Rapportini digitali e GDPR: la guida per PMI edili

Il GDPR (Regolamento UE 2016/679) si applica a qualsiasi trattamento di dati personali, digitale o meno. Passare da rapportini cartacei a digitali non cambia l'obbligo ma ne aumenta la visibilità: una firma scansionata, un vocale registrato, un timestamp puntuale sono dati personali trattati dal sistema.

Dati personali trattati nei rapportini digitali

• Dati identificativi: nome, cognome, ruolo, numero operaio
• Dati operativi: ore lavorate, cantieri, attività svolte
• Dati tecnici: numero di telefono, device ID, IP, timestamp
• Dati opzionali: geolocalizzazione (se attivata), contenuto vocale/fotografico

Tutti questi dati richiedono base giuridica, informativa, misure di sicurezza adeguate, e rispetto dei diritti degli interessati.

Dati che NON vanno raccolti in rapportini operativi

• Dati sanitari (a meno di fit to work, gestiti dal medico competente).
• Convinzioni religiose, orientamento sessuale, appartenenza sindacale.
• Comunicazioni personali dell'operaio non legate al lavoro.
• Immagini del volto dell'operaio quando non necessarie.

Il principio di minimizzazione (art. 5 GDPR) obbliga a raccogliere solo quanto strettamente necessario alla finalità dichiarata.

Molti titolari temono che chiedere il consenso agli operai per la digitalizzazione sia un prerequisito. In realtà, per i rapportini operativi in contesto di rapporto di lavoro, la base giuridica corretta è quasi sempre una delle seguenti.

Esecuzione del contratto (art. 6.1.b GDPR)

Il tracciamento delle ore è necessario per eseguire il contratto di lavoro: calcolo retribuzione, straordinari, ferie maturate. Questa base giuridica non richiede consenso specifico.

Obbligo legale (art. 6.1.c GDPR)

Molte norme italiane impongono la documentazione: il registro presenze (INPS), il libro unico del lavoro, la documentazione di sicurezza (D.Lgs. 81/2008). Il trattamento è quindi obbligatorio per legge.

Legittimo interesse (art. 6.1.f GDPR)

Per alcune finalità aggiuntive (controllo qualità lavoro, ottimizzazione costi commessa) si può usare il legittimo interesse, purché non prevalga quello dell'operaio. Richiede bilanciamento documentato.

Quando serve il consenso esplicito

Il consenso (art. 6.1.a) serve solo per trattamenti opzionali o non necessari: geolocalizzazione continua GPS, video-sorveglianza individuale, profilazione avanzata. Per questi scenari il consenso deve essere libero, specifico, informato e revocabile.

Regola pratica: i rapportini operativi standard non richiedono consenso. Le feature invasive sì.

In Italia c'è una norma specifica che va oltre il GDPR: l'art. 4 della Legge 300/1970 (Statuto dei Lavoratori), modificato dal Jobs Act e successive modifiche.

Cosa dice l'art. 4

È possibile installare impianti e strumenti "dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori" solo per:

• Esigenze organizzative e produttive
• Sicurezza del lavoro
• Tutela del patrimonio aziendale

Con accordo sindacale preventivo o autorizzazione dell'ITL (Ispettorato Territoriale del Lavoro).

Eccezione importante: strumenti di lavoro

L'art. 4 comma 2 esclude dalla procedura autorizzatoria gli "strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa" e gli "strumenti di registrazione degli accessi e delle presenze".

Un rapportino digitale usato dall'operaio per documentare il proprio lavoro rientra tipicamente negli strumenti di lavoro e negli strumenti di registrazione presenze, quindi non richiede accordo sindacale.

Attenzione: l'informativa è comunque obbligatoria

Anche se non serve accordo sindacale, bisogna dare informativa adeguata al lavoratore sulle modalità del trattamento e sulle finalità (art. 13 GDPR). Senza informativa, i dati non sono utilizzabili a fini disciplinari.

Limiti chiari

Non si può usare un rapportino digitale per:

• Controllare la posizione GPS continua dell'operaio
• Ascoltare conversazioni private
• Misurare velocità individuale o produttività in modo granulare non dichiarato
• Effettuare discriminazioni basate sui dati raccolti

Ogni operaio coinvolto nel trattamento deve ricevere un'informativa chiara, leggibile e completa, idealmente al momento dell'adozione dello strumento o dell'assunzione.

Contenuti obbligatori (art. 13 GDPR)

1. Titolare del trattamento: nome dell'azienda + contatti
2. DPO se designato: contatti del Data Protection Officer
3. Finalità del trattamento: rapportini operativi, sicurezza, fatturazione
4. Base giuridica: esecuzione contratto + obblighi legali
5. Destinatari dei dati: fornitore software (es. RaDi), commercialista, enti previdenziali
6. Trasferimenti extra-UE: se ci sono, con garanzie
7. Periodo di conservazione: tipicamente 10 anni per fiscale, 5 anni per operativo
8. Diritti dell'interessato: accesso, rettifica, cancellazione, portabilità, opposizione
9. Diritto di reclamo: al Garante Privacy
10. Natura obbligatoria o facoltativa: chiaramente distinta per ogni dato

Formato raccomandato

• PDF firmato digitalmente o cartaceo con firma.
• Copia consegnata all'operaio.
• Archiviazione nel fascicolo del lavoratore.
• Aggiornamento quando cambiano finalità o fornitori.

Errori comuni nelle informative

• Copiare template generici senza personalizzare con la realtà aziendale.
• Dimenticare di includere il fornitore software come destinatario.
• Non aggiornare l'informativa quando si cambia software.
• Non far firmare l'informativa (serve prova di consegna).

L'art. 32 GDPR richiede misure "tecniche e organizzative adeguate al rischio". Per un software di rapportini questo si traduce concretamente in:

Crittografia

• Dati in transito cifrati con TLS 1.3 o superiore.
• Dati a riposo cifrati con AES-256 o equivalente.
• Chiavi di cifratura gestite con sistemi sicuri (HSM o KMS).

Controllo accessi

• Autenticazione forte per gli utenti che accedono alla dashboard.
• Ruoli differenziati (admin, manager, operaio) con permessi minimi necessari.
• Log degli accessi conservati per audit.

Data residency

• Server fisicamente in UE (meglio in Italia).
• Nessun trasferimento di dati personali verso USA senza clausole contrattuali tipo o decisioni di adeguatezza.

Backup e disaster recovery

• Backup automatici regolari in location separata.
• Procedura di ripristino testata periodicamente.
• RTO/RPO dichiarati nel contratto.

Procedura di data breach

• Rilevazione tempestiva di incidenti.
• Notifica al Garante entro 72 ore in caso di breach significativo.
• Comunicazione agli interessati se rischio elevato.

Come verificare un fornitore

Prima di firmare, chiedi:

• Certificazione ISO 27001 o simili.
• DPA (Data Processing Agreement) ex art. 28 GDPR.
• Lista aggiornata di sotto-responsabili.
• Politica di conservazione e cancellazione dati.
• Piano di business continuity.

Un fornitore che non ha questi documenti o esita a fornirli è un rischio.

Ogni operaio ha diritti specifici sui propri dati che il datore di lavoro deve rispettare. Le richieste vanno evase entro 30 giorni (prorogabili fino a 90 in casi complessi).

Diritto di accesso (art. 15)

L'operaio può chiedere copia dei propri dati trattati, con finalità, categorie, destinatari. In un software di rapportini significa esportare tutti i record relativi alla sua persona.

Diritto di rettifica (art. 16)

Se i dati sono inesatti, l'operaio può chiedere correzione. Il software deve permettere modifica con audit trail.

Diritto alla cancellazione (art. 17, "diritto all'oblio")

Limitato dai vincoli di conservazione fiscale e contabile: i rapportini delle ore lavorate vanno conservati 10 anni per legge, quindi la cancellazione piena non è immediatamente possibile. Si può cancellare il dato in "active use" mantenendolo in archivio protetto per finalità fiscali.

Diritto alla portabilità (art. 20)

L'operaio può chiedere i propri dati in formato strutturato e leggibile (JSON, CSV) per trasferirli a un altro titolare. Il software di cantiere deve offrire questa funzione di export.

Diritto di opposizione (art. 21)

Per trattamenti basati su legittimo interesse, l'operaio può opporsi. In tal caso il datore deve bilanciare e, se necessario, cessare il trattamento specifico (tipicamente non i rapportini obbligatori, ma analisi secondarie sì).

Diritto di revoca del consenso

Per i trattamenti basati su consenso (geolocalizzazione opzionale, ecc.), la revoca è sempre possibile e non può avere conseguenze disciplinari.