Premessa

La tutela della dignità e della riservatezza dei lavoratori torna al centro del dibattito pubblico dopo l’intervento del Garante per la protezione dei dati personali nei confronti di Amazon Italia Logistica srl, al quale l’Autorità ha imposto il divieto immediato di trattare i dati personali di oltre 1800 dipendenti operanti nello stabilimento di Passo Corese (Rieti). Il caso rappresenta un precedente di rilevanza nazionale nel settore della logistica e mette in evidenza i limiti invalicabili nella raccolta e gestione delle informazioni sul personale.

L’istruttoria, condotta in collaborazione con l’Ispettorato Nazionale del Lavoro e il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza, ha rivelato un sistema di monitoraggio interno ampio e strutturato, capace di raccogliere dettagli sensibili sulla vita privata, sulla salute e sulle scelte sindacali dei lavoratori. Si tratta di un trattamento definito “invasivo, sistematico e privo di base giuridica” dal Garante, che ha agito in via d’urgenza per impedire ulteriori violazioni.

Dati sensibili e violazioni alla normativa

La società, secondo quanto accertato, aveva predisposto una piattaforma collegata al sistema di rilevazione presenze, all’interno della quale venivano annotate informazioni raccolte durante i colloqui di rientro dei dipendenti dopo periodi di assenza. Tali annotazioni facevano riferimento a patologie specifiche (ad esempio sindrome di Crohn, ernia del disco, portatori di pacemaker), ma anche a dati ancor più delicati come situazioni familiari drammatiche (“padre malato terminale”, “sorella con tumore al cervello”) e circostanze personali come separazioni coniugali o difficoltà private.

Non solo. Dalle verifiche è emerso che venivano registrate anche informazioni sulle attività sindacali e sull’adesione agli scioperi, con una mappatura che rischiava di tradursi in una vera e propria schedatura dei lavoratori, in violazione dell’art. 8 dello Statuto dei Lavoratori (Legge n. 300/1970), che vieta in maniera assoluta la raccolta di dati sulle opinioni politiche, religiose o sindacali dei dipendenti.

La conservazione di tali informazioni, protratta fino a dieci anni dopo la cessazione del rapporto di lavoro, costituisce un’ulteriore aggravante, poiché contrasta sia con il principio di limitazione della conservazione previsto all’art. 5, par. 1, lett. e) del Regolamento generale sulla protezione dei dati (GDPR), sia con quello di minimizzazione dei dati, che impone di trattare solo le informazioni strettamente necessarie al raggiungimento delle finalità dichiarate.

Il Garante: “Stop alla schedatura, tutela della dignità del lavoratore”

Il provvedimento d’urgenza del Garante, notificato ad Amazon con effetto immediato, impone la cessazione di ogni trattamento illecito di questo tipo, non solo nello stabilimento di Passo Corese ma anche in tutti gli altri centri logistici italiani ove siano utilizzati strumenti analoghi. L’Autorità ha inoltre ordinato di interrompere i trattamenti di dati derivanti da quattro telecamere collocate in prossimità di bagni e aree ristoro, luoghi considerati a elevata tutela della privacy dei dipendenti.

Il messaggio che ne deriva è chiaro: la raccolta eccessiva, non giustificata e sproporzionata di dati personali dei lavoratori è vietata, anche quando avvenga mediante strumenti tecnologici presentati come necessari per l’organizzazione aziendale. La tecnologia non può mai essere utilizzata per esercitare un controllo indiretto e costante sull’individuo, né per creare archivi informativi capaci di incidere sulla sua libertà o sulle relazioni sindacali.

Il confine tra gestione organizzativa e controllo illecito

L’evoluzione dei modelli produttivi digitali e del lavoro automatizzato ha portato molte imprese, specialmente nel settore logistico e dell’e-commerce, a potenziare i sistemi informatici per ottimizzare tempi e carichi di lavoro. Tuttavia, il confine tra analisi organizzativa legittima e controllo invasivo della persona è sottile e richiede un bilanciamento costante tra efficienza e diritti fondamentali.

Il GDPR (Regolamento UE 2016/679) stabilisce che il trattamento dei dati debba rispettare i principi di liceità, correttezza, trasparenza, limitazione delle finalità e proporzionalità. Ciò significa che ogni informazione raccolta deve essere strettamente correlata a esigenze gestionali oggettive (ad esempio sicurezza, gestione presenze, salute e sicurezza sul lavoro, valutazione della performance), ma non può estendersi alla sfera privata o sensibile dell’individuo.

Ne consegue che le informazioni su malattie non incidenti sulla capacità lavorativa, familiari di dipendenti, relazioni personali o scelte sindacali rientrano nella categoria dei dati eccedenti e vietati. La loro raccolta e conservazione non possono trovare giustificazione, nemmeno attraverso il consenso del lavoratore, poiché il consenso rilasciato in un contesto di subordinazione non può considerarsi “libero” nel senso previsto dal GDPR.

Le implicazioni per le imprese

Il provvedimento contro Amazon ha una portata che travalica il singolo caso. Esso rappresenta un monito a tutte le aziende, grandi e piccole, che gestiscono piattaforme e strumenti digitali nel contesto lavorativo. L’automazione dei processi produttivi e la digitalizzazione delle risorse umane impongono l’adozione di misure tecniche e organizzative adeguate a garantire il rispetto delle norme sulla protezione dei dati.

Ogni datore di lavoro deve quindi interrogarsi sulla finalità effettiva delle informazioni che raccoglie, sulla loro necessità e sulla base giuridica che legittima il trattamento. L’accountability del titolare del trattamento – ossia la capacità di dimostrare la conformità alle regole – diventa qui elemento decisivo.

È consigliabile, ad esempio:

• procedere con valutazioni d’impatto sulla protezione dei dati (DPIA) per sistemi di monitoraggio automatizzati;

• aggiornare il registro dei trattamenti e i protocolli di privacy aziendale;

• formare manager e responsabili del personale sui limiti normativi;

• attivare procedure di privacy by design e by default, che riducano al minimo la quantità di dati trattati.

Il quadro normativo e la dimensione europea

A livello europeo, la vicenda Amazon si inserisce in un dibattito più ampio circa la protezione dei lavoratori nell’era digitale. La Direttiva (UE) 2016/680, la giurisprudenza del Comitato europeo per la protezione dei dati e le recenti proposte regolatorie sull’intelligenza artificiale (AI Act) ribadiscono la necessità di evitare forme di profilazione o valutazione automatizzata che possano incidere negativamente sulla dignità o sulle opportunità professionali di una persona.

Il diritto alla protezione dei dati non può infatti essere sacrificato in nome dell’efficienza o della produttività. Gli Stati membri sono tenuti a garantire che anche nell’ambiente di lavoro la privacy rimanga un diritto effettivo e non soltanto formale. La centralità della dignità del lavoratore, sancita dall’art. 1 della Carta dei diritti fondamentali dell’Unione Europea, ne costituisce il fondamento.

Conclusioni: la privacy come diritto di libertà

L’intervento del Garante nei confronti di Amazon Italia Logistica riafferma un principio tanto semplice quanto essenziale: il lavoratore non è un soggetto da monitorare, ma una persona da rispettare. La raccolta di informazioni deve essere funzionale alle esigenze produttive, mai curiosa o intrusiva.
La tecnologia può – e deve – migliorare l’efficienza aziendale, ma sempre nel quadro di regole che garantiscano trasparenza, proporzionalità e rispetto dei diritti fondamentali.

In un’epoca in cui i sistemi digitali consentono di registrare ogni gesto, movimento e assenza, il compito delle autorità di vigilanza è quello di ribadire i limiti dell’accettabile e di impedire che la modernità degeneri in una forma di controllo pervasivo.
La misura adottata contro Amazon non riguarda soltanto un caso specifico, ma costituisce un segnale strutturale: nell’organizzazione del lavoro del futuro, la tutela della privacy non sarà un ostacolo, bensì una condizione di legittimità e sostenibilità.