GDPR e timbrature in cantiere: obblighi del datore di lavoro
Guida completa agli adempimenti GDPR per le imprese edili che usano sistemi di rilevazione presenze: informativa, DPIA, registro trattamenti e nomina responsabili esterni.
Il Regolamento UE 2016/679 (GDPR) si applica integralmente alla gestione delle presenze dei dipendenti, inclusi i sistemi con geolocalizzazione. Per le imprese edili, che spesso operano con cantieri multipli e personale numeroso, la corretta impostazione del trattamento è fondamentale per evitare sanzioni e contenziosi.
Chi è il titolare del trattamento?
Il datore di lavoro è il titolare del trattamento dei dati di presenza e timbratura dei propri dipendenti. Se l'azienda usa un software gestionale esterno (come InCantiere), il fornitore del software è il responsabile del trattamento ai sensi dell'art. 28 GDPR e deve essere nominato con apposito DPA (Data Processing Agreement). Questo accordo deve specificare le istruzioni del titolare, le misure di sicurezza adottate dal responsabile e le modalità di cancellazione dei dati a fine contratto.
L'informativa ex art. 13 GDPR
Prima di avviare la rilevazione presenze, il datore deve consegnare a ogni lavoratore un'informativa che contenga:
- Identità e dati di contatto del titolare (e dell'eventuale DPO).
- Categorie di dati trattati: dati anagrafici, orari, posizione GPS al momento della timbratura.
- Finalità e base giuridica: esecuzione del contratto di lavoro (art. 6.1.b), obblighi di legge (art. 6.1.c), legittimo interesse per il controllo geofence (art. 6.1.f).
- Periodo di conservazione dei dati.
- Destinatari: responsabili del trattamento, autorità di controllo.
- Diritti dell'interessato: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione.
- Diritto di reclamo al Garante Privacy.
Il registro dei trattamenti (art. 30 GDPR)
Le imprese con più di 250 dipendenti sono obbligate a tenere il registro dei trattamenti. Le imprese più piccole ne sono esonerate solo se il trattamento non è sistematico o non riguarda dati sensibili. Poiché la rilevazione presenze è per definizione sistematica, si consiglia a tutte le imprese edili di predisporre il registro, anche come buona pratica di accountability.
Quando serve la DPIA (valutazione d'impatto)?
La DPIA (Data Protection Impact Assessment) è obbligatoria quando il trattamento «può presentare un rischio elevato per i diritti e le libertà delle persone fisiche» (art. 35 GDPR). Il Garante italiano ha pubblicato un elenco dei trattamenti che richiedono DPIA: vi rientra la geolocalizzazione sistematica dei dipendenti. Se il sistema registra la posizione al momento della timbratura (e non continuativamente), la valutazione può concludere che il rischio residuo è basso, ma l'analisi va documentata.
Misure di sicurezza minime
L'art. 32 GDPR impone misure tecniche e organizzative adeguate al rischio. Per un sistema di timbratura questo significa:
- Cifratura dei dati in transito (HTTPS/TLS) e a riposo.
- Autenticazione robusta per accedere al pannello di gestione.
- Separazione dei dati per azienda (multi-tenancy con Row Level Security).
- Log degli accessi e delle operazioni sui dati.
- Procedure di backup e ripristino testate.
- Cancellazione sicura dei dati alla scadenza del periodo di conservazione.
Cosa fare in caso di data breach
Se i dati di timbratura (incluse le posizioni GPS) vengono compromessi, il titolare ha 72 ore per notificare il Garante Privacy (se il breach è probabile che crei rischi per gli interessati) e, in caso di rischio elevato, anche per informare direttamente i lavoratori coinvolti. È fondamentale avere una procedura scritta di gestione degli incidenti.