Una sanzione da 200mila euro e un caso che torna a mettere sotto i riflettori un tema sempre più delicato: fin dove può spingersi il controllo aziendale quando il lavoro passa anche dai dispositivi personali dei dipendenti?

A riaprire il dibattito è stata l’Agenzia Spagnola per la Protezione dei Dati (AEPD), che ha colpito Ares Capital S.A., società operante nel trasporto privato con conducente, per aver imposto ai propri autisti l’installazione di fino a quattro applicazioni di monitoraggio sui loro smartphone personali.

Il procedimento è partito dalla denuncia presentata il 23 luglio 2024 da uno dei lavoratori. Da lì è emerso un quadro che, secondo l’Autorità spagnola, andava ben oltre qualsiasi esigenza organizzativa ragionevole.

Il telefono personale trasformato in strumento di sorveglianza

Le applicazioni richieste dall’azienda permettevano una raccolta continua e capillare di dati: geolocalizzazione in tempo reale, chiamate, messaggi, fotografie, registrazioni audio e video, fino ad arrivare a informazioni sullo stato fisico e sulla salute dei conducenti.

Non solo. Ai dipendenti era vietato modificare permessi e impostazioni delle app. In pratica, il dispositivo personale del lavoratore finiva per diventare uno strumento di controllo permanente.

Per l’AEPD le violazioni erano chiare e distinte: principio di minimizzazione violato, assenza di una valida base giuridica e carenza di trasparenza informativa verso i lavoratori. Il cuore del problema, però, va oltre il singolo caso. Riguarda il modo in cui molte organizzazioni stanno gestendo il rapporto tra tecnologia, efficienza operativa e diritti fondamentali.

BYOD: una comodità che può trasformarsi in rischio

L’uso di dispositivi personali per finalità di lavoro — il cosiddetto BYOD, Bring Your Own Device — è ormai diffuso in moltissimi contesti. È pratico, rapido, spesso anche conveniente. Ma proprio questa apparente semplicità rischia di far dimenticare che, quando l’azienda entra nello smartphone del dipendente, entra anche in una sfera privata che merita tutele molto forti.

È qui che una policy BYOD non può ridursi a poche regole interne o a un modulo firmato in fretta. Serve una disciplina chiara, capace di stabilire quali dati aziendali possono transitare sul dispositivo personale, per quali finalità e con quali limiti.

Ancora più importante è la separazione tra vita privata e attività lavorativa. Se questa barriera non esiste davvero, il confine tra organizzazione del lavoro e controllo invasivo diventa estremamente fragile. Per questo le aziende dovrebbero adottare strumenti che isolino in modo netto l’ambiente aziendale da quello personale, evitando che software e sistemi di gestione si estendano all’intero contenuto del telefono.

Il vero nodo è la sproporzione

Il punto più critico del caso spagnolo è forse anche il più semplice da capire: per far svolgere un servizio di trasporto non serve sapere tutto della vita digitale del lavoratore.

Ed è proprio qui che entra in gioco il principio di minimizzazione, uno dei cardini del GDPR, secondo cui i dati trattati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite . Nel caso esaminato, invece, la quantità e la qualità delle informazioni raccolte apparivano chiaramente sproporzionate rispetto all’attività da svolgere.

Il principio di minimizzazione, però, non è solo una regola giuridica: è soprattutto una scelta di progettazione. Significa pensare strumenti e processi in modo che raccolgano il meno possibile, fin dall’inizio. Significa che i permessi richiesti da un’app non possono essere “preventivamente totali”, ma devono essere giustificati uno per uno. Significa, in sostanza, applicare davvero la logica del Privacy by Design e by Default.

Prima della tecnologia viene la valutazione

C’è poi un altro aspetto che il caso Ares Capital rende evidente: le tecnologie di monitoraggio non si dovrebbero introdurre mai in modo automatico o superficiale. Prima viene la domanda essenziale: è davvero necessario? E, subito dopo: è proporzionato?

In scenari come questi, una mappatura dei flussi di dati e una valutazione di impatto non sono un passaggio meramente formale, ma uno strumento decisivo per capire se l’organizzazione sta entrando in una zona di rischio elevato. Le linee guida sulla DPIA ricordano infatti che la valutazione serve proprio a descrivere il trattamento, verificarne necessità e proporzionalità e gestire i rischi per i diritti e le libertà delle persone . Anche i materiali organizzativi caricati evidenziano, nei casi di sistemi automatizzati e monitoraggio dei lavoratori, la necessità di mappare trattamenti, aggiornare informative e verificare se la DPIA sia necessaria o da integrare .

Il DPO non può essere una presenza simbolica

C’è poi il tema, spesso evocato ma non sempre affrontato sul serio, del ruolo del DPO.

Nel caso spagnolo non sappiamo se il Data Protection Officer sia stato realmente coinvolto né se abbia espresso un parere. Ma di fronte a criticità così evidenti viene spontaneo chiedersi se quel presidio sia stato ignorato, marginalizzato o semplicemente non ascoltato.

È un problema molto concreto. In molte organizzazioni il DPO esiste formalmente, ma arriva tardi nei processi decisionali, quando le scelte sono già state fatte. Così diventa una figura consultata per adempimento, non un soggetto realmente capace di incidere.

Invece il punto è proprio questo: la protezione dei dati non si regge sulla sola presenza di un DPO, ma sulla qualità della governance che lo circonda. IT, HR, compliance e direzione devono dialogare davvero. Altrimenti il rischio è che la privacy resti confinata nei documenti, mentre le decisioni operative seguono tutt’altra logica.

Il diritto alla disconnessione come spartiacque

Un altro elemento centrale, richiamato anche nel provvedimento spagnolo, è il diritto alla disconnessione. Perché quando il lavoro passa attraverso il telefono personale, il rischio di una reperibilità continua e di una sorveglianza che si prolunga oltre l’orario di servizio diventa molto concreto.

Ed è proprio qui che si misura la maturità di un’organizzazione: nella capacità di usare strumenti digitali senza trasformarli in un’estensione permanente del controllo datoriale.

La lezione che arriva da questo caso

Il caso Ares Capital non racconta solo una sanzione. Racconta qualcosa di più ampio: la difficoltà, ancora molto attuale, di trovare un equilibrio tra innovazione organizzativa, esigenze di business e rispetto della dignità dei lavoratori.

La vera lezione è che le misure organizzative non sono ostacoli burocratici. Sono, al contrario, il modo più concreto per evitare che l’efficienza tecnologica degeneri in sorveglianza eccessiva.

Quando si parla di BYOD, monitoraggio e app aziendali, la questione non è solo cosa la tecnologia consente di fare. La questione è cosa, in uno Stato di diritto e in un’organizzazione sana, sia legittimo fare davvero.

Articolo ripreso da Federprivacy