale può comportare la commistione tra dati privati e dati aziendali, l’installazione di applicazioni invasive, l’accesso indiretto a contatti personali, immagini o informazioni non pertinenti, rischi di sicurezza informatica, difficoltà nella gestione della cancellazione dei dati e problemi collegati al diritto alla disconnessione.
La tecnologia può certamente rendere il lavoro più efficiente, ma non può diventare una scorciatoia per comprimere i diritti fondamentali delle persone. L’efficienza organizzativa non giustifica trattamenti sproporzionati, opachi o eccedenti rispetto allo scopo.
Per le imprese, il messaggio è chiaro: prima di introdurre applicazioni, sistemi di geolocalizzazione, strumenti digitali o modelli BYOD, occorre svolgere una valutazione seria e documentata. Non basta chiedersi se uno strumento sia utile. Occorre domandarsi se sia necessario, proporzionato, trasparente e rispettoso della dignità del lavoratore.
La protezione dei dati personali, soprattutto nei rapporti di lavoro, non è un ostacolo all’organizzazione aziendale. È una condizione di correttezza, sostenibilità e fiducia.
E proprio la fiducia dovrebbe essere il primo indicatore di un’organizzazione ben costruita: un’impresa che pretende trasparenza dai lavoratori deve essere, a sua volta, trasparente nel modo in cui utilizza i loro dati.
