Rider: il Garante Privacy boccia l’algoritmo non contestabile dai lavoratori

Il Garante per la Protezione dei dati personali ha irrogato una sanzione di cinque milioni di euro ad una Società del Gruppo Glovo che, tra le altre cose, geolocalizzava i rider anche fuori dall’orario di lavoro.

Secondo il Garante, la Società avrebbe trattato illecitamente i dati personali di oltre 32 mila rider attraverso la piattaforma digitale utilizzata (cfr. il Provvedimento).

L’attività ispettiva era stata avviata d’ufficio a seguito della pubblicazione di notizie giornalistiche (risalenti a due anni fa) relative ad un sms di disattivazione dell’account di un lavoratore rider, Sebastian Galassi, che, invero, era deceduto in un incidente stradale due giorni prima proprio mentre faceva le consegne per conto della stessa Società.

Gli approfondimenti svolti hanno così mostrato numerose e gravi violazioni del Gdpr, nonostante la stessa Società fosse stata già sanzionata nel 2021.

In particolare, è stato accertato che:

• la piattaforma, quando disattiva o blocca l’account, invia automaticamente un unico messaggio standard che, però, non informa della possibilità di contestare la decisione e di chiedere il ripristino dell’account;
• la Società effettua anche altri trattamenti automatizzati dei dati dei rider, ad es., attraverso il c.d. sistema di eccellenza (punteggio che consente di prenotare con priorità il turno di lavoro) e il sistema di assegnazione degli ordini all’interno del turno; il tutto senza aver adottato le misure previste dal Gdpr per l’utilizzo di sistemi automatizzati (in particolare il diritto di ottenere l’intervento umano, di esprimere la propria opinione e contestare la decisione assunta attraverso il sistema);
• la Società invia i dati personali dei rider, compresa la posizione geografica, a società terze, senza informare gli interessati; tali dati, in particolare, sono trasmessi anche quando il rider non lavora e, fino all’agosto 2023, anche quando l’app non era aperta;

Con riferimento al caso che aveva dato avvio alle indagine, il Garante non ha condiviso la tesi della Società che aveva sostenuto che l’invio del messaggio di disattivazione fosse stato un “errore umano”, atteso che – si legge nel provvedimento - l’invio del messaggio al rider deceduto è avvenuto automaticamente, come del resto in occasione di ogni cambio di status.

L’Autorità ha così imposto alla Società di riformulare i messaggi inviati ai rider a seguito alla disattivazione e/o blocco nonché, tra le altre cose, di individuare misure appropriate “per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, almeno il diritto di ottenere l’intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione, in relazione ai trattamenti automatizzati compresa la profilazione effettuati mediante la piattaforma, garantendo un’adeguata formazione degli operatori addetti nonché  la possibilità per gli operatori stessi di ignorare, se del caso, l’output del processo algoritmico, per evitare la possibile tendenza a farvi automaticamente affidamento” e di disattivare la localizzazione GPS quando l’app è in background e, comunque, di attivare sul dispositivo del rider un’icona che indichi che il GPS è attivo.

Il provvedimento del Garante è stato adottato quasi in contemporanea alla pubblicazione sulla Gazzetta Ufficiale dell’Unione della Direttiva 2024/2831 del Parlamento europeo e del Consiglio del 23 ottobre 2024, relativa al ‘miglioramento delle condizioni di lavoro nel lavoro mediante piattaforme digitali” (ne abbiamo parlato in Pubblicata la direttiva per lavoratori e piattaforme digitali).