La notizia è già ormai nota. Ma l’eco e l’attenzione che ne deriva, anche come monito e indicazione per tutte le piattaforme di Food Delivery, è certamente di interesse.
Con ordinanza del 10 giugno 2021, a seguito di una lunga attività ispettiva iniziata nel luglio 2019 – la cui durata è stata anche causata dal necessario coinvolgimento dell’autorità spagnola (AEPD), considerato il trattamento transfrontaliero dei dati e quindi la necessità di uno scambio continuo delle informazioni. Ha fatto seguito il relativo procedimento avviato nel novembre 2020. L’Autorità Garante per la Protezione dei Dati Personali ha ingiunto alla società Foodinho, controllata dalla spagnola GlovoApp23, il pagamento di una sanzione amministrativa pecuniaria pari a 2.600.000 euro per la violazione di numerose disposizioni di cui al Regolamento (GDPR). Oltre alla sanzione amministrativa pecuniaria, l’Autorità ha inoltre ingiunto alla società l’obbligo di adeguare la propria policy privacy al Regolamento laddove questa è risultata non in compliance.
Le violazioni della privacy e dello statuto dei lavoratori
Il Garante ha infatti rilevato una serie di gravi illeciti nel trattamento dei dati personali dei rider effettuato dalla società. Tra questi una mancata trasparenza nella gestione degli stessi, in particolare riguardo agli algoritmi utilizzati per la gestione dei lavoratori e dei turni, effettuata attraverso una piattaforma digitale.
Sono stati inoltre riscontrate da parte del Garante violazioni dello statuto dei lavoratori e della recente normativa a tutela dei lavoratori del settore.
Nella quantificazione della sanzione pecuniaria, tra i molteplici illeciti individuati, ha rivestito carattere prevalente, anche in relazione alla natura, gravità e durata, l’accertata violazione dell’art. 5 del Regolamento (che individua i principi fondamentali applicabili al trattamento dei dati personali), in quanto relativa all’inosservanza di una pluralità di principi di carattere generale applicabili al trattamento degli stessi, in particolare al principio di trasparenza, liceità e correttezza (anche con riferimento alle disposizioni specifiche relative ai trattamenti nell’ambito dei rapporti di lavoro e al lavoro mediante piattaforme digitali).
Oltre a ciò, durante il procedimento, come riflesso nel provvedimento, il Garante ha comunque considerato rilevante la violazione di ulteriori numerose disposizioni in materia di protezione dei dati personali, tra cui:
– la non corretta predisposizione dei documenti contenenti l’informativa fornita ai rider, in quanto incompleti, errati o non sufficientemente chiari, ad esempio in relazione ai tempi di conservazione dei dati stessi ovvero alla omessa indicazione delle modalità del trattamento dei dati relativi alla posizione geografica o della tipologia dei dati raccolti
– mancato riferimento al trattamento automatizzato, compresa l’attività di profilazione (preordinata all’assegnazione di punteggio al rider al fine di determinare una priorità nella prenotazione degli slot)
– violazione del principio di privacy by design e by default
– la non corretta gestione del registro dei trattamenti dei dati
– la non corretta adozione di adeguate misure di sicurezza
– la violazione delle disposizioni in materia di valutazione d’impatto
– la mancata comunicazione all’Autorità dei dati di contatto del responsabile della protezione dati.
Il provvedimento e le sanzioni
Dall’esame del provvedimento, si evince che Foodinho, ad esempio, non avesse adeguatamente informato i lavoratori sul funzionamento del sistema, non assicurando, nel contempo, garanzie sull’esattezza e la correttezza dei risultati dei sistemi algoritmici utilizzati per la valutazione dei rider. Inoltre, sempre secondo il Garante, la società non avrebbe nemmeno garantito specifiche procedure per tutelare il diritto di ottenere l’intervento umano, esprimere la propria opinione e contestare le decisioni adottate mediante l’utilizzo degli algoritmi in questione, compresa la possibile esclusione di una parte dei rider dalle occasioni di lavoro.
Oltre alla sanzione pecuniaria e all’obbligo di conformarsi al Regolamento, il Garante ha quindi imposto a Foodinho di individuare una serie misure atte alla tutela dei diritti e delle libertà dei rider a fronte di decisioni automatizzate (compresa la profilazione), prescrivendo di verificare l’esattezza e la pertinenza dei dati utilizzati dal sistema (chat, email e telefonate intercorse tra i rider e il customer care, geolocalizzazione e visualizzazione su mappa del percorso, tempi di consegna stimati ed effettivi, dettagli sulla gestione dell’ordine in corso e di quelli già effettuati, feedback di clienti e partner, livello della batteria rimanente del dispositivo). Il Garante ha inoltre precisato che Foodinho dovrà modificare il trattamento dati dei propri rider e verificare che gli algoritmi di assegnazione degli ordini non producano forme di discriminazione dei lavoratori. Ciò anche allo scopo di minimizzare il rischio di errori e di distorsioni che potrebbero, come detto, portare alla limitazione delle consegne assegnate a ciascun rider o all’esclusione stessa dalla piattaforma.
Le conclusioni
Come è evidente, si tratta di un importante
(e primo) provvedimento che evidenzia come le modalità di gestione delle attività dei rider unitamente alla gestione del trattamento dei loro dati personali necessitano tutte di un’attenta presa di coscienza e attenta gestione, non solo sotto il profilo della privacy e della sua compliance ma anche sotto il profilo della normativa giuslavoristica e della tutela dei lavoratori in generale.
