Le valutazioni di impatto sulla protezione dei dati nel contesto lavorativo, prese sul serio: Garante, giudice, sindacato

Abstract [It]: Muovendo dalla crescente dataficazione del lavoro, il contributo si interroga sulle leve che possono rendere effettivo l’obbligo di valutazione d’impatto sulla protezione dei dati (DPIA) nel contesto lavorativo, ove tale strumento fatica ancora a svolgere una reale funzione regolativa. La ricognizione empirica delle decisioni del Garante e della giurisprudenza restituisce infatti un quadro di effettività ancora limitata: la DPIA emerge soprattutto in negativo, come adempimento omesso o come valutazione non calibrata sui rischi specifici del contesto lavorativo, mentre resta quasi assente nelle contestazioni dei lavoratori, nelle strategie sindacali e nel contenzioso giuslavoristico. Il contributo argomenta che prendere sul serio la DPIA significa sottrarla alla sola autovalutazione datoriale e collocarla nelle sedi in cui il potere tecnologicamente mediato del datore viene effettivamente regolato e contestato: davanti al Garante e all’Ispettorato, davanti al giudice e nelle relazioni sindacali. In questa prospettiva, l’articolo individua alcuni strumenti per rafforzarne l’effettività: la cooperazione amministrativa tra Garante e Ispettorato, la valorizzazione della DPIA nelle procedure ex art. 4 Stat. lav., il possibile rilievo dell’inutilizzabilità disciplinare dei dati raccolti in assenza di una valutazione d’impatto adeguata e l’attivazione di strumenti di autotutela collettiva da parte del sindacato, funzionali a rivendicare un coinvolgimento effettivo nella gestione condivisa dei rischi tecnologici.

Title: Taking Data Protection Impact Assessments in the Employment Context Seriously: Data Protection Authority, Courts and Workers’ Representatives

Abstract [En]: Against the background of the growing datafication of work, this article investigates the legal and institutional levers that may enhance the effectiveness of the obligation to carry out a data protection impact assessment (DPIA) in the employment context, where this instrument still struggles to perform a genuine regulatory function. An empirical review of decisions issued by the Italian Data Protection Authority and of case law reveals a still limited degree of effectiveness: the DPIA mostly emerges in negative terms, either as an omitted requirement or as an assessment not properly tailored to the specific risks arising in the employment context, while it remains almost absent from workers’ claims, worker representatives’ strategies and labour litigation. The article argues that taking the DPIA seriously means removing it from the employer’s unilateral self-assessment and placing it in the fora where technologically mediated employer power is actually regulated and challenged: before the Data Protection Authority and the Labour Inspectorate, before courts and within industrial relations. From this perspective, the article identifies several tools to strengthen its effectiveness: administrative cooperation between the Data Protection Authority and the Labour Inspectorate, the use of the DPIA within the procedures under Article 4 of the Workers’ Statute, the inadmissibility, for disciplinary purposes, of data collected in the absence of an adequate impact assessment, and the activation of collective self-protection tools by workers’ representatives, aimed at securing effective involvement in the shared management of technological risks.

Parole chiave: DPIA, valutazione d’impatto, poteri datoriali, protezione dei dati personali, management algoritmico, controlli a distanza, inutilizzabilità dei dati, azione sindacale, autotutela collettiva

Keywords: DPIA, data protection impact assessment, employer powers, personal data protection, algorithmic management, remote monitoring; inadmissibility of data, worker representatives’ action, collective self-protection

Sommario: 1. Posizione del problema: perché prendere sul serio la DPIA nel contesto lavorativo. 2. La DPIA nei rapporti di lavoro: valutazione dei rischi, funzione preventiva e fragilità strutturali. 3. La via amministrativa: dal controllo del Garante alla collaborazione con l’Ispettorato. 4. La via giudiziale: i limiti dei rimedi individuali diretti. 5. (segue): l’inutilizzabilità a fini disciplinari dei dati come principale leva giudiziale di effettività. 6. La via sindacale: dalla partecipazione al conflitto, andata e ritorno. 7. Conclusioni: prendere sul serio la DPIA nel contesto lavorativo.