Tempo di lettura stimato: 6'
C’è un limite all’uso di strumenti relativi al controllo delle prestazioni dei lavoratori? Quali sono gli impatti sul GDPR? Sono domande complesse. Soprattutto toccano due temi che si incrociano spesso e sempre di più: il Regolamento europeo per la protezione dei dati e il diritto del lavoro.
L’abbiamo visto col Decreto Trasparenza, l’abbiamo visto col whistleblowing, con la questione delle e-mail dei dipendenti… E torniamo a vederlo in un caso emblematico: un provvedimento del Garante francese – il CNIL – contro Amazon France, che ha portato a una multa di 32 milioni di euro.
Dato che l’argomento è molto tecnico per un GDPR Jedi come me, ne ho parlato con Barbara Sabellico, Avvocato, DPO, esperta di Privacy che, proprio su Raise Academy ha tenuto una FAD dal titolo “Monitoraggio invasivo delle performance dei lavoratori, sanzione da 32 milioni di euro ad Amazon”.
Eccesso di controllo e sanzione stellare: il perché della multa ad Amazon
Andrea Chiozzi: Barbara, parliamo di controllo dei lavoratori. C’è stato di recente un caso importante in Francia…
Avvocato Sabellico: Sì, Amazon France, nel dicembre del 2023 è stata multata per 32 milioni di euro dal Garante francese. Il provvedimento deriva da un'ispezione che parte da lontano – cioè, dal 2019, immagina quanto tempo ci è voluto per andare a ricostruire la storia… – e che nasce da una serie di segnalazioni dei lavoratori di Amazon France che denunciavano le condizioni di lavoro che l’azienda applicava all'interno dei suoi magazzini.
Andrea Chiozzi: E adesso che si parla solo di whistleblowing, ce li vedo io tutti lì con la paura che qualcuno possa, non tanto andare dal Garante, quanto segnalare un illecito per altre vie…
Avvocato Sabellico: E in questo caso, infatti, il Garante ha accertato che il datore di lavoro, Amazon, nella sorveglianza delle attività lavorative dei dipendenti ha dimostrato un eccesso di controllo rispetto alle norme di legge. La sanzione è stata emessa il 27 dicembre 2023. Quando se ne parlava sui giornali, addirittura si prospettavano 70 milioni di euro di multa. La cifra è importante, ma ricordiamoci sempre il colosso che abbiamo di fronte.
Andrea Chiozzi: Un bel regalo di Natale…
Avvocato Sabellico: Infatti, e comunque, se ragioniamo sui fatturati che fa, vediamo che è sicuramente una sanzione punitiva, però credo che rappresenti solo l'inizio di quello che succederà fra i vari Amazon in Europa. Ed è significativo che il provvedimento sia stato emesso da una delle autorità garanti più autorevoli in giro per l’UE. Amazon ha già detto che non è assolutamente d'accordo con questo provvedimento. E non è la prima volta che impugna provvedimenti delle autorità nazionali sia in materia di privacy che di concorrenza del mercato. Ma quali sono le osservazioni che l'autorità rileva? È stato sanzionato lo strumento che Amazon usa per controllare i propri lavoratori e il fatto che, per come lo strumento è stato organizzato rispetto al controllo, non lascia la benché minima autodeterminazione al lavoratore stesso. E se guardiamo questo provvedimento nell'alveo del nostro territorio, vediamo che va a impattare su norme che hanno tutela di rango costituzionale.
Monitoraggio sistematico, al secondo
Andrea Chiozzi: Controllo in eccesso, violazione dell’articolo 6 del GDPR, mancata informativa al lavoratore e videosorveglianza… mi pare che le contestazioni siano state parecchie e gravi.
Avvocato Sabellico: Nel caso di Amazon France la violazione è stata importante. Perché? Perché, nei propri magazzini, Amazon utilizza tutto ciò che è possibile - scanner, badge, app, telecamere, GPS... - per verificare le prestazioni di ogni singolo lavoratore. In effetti, la tipologia di controllo che applica Amazon all'interno dei magazzini è estremamente rigida.
Andrea Chiozzi: E se lo dici tu, che conosci bene le aziende e non hai certo paura di dire la tua in loro favore…
Avvocato Sabellico: È di fatto un controllo rigidissimo. Prevede la verifica individuale – e, attenzione, che il controllo sul lavoratore non è aggregato, cioè non si va per reparti o su turni, si va singolarmente su ogni individuo - ma in questa maniera non c'è la benché minima possibilità di pensare all'aspetto umano della prestazione lavorativa. Tanto per dirne una: il sistema allerta ogni volta che il lavoratore è in "non attività" per oltre 10 minuti.
Quindi il controllo è sistematico su ogni lavoratore, dal momento in cui entra al momento in cui esce dall’azienda. A questo si aggiunge, ulteriore violazione, che gli indicatori che vengono utilizzati, per le modalità in cui sono stati programmati, sono stati considerati illegittimi, cioè eccessivi.
L'altra gravità nel comportamento di Amazon è di avere tempi di conservazione molto alti (31 giorni). Di fatto, quello che avviene in maniera assolutamente malcelata è proprio di controllare singolarmente il lavoratore. Nonostante Amazon abbia cercato di nascondere questa tipologia di controllo dichiarando che si tratta di un controllo di qualità e sicurezza, durante l'ispezione, l'Autorità ha rilevato che, a questo scopo, è sufficiente una settimana di conservazione. E ha rilevato che non sia necessario controllare ogni singolo lavoratore, basterebbe concentrare i controlli su turni.
Andrea Chiozzi: Quali sono gli indicatori che il Garante ha ritenuto illegittimi?
Avvocato Sabellico: Al fine di verificare la correttezza nell'esecuzione della prestazione, Amazon guarda 3 cose:
- Se la scansione del pacco avviene all'interno di un determinato range temporale: Staw Machine Gun. Il sistema segnala un’anomalia quando il dipendente scansiona un articolo troppo velocemente rispetto al precedente (1,35 secondi tra uno scan e l’altro: al di sotto di questo parametro la scansione è troppo veloce). È una funzionalità ritenuta utile da Amazon perché un ritmo troppo elevato di scansione peggiora la lettura dei codici a barre e quindi può causare errori. Ma questo significa monitorare l'attività del dipendente sulla scala temporale del secondo.
- Se l'interruzione durante il turno supera i 10 minuti: lo scanner manda un segnale quando l’operatore rimane inattivo per circa 10 minuti.
- Se vi è un tempo di inattività da 1 a 10 minuti (Latency under 10 minutes)
Di fatto cosa controlla? Controlla se con lo scan vado troppo veloce, se c'è un tempo di inattività superiore ai 10 minuti, ma segnala comunque il tempo di inattività da 1 a 10 minuti. Si tratta di monitoraggio sistematico. Immaginiamo 8 ore con una strumentazione di questa tipologia addosso…
Non solo indicatori. Amazon France ha violato il GDPR
Avvocato Sabellico: Queste funzionalità, dice Amazon, sono utili in termini di qualità e di sicurezza anche dei lavoratori, perché segnalano interruzioni anomale delle attività (se lo scan è inattivo per più di 10 minuti potrebbe essere successo qualcosa: un guasto sugli strumenti usati, un rischio di incendio, un malore del lavoratore). Consentono di monitorare costantemente ogni volta che lo scanner di un dipendente non stia svolgendo un compito diretto, anche per un tempo molto breve sotto i 10 minuti o sopra i 10 minuti.
Ma la rilevazione di questi due indicatori costituisce un eccesso:
- il dipendente potrebbe essere o sentirsi ripetutamente obbligato a dover giustificare la propria latenza dalla mansione;
- i medesimi obiettivi di qualità e sicurezza potrebbero essere perseguiti tramite gli altri numerosi indicatori in tempo reale sia individuali che aggregati di cui l'azienda già dispone.
Non vi è alcuna giustificazione legislativa che possa motivare una tipologia di controllo di questo genere. Perché il Garante francese dice: tutte queste cose potresti farle in modo diverso. Basterebbe fare una verifica su turni.
Andrea Chiozzi: Su che base Amazon ha motivato un trattamento di questo tipo? Ne ha fatto una questione di legittimo interesse?
Avvocato Sabellico: Sì. L'utilizzo di questi indicatori ha comportato una violazione dell'articolo 6 del GDPR, perché Amazon ha fatto un altro errore, sostenendo proprio che la scelta di usarli è basata sull’interesse legittimo. In più, quello che è emerso – fatto gravissimo a mio parere, nel 2023, dato che il GDPR è diventato direttamente applicabile nel 2018 – è che Amazon, come datore di lavoro, non ha dato nessun tipo di informativa ai lavoratori. Forse in Italia una situazione del genere avrebbe portato anche a violazioni di evidenza penale. E, dulcis in fundo, viene violato un altro articolo importante del GDPR: il numero 13. Di fatto, non ti notizio, non te lo dico e per di più chi verifica le immagini nel sistema di videosorveglianza è identificato in maniera assolutamente generica: la password non è abbastanza sicura, l'accesso è addirittura condiviso da più utenti. Le violazioni che ci sono state sono tante e importanti. Amazon si dichiara in disaccordo e dice che questo tipo di controlli è di prassi in tutte le Big Company che si occupano di logistica. Allora, il discrimine, come sempre, non è l’utilizzo dello strumento, ma è come lo utilizzi.
Questo è solo un assaggio!
La formazione completa e aggiornata su GDPR, privacy e cybersecurity è su Raise Academy, l'Accademia di Formazione Efficace di PrivacyLab che coinvolge consulenti e professionisti del GDPR, grazie al connubio tra tecnologia, presenza, competenza, contatto, condivisione e diffusione.
RIPRODUZIONE RISERVATA. Ne è consentito un uso parziale, previa citazione della fonte.
