Wearable in azienda e privacy: dati necessari, accessi e valutazione con il referente privacy
Un wearable in azienda può sembrare una scelta semplice: si consegna un bracciale, si attiva un’app, si propone una sfida sul movimento o un percorso di benessere. In realtà, ogni dispositivo indossabile raccoglie dati che possono dire molto più di quanto sembri.
Passi, battito cardiaco, sonno, posizione, tempi di inattività, abitudini quotidiane. Alcuni dati sono innocui solo in apparenza. Nel contesto di lavoro, il rapporto tra datore e persona dipendente rende la valutazione privacy ancora più delicata.
Il punto non è bloccare ogni progetto. Il punto è progettare bene. Un programma con wearable può avere senso se nasce con finalità chiare, dati limitati, accessi controllati e una valutazione preventiva con il referente privacy o il DPO, se nominato.
Questo articolo è informativo e non sostituisce una consulenza legale. Serve a orientare le decisioni prima di avviare un’iniziativa aziendale legata a dispositivi indossabili.
La prima domanda riguarda la finalità del progetto
Prima di scegliere il dispositivo, l’app o il fornitore, l’azienda deve rispondere a una domanda semplice: perché vuole introdurre i wearable?
Nel GDPR, il principio di limitazione della finalità richiede che i dati siano raccolti per scopi determinati, espliciti e legittimi. Il principio di minimizzazione richiede poi che i dati siano adeguati, pertinenti e limitati a quanto necessario. Sono principi previsti dall’articolo 5 del Regolamento (UE) 2016/679, noto come GDPR.
Questo significa che una finalità vaga non basta.
Esempi di finalità troppo ampie:
“migliorare il benessere”
“aumentare la produttività”
“monitorare lo stile di vita”
“favorire abitudini sane”
“capire come stanno le persone”
Sono formule che non spiegano quali dati servono, chi li usa e con quali effetti.
Una finalità più corretta è circoscritta e verificabile. Per esempio:
proporre una challenge volontaria su passi o minuti di movimento, senza classifiche individuali visibili al datore di lavoro
offrire contenuti educativi sul benessere, senza usare dati biometrici o sanitari individuali
dare alla persona un riepilogo personale dei propri dati, senza condivisione con l’azienda
misurare l’adesione complessiva a un programma, usando dati aggregati e non identificativi
Nel tema wearable azienda privacy, la qualità della finalità decide quasi tutto. Se la finalità è sbagliata o troppo ampia, anche il resto del progetto diventa fragile.
Il consenso non risolve sempre il problema
Molti progetti partono da un’idea: “Se la persona firma il consenso, siamo a posto”.
Nel lavoro non è così semplice. Le autorità europee hanno più volte chiarito che il consenso nel rapporto di lavoro può essere problematico, perché la persona dipendente potrebbe non sentirsi davvero libera di rifiutare. Il tema è affrontato anche nelle indicazioni dell’ex Gruppo di lavoro Articolo 29, oggi Comitato europeo per la protezione dei dati, nel parere sul trattamento dei dati nel contesto lavorativo, disponibile sul sito della Commissione europea.
Questo non vuol dire che il consenso sia sempre impossibile. Vuol dire che va usato con cautela. La persona deve poter dire no senza conseguenze, senza pressioni e senza perdere benefici rilevanti legati al lavoro.
Se il wearable raccoglie dati che rientrano nelle categorie particolari di dati dell’articolo 9 GDPR, come dati relativi alla salute, la soglia di attenzione sale ancora. Un dato sul battito cardiaco, sul sonno o su parametri fisiologici può rivelare informazioni sensibili, anche quando il progetto non ha finalità cliniche.
Per questo è prudente evitare, quando possibile, dati sanitari o para-sanitari nel contesto aziendale. Un programma di benessere non deve trasformarsi in una raccolta di indicatori individuali sulla salute.
I dati necessari sono meno di quelli che il dispositivo può raccogliere
Un wearable può raccogliere molto. L’azienda, però, non deve usare tutto ciò che la tecnologia rende disponibile. Deve scegliere solo i dati strettamente necessari alla finalità dichiarata.
La domanda pratica è questa: senza questo dato, il progetto non può funzionare?
Se la risposta è no, quel dato va escluso.
Una mappa utile per decidere
Finalità del progetto | Dati di solito sufficienti | Dati da evitare salvo reale necessità |
Challenge volontaria sui passi | conteggio passi aggregato per gruppi, periodo della challenge, adesione volontaria | geolocalizzazione, battito cardiaco, sonno, classifiche individuali accessibili al datore |
Contenuti educativi sul benessere | preferenze informative dichiarate dalla persona, accesso ai moduli, feedback anonimi | dati fisiologici, dati sanitari, tracciamento continuo dell’uso |
Valutazione dell’adesione al programma | numero di partecipanti, tasso di completamento aggregato, questionari anonimi | nominativi associati alle performance, dati grezzi del dispositivo |
Benefit individuale gestito dal fornitore | dati necessari all’attivazione e alla gestione dell’account | report individuali inviati all’azienda, dati non collegati al servizio |
Questa tabella non sostituisce una valutazione privacy, ma aiuta a evitare l’errore più comune: confondere il dato disponibile con il dato necessario.
I dati individuali restano alla persona quando possibile
In molti casi, la soluzione più equilibrata è separare i livelli.
La persona può vedere nel proprio account i dati del wearable. L’azienda riceve solo informazioni aggregate, per esempio il numero totale di partecipanti o l’andamento complessivo di una challenge. Il fornitore gestisce la piattaforma secondo istruzioni definite, senza trasformare i dati in report individuali per il datore.
Questa impostazione riduce il rischio di controllo indiretto. Riduce anche il rischio di usare i dati per decisioni non previste, come valutazioni di performance, premi, assenze, idoneità o giudizi informali sulla persona.
La geolocalizzazione è quasi sempre un segnale di rischio
Molti dispositivi e app possono raccogliere dati di posizione. Nel contesto aziendale, questo dato è molto invasivo. Può rivelare abitudini, spostamenti, pause, luoghi frequentati e informazioni sulla vita privata.
Se la finalità è una challenge sui passi, la geolocalizzazione non serve. Se la finalità è un contenuto educativo, non serve. Se il dispositivo la raccoglie comunque, il progetto va rivisto.
Lo stesso ragionamento vale per il monitoraggio del sonno, il battito cardiaco continuo, lo stress stimato, la temperatura corporea e altri parametri affini alla salute. Non vanno raccolti solo perché presenti nell’app.
L’accesso del datore di lavoro deve essere limitato e documentato
Il punto più sensibile è l’accesso ai dati. Chi vede cosa? Quando? Per quale motivo? Con quale livello di dettaglio?
Un buon progetto deve scriverlo prima, non scoprirlo dopo l’avvio.
Il datore di lavoro dovrebbe evitare l’accesso ai dati individuali prodotti dal wearable. Questa è spesso la linea più sicura e più coerente con i principi del GDPR.
In pratica, l’azienda può ricevere:
dati aggregati su gruppi abbastanza ampi
dati anonimi, se l’anonimizzazione è reale
statistiche di adesione non usabili per valutare singole persone
report di servizio, senza dettagli sul comportamento individuale
L’azienda non dovrebbe ricevere:
passi giornalieri associati al nome
battito cardiaco, sonno o altri parametri individuali
geolocalizzazione
classifiche nominative imposte o visibili ai responsabili
alert su inattività, abitudini o presunti rischi personali
dati grezzi esportabili dal dispositivo
La pseudonimizzazione può aiutare, ma non va confusa con l’anonimizzazione. Se l’azienda o il fornitore possono ricondurre il dato a una persona, anche tramite codici o tabelle di corrispondenza, si tratta ancora di dato personale.
Attenzione al controllo a distanza
In Italia c’è anche un tema di diritto del lavoro. L’articolo 4 dello Statuto dei lavoratori disciplina gli strumenti dai quali può derivare un controllo a distanza dell’attività lavorativa. Il Garante per la protezione dei dati personali dedica attenzione specifica al trattamento dei dati nel rapporto di lavoro, anche nella sezione tematica sul lavoro.
Un wearable non nasce necessariamente per controllare la prestazione. Può però produrre dati che, se accessibili al datore, permettono inferenze su presenza, pause, abitudini, ritmo quotidiano o condizione fisica. Questo basta a rendere necessaria una valutazione attenta.
Il fatto che il programma sia presentato come “benessere” non elimina il rischio. Conta ciò che lo strumento raccoglie e ciò che l’azienda può vedere o dedurre.
Le dashboard devono essere progettate con prudenza
Molti fornitori propongono dashboard aziendali pronte. Prima di attivarle, il referente privacy dovrebbe verificare quali filtri, esportazioni e viste sono disponibili.
Domande da fare:
Il datore può cercare una persona per nome?
Può esportare dati individuali?
Può vedere serie storiche?
Può creare classifiche nominative?
Può combinare dati con reparto, sede, ruolo o turno?
Può impostare alert automatici?
Può conservare report oltre il periodo necessario?
Una dashboard con dati aggregati può diventare identificativa se il gruppo è troppo piccolo. Per esempio, un report su tre persone in un team può rendere facile capire chi ha fatto cosa, anche senza nome. Per questo l’aggregazione va progettata con soglie minime adeguate e con divieti di filtraggio eccessivo.
Il fornitore non è solo un dettaglio tecnico
Il fornitore della piattaforma o del dispositivo ha spesso un ruolo centrale. Gestisce account, app, server, assistenza, aggiornamenti, eventuali subfornitori e trasferimenti di dati.
Prima di firmare un contratto, l’azienda deve capire il ruolo privacy del fornitore. Può essere:
responsabile del trattamento, se tratta i dati per conto dell’azienda e seguendo le sue istruzioni
autonomo titolare, se decide finalità e mezzi per propri scopi
contitolare, se decide insieme all’azienda elementi essenziali del trattamento
Non basta scrivere “responsabile” nel contratto se poi il fornitore usa i dati per finalità proprie, come profilazione, miglioramento commerciale non compatibile o invio di comunicazioni non richieste.
Se il fornitore agisce come responsabile del trattamento, serve un accordo conforme all’articolo 28 GDPR. L’accordo deve indicare, tra le altre cose, oggetto, durata, natura e finalità del trattamento, tipo di dati, categorie di interessati, misure di sicurezza e regole sui sub-responsabili.
Le domande da porre al fornitore
Una selezione seria non guarda solo al prezzo o alla facilità d’uso. Deve includere domande privacy e sicurezza.
Area da verificare | Domande pratiche |
Dati raccolti | Quali dati raccoglie il dispositivo per impostazione predefinita? Quali si possono disattivare? |
Accessi | Chi può vedere i dati individuali? Il datore può accedervi? Il supporto tecnico può consultarli? |
Conservazione | Per quanto tempo restano i dati? Esiste una cancellazione automatica? |
Subfornitori | Quali soggetti terzi partecipano al servizio? Dove si trovano? |
Trasferimenti | I dati restano nello Spazio economico europeo? Se no, quali garanzie sono previste? |
Sicurezza | Sono previsti cifratura, autenticazione forte, log di accesso e separazione degli ambienti? |
Uscita dal servizio | Come avviene la restituzione o cancellazione dei dati alla fine del contratto? |
Uso secondario | Il fornitore usa i dati per analytics, addestramento di modelli, marketing o ricerca? |
Il tema dei trasferimenti extra UE merita attenzione. Dopo la sentenza Schrems II della Corte di giustizia dell’Unione europea, i trasferimenti di dati verso Paesi terzi richiedono una verifica puntuale delle garanzie adottate. Le indicazioni del Comitato europeo per la protezione dei dati sono disponibili sul sito dell’EDPB.
Anche il supporto tecnico è un accesso
Spesso si pensa solo alla dashboard del datore di lavoro. In realtà, anche il personale del fornitore può accedere ai dati per assistenza, manutenzione o sicurezza.
Questo accesso deve essere:
limitato al bisogno effettivo
tracciato con log
autorizzato per ruoli
protetto da autenticazione adeguata
regolato da impegni di riservatezza
escluso quando non necessario
Se il supporto può vedere dati individuali sensibili senza limiti, il progetto ha una vulnerabilità organizzativa, non solo tecnica.
La valutazione con il referente privacy deve avvenire prima dell’avvio
Il referente privacy, o il Responsabile della protezione dei dati se presente, non dovrebbe intervenire quando il progetto è già stato acquistato. Deve entrare nella valutazione prima della scelta del fornitore e prima della comunicazione interna.
Questa fase serve a chiarire se il trattamento è lecito, proporzionato e comprensibile per le persone coinvolte.
I passaggi minimi da completare
Una valutazione ben fatta include almeno questi passaggi.
Definire la finalità
La finalità deve essere scritta in modo concreto. Deve spiegare che cosa l’azienda vuole fare e che cosa non farà.
Per esempio, se il progetto è una challenge volontaria, va chiarito che i dati non saranno usati per valutare performance, presenza, produttività, premi individuali o idoneità al lavoro.
Mappare i dati
Serve un elenco dei dati raccolti dal dispositivo, dall’app e dalla piattaforma. Non basta dire “dati di benessere”. Occorre distinguere tra dati di registrazione, dati tecnici, dati di utilizzo, dati del dispositivo e possibili dati relativi alla salute.
Valutare la base giuridica
La base giuridica non va scelta in modo automatico. Nel rapporto di lavoro, il consenso richiede particolare cautela. L’interesse legittimo può essere valutato solo se il trattamento è necessario, proporzionato e non prevalgono diritti e libertà delle persone. Per dati particolari, serve anche una condizione dell’articolo 9 GDPR.
Verificare la necessità della DPIA
La valutazione d’impatto sulla protezione dei dati, prevista dall’articolo 35 GDPR, è richiesta quando un trattamento può presentare un rischio elevato per diritti e libertà delle persone. Wearable, monitoraggio sistematico, dati sanitari, tecnologie nuove o controllo nel contesto lavorativo possono far emergere questo rischio.
Il Garante italiano mette a disposizione indicazioni e provvedimenti sul tema DPIA nella propria sezione dedicata alla valutazione d’impatto.
Controllare gli adempimenti di lavoro
Se dallo strumento può derivare un controllo a distanza, va valutata la disciplina dell’articolo 4 dello Statuto dei lavoratori e l’eventuale necessità di accordi o autorizzazioni. Questa valutazione deve coinvolgere chi segue diritto del lavoro e relazioni sindacali, quando necessario.
Scrivere l’informativa
L’informativa privacy deve essere chiara, specifica e leggibile. Deve indicare chi tratta i dati, quali dati sono raccolti, per quali finalità, con quale base giuridica, per quanto tempo, chi li riceve, quali diritti spettano alle persone e come esercitarli. L’articolo 13 GDPR indica i contenuti essenziali.
Stabilire tempi di conservazione
I dati non possono restare disponibili per un tempo indefinito. Il periodo deve essere proporzionato alla finalità. Per una challenge temporanea, per esempio, la conservazione dei dati individuali, se esistono, dovrebbe essere molto limitata. I report aggregati possono avere regole diverse, ma vanno comunque definite.
Preparare una comunicazione interna corretta
La comunicazione non deve creare pressione. Deve spiegare che la partecipazione è volontaria, se lo è, e che il rifiuto non comporta svantaggi. Deve evitare messaggi che facciano sembrare il dispositivo una prova di affidabilità, salute o impegno.
Una checklist prima del lancio
Prima di avviare il programma, il referente privacy dovrebbe poter rispondere sì a queste domande:
La finalità è scritta in modo preciso?
I dati raccolti sono davvero necessari?
I dati sanitari o assimilabili sono esclusi, salvo reale necessità e adeguata base giuridica?
Il datore non accede a dati individuali del wearable?
Le dashboard sono limitate e non permettono identificazioni indirette?
Il contratto con il fornitore disciplina ruoli, istruzioni, sicurezza e subfornitori?
L’informativa è pronta e comprensibile?
I tempi di conservazione sono definiti?
La DPIA è stata valutata e svolta se necessaria?
Sono stati considerati gli obblighi legati al controllo a distanza?
Se una di queste risposte manca, è meglio fermarsi e correggere il progetto.
Un progetto sostenibile mette limiti chiari fin dall’inizio
Un wearable aziendale funziona meglio quando non promette ciò che non può garantire. Non deve essere presentato come strumento clinico, diagnostico o predittivo se non lo è. Non deve suggerire che il dispositivo possa certificare la salute, prevenire malattie o misurare in modo affidabile il benessere individuale sul lavoro.
Una comunicazione prudente tutela anche l’azienda. Riduce aspettative sbagliate, incomprensioni e timori.
La soluzione più solida di solito ha queste caratteristiche:
partecipazione realmente libera
dati individuali visibili solo alla persona
dati aziendali aggregati e non identificativi
nessuna geolocalizzazione
nessun uso per valutazioni lavorative
fornitore verificato e contrattualizzato
informativa chiara
valutazione preventiva documentata
tempi di conservazione brevi e motivati
Questo approccio non elimina ogni rischio, ma lo riduce in modo concreto.
Fonti verificate da consultare
Per impostare un progetto in modo corretto, le fonti principali sono normative e istituzionali.
Regolamento (UE) 2016/679, GDPR Riferimenti utili: articoli 5, 6, 9, 13, 25, 28, 32 e 35.
Garante per la protezione dei dati personali, area lavoro Risorse e provvedimenti sul trattamento dei dati nel rapporto di lavoro.
Garante per la protezione dei dati personali, valutazione d’impatto Indicazioni sulla DPIA e sui trattamenti che possono presentare rischi elevati.
Comitato europeo per la protezione dei dati Linee guida e raccomandazioni europee su GDPR, trasferimenti e trattamenti a rischio.
Parere del Gruppo di lavoro Articolo 29 sul trattamento dei dati nel contesto lavorativo Documento utile per comprendere perché il consenso nel lavoro richiede cautela.
FAQ
Il datore di lavoro può vedere i dati del mio wearable aziendale?
Solo se esiste una base giuridica valida, una finalità chiara e un’informativa adeguata. Nei progetti di benessere, la soluzione più prudente è evitare l’accesso del datore ai dati individuali e usare solo dati aggregati.
I dati del battito cardiaco sono dati sanitari?
Possono rivelare informazioni sulla salute o sullo stato fisico della persona. Per questo vanno trattati con molta cautela e, nel contesto lavorativo, spesso è preferibile non raccoglierli per finalità aziendali di benessere.
Basta rendere il programma volontario?
No. La volontarietà aiuta, ma non basta da sola. Nel rapporto di lavoro bisogna verificare che non ci siano pressioni, svantaggi per chi non partecipa o benefici tali da condizionare la scelta.
Il fornitore può usare i dati per migliorare il servizio?
Solo nei limiti dichiarati, contrattualizzati e compatibili con la base giuridica. Se il fornitore usa i dati per finalità proprie, il suo ruolo privacy deve essere valutato con attenzione e comunicato alle persone interessate.
Quando serve una DPIA?
Serve quando il trattamento può comportare un rischio elevato per i diritti e le libertà delle persone. Wearable, dati relativi alla salute, monitoraggio nel contesto lavorativo e tecnologie che raccolgono dati in modo continuo sono tutti elementi che possono rendere necessaria una valutazione d’impatto.
Il prossimo passo è progettare prima di raccogliere dati
Un programma con wearable in azienda può essere utile solo se resta dentro confini chiari. La privacy non è un modulo da aggiungere alla fine. È una parte del progetto: decide quali dati servono, chi può accedervi, come si informa chi partecipa e quali rischi vanno evitati.
Prima di avviare una sperimentazione, conviene riunire chi segue persone, tecnologia, legale, sicurezza e privacy. Bastano poche scelte sbagliate per trasformare un’iniziativa di benessere in un trattamento sproporzionato.
Se vuoi impostare un progetto aziendale attento a dati, consenso, accessi e comunicazione, puoi approfondire le soluzioni e l’approccio di Longevitas su Longevitas.it.
Commenti