Requisiti GDPR per il monitoraggio dei dipendenti

Notifica obbligatoria ai dipendenti

La Francia applica rigorosi standard di trasparenza. I datori di lavoro devono informare i dipendenti prima che abbia inizio qualsiasi monitoraggio, specificando:

• scopo del monitoraggio
• categorie di dati raccolti
• base giuridica
• durata della conservazione dei dati
• diritti dei dipendenti
• accesso e destinatari dei dati

Il monitoraggio non divulgato o silenzioso non è consentito tranne che in rari casi legalmente giustificati che comportano una colpa grave.

Consultazione con il Comitato Aziendale (CSE)

Prima di implementare qualsiasi soluzione di monitoraggio, compresi servizi come CleverControl, i datori di lavoro devono consultare il Comitato economico e sociale (CSE) come richiesto dal Codice del lavoro francese (Art. L2312-38). Questa consultazione è obbligatoria e deve avvenire prima dell'attuazione.

Proporzionalità e requisiti di necessità

La legge francese prevede che il monitoraggio sia:

• necessario per uno scopo definito
• proporzionato a tale scopo
• strettamente limitato all'uso professionale
• limitato all'orario di lavoro
• non invadente e non continuativo se non assolutamente necessario

I metodi di monitoraggio troppo invasivi (ad esempio, sorveglianza 24 ore su 24, cattura di schermate indiscriminate o registrazione audio) sono generalmente considerati eccessivi dalla CNIL.

Requisito DPIA

Ai sensi dell'art. 35 e delle linee guida CNIL, il monitoraggio dei dipendenti richiede sempre una valutazione di impatto sulla protezione dei dati (DPIA) prima dell'implementazione. La DPIA deve valutare:

• potenziali rischi per i dipendenti
• proporzionalità del monitoraggio
• misure di mitigazione
• regole di conservazione
• soluzioni alternative

Restrizioni di monitoraggio specifiche ai sensi della legge francese

Alcune attività di monitoraggio sono fortemente limitate:

• La registrazione audio è generalmente vietata, salvo eccezioni strettamente definite
• È vietata la sorveglianza negli spazi privati (sale relax, servizi igienici, aree personali)
• Il monitoraggio non deve estendersi oltre l'orario di lavoro
• I datori di lavoro non possono raccogliere password personali o comunicazioni private
• L’uso dei dati biometrici è fortemente regolamentato e consentito solo a condizioni rigorose

Limiti di conservazione dei dati

La CNIL richiede che i periodi di conservazione siano:

• minimo
• proporzionato
• esplicitamente definito
• in linea con lo scopo di monitoraggio dichiarato

Non è consentita la conservazione a lungo termine o indefinitamente.

Trasferimenti di dati transfrontalieri

Se i dati monitorati lasciano l’UE, i datori di lavoro devono utilizzare:

• una decisione di adeguatezza, o
• Clausole contrattuali standard (SCC), plus
• garanzie aggiuntive richieste da Schrems II

Si consiglia la crittografia e le limitazioni di accesso quando si esportano dati al di fuori del SEE.

Diritti dei dipendenti secondo il GDPR

I dipendenti monitorati con strumenti leciti hanno il diritto di:

• accedere ai propri dati
• richiedere la correzione o la cancellazione (ove applicabile)
• limitare o opporsi al trattamento
• ricevere informazioni sul trattamento automatizzato
• presentare un reclamo alla CNIL

I datori di lavoro devono rispondere alle richieste entro un mese.

Ulteriori obblighi in materia di trasparenza e informazione dei dipendenti

La Spagna richiede un avviso particolarmente dettagliato ed esplicito ai dipendenti quando vengono utilizzati strumenti di monitoraggio. Ai sensi dello Statuto dei lavoratori spagnolo (Estatuto de los Trabajadores, Art. 20.3) e della Ley Orgánica 3/2018 (LOPDGDD):

• Il datore di lavoro deve spiegare chiaramente la portata, i metodi e l’intensità del monitoraggio.
• I dipendenti devono essere informati non solo del monitoraggio ma anche di come funziona il sistema di monitoraggio (ad esempio, tipologie di registri, frequenza, decisioni automatizzate).

La Spagna pone maggiore enfasi sulla specificità e sulla granularità dell’avviso rispetto alla trasparenza standard del GDPR.

Restrizioni CCTV e monitoraggio video

LOPDGDD spagnolo art. 89 aggiunge regole severe per qualsiasi sistema in grado di catturare immagini o video:

• La videosorveglianza deve essere proporzionata e strettamente limitata alle aree di lavoro.
• Le telecamere non possono essere installate nelle aree di sosta, nelle sale relax, nelle mense o negli spogliatoi.
• Se viene catturato l'audio, il monitoraggio è considerato ancora più invasivo e generalmente vietato, a meno che non sia giustificato da gravi rischi per la sicurezza.

Sebbene ciò riguardi principalmente la CCTV, i principi si estendono anche a qualsiasi strumento di monitoraggio dei dipendenti in grado di catturare immagini o audio.

Requisiti di trasparenza del processo decisionale automatizzato

LOPDGDD rafforza l'art. 22 imponendo ai datori di lavoro di:

• Informare i dipendenti sull'uso di valutazioni, algoritmi o punteggi automatizzati.
• Spiegare in che modo la logica decisionale automatizzata influisce sulla valutazione delle prestazioni dei dipendenti o sul processo disciplinare.

Se il software di monitoraggio contribuisce alla valutazione delle prestazioni, la Spagna richiede un’informativa aggiuntiva, oltre al GDPR standard.

Consultazione del comitato aziendale

Nei luoghi di lavoro dotati di comitato aziendale ("representación legal de los trabajadores"), i datori di lavoro devono:

• Informare e consultare il comune prima di implementare sistemi di monitoraggio.
• Fornire al consiglio dettagli su tecnologia, ambito di monitoraggio e conservazione.

Questo obbligo rispecchia il sistema francese ma è leggermente meno prescrittivo.

Protezioni speciali per la registrazione audio

La Spagna considera la registrazione audio particolarmente invasiva:

• Il monitoraggio audio è vietato in quasi tutti i casi.
• Consentito solo per eccezionali esigenze di sicurezza o indagini penali.

Se il software dispone di funzionalità audio opzionali, i datori di lavoro in Spagna devono garantire che queste siano disabilitate a meno che non si applichi un'eccezione legale.

È richiesta l'autorizzazione preventiva o l'accordo (regola italiana più importante)

L’Italia ha uno dei quadri più severi in Europa per quanto riguarda il monitoraggio dei dipendenti.

Ai sensi dello Statuto dei Lavoratori, articolo 4:

Gli strumenti di monitoraggio possono essere installati solo quando è soddisfatta una delle seguenti condizioni:

a) Un accordo formale con il Comitato Aziendale (RSU/RSA)

O

b) Autorizzazione dell'Ispettorato Nazionale del Lavoro se non esiste un Comitato Aziendale.

Ciò vale per qualsiasi sistema di monitoraggio in grado di sorvegliare indirettamente o direttamente i lavoratori, compresi software come CleverControl.

Divieto rigoroso di monitoraggio non autorizzato

L’Italia vieta completamente il monitoraggio non autorizzato ai sensi dell’art. 4.

Anche il monitoraggio temporaneo o investigativo richiede:

• autorizzazione preventiva, o
• coinvolgimento giudiziario (nei casi di indagini penali).

Su questo punto l’Italia è più severa della maggior parte dei Paesi Ue.

La raccolta dei dati deve essere indiretta (quando possibile)

Il Garante Privacy incoraggia i datori di lavoro ad evitare di identificare i singoli lavoratori se non strettamente necessario.

Il monitoraggio dovrebbe idealmente raccogliere:

• dati aggregati, o
• informazioni anonimizzate/pseudonimizzate

quando l’identificazione individuale non è essenziale.

Ulteriori requisiti di notifica

Oltre ai requisiti di trasparenza del GDPR, l’Italia richiede:

• apposita comunicazione scritta ai dipendenti
• pubblicati sul posto di lavoro o accessibili digitalmente
• descrivere lo strumento di monitoraggio, il suo ambito, la sua conservazione e lo scopo
• scritto in modo chiaro e preciso (le dichiarazioni generiche non sono sufficienti)

Tale avviso è obbligatorio anche dopo l'accordo del comitato aziendale o l'autorizzazione dell'ispettore.

Limitazione dello scopo: il monitoraggio non può essere utilizzato per determinate azioni disciplinari

La giurisprudenza italiana vieta ai datori di lavoro di utilizzare i dati raccolti per uno scopo (ad esempio, sicurezza) per un altro (ad esempio, disciplina) a meno che non sia esplicitamente indicato in:

• l'accordo/autorizzazione,
• l'avviso del dipendente.

Non è consentito il cambio di scopo.

La registrazione audio e video è fortemente limitata

Ai sensi dell'articolo 4:

• La registrazione audio nei luoghi di lavoro è quasi del tutto vietata.
• Il monitoraggio video deve essere esplicitamente coperto dall'accordo del comitato aziendale o dall'autorizzazione dell'ispettore.
• Le telecamere non possono prendere di mira i lavoratori individualmente se non giustificati e autorizzati.

Qualsiasi strumento con capacità audiovisive è sottoposto a un controllo approfondito.

La conservazione dei dati deve essere esplicita e minima

L'autorizzazione dell'Ispettorato del Lavoro generalmente include:

• periodi massimi di conservazione
• programmi di cancellazione obbligatori
• limitazioni sulla conservazione del registro o dello screenshot

L’applicazione dei diritti dei dipendenti è molto forte

Il Garante italiano impone in modo aggressivo:

• accesso ai dati di monitoraggio
• diritti di cancellazione e rettifica
• separazione rigorosa tra dati privati e professionali
• divieti di tracciamento eccessivo o intrusivo (ad esempio, screenshot continui)

La co-determinazione del comitato aziendale è obbligatoria

La Germania ha uno dei sistemi di co-determinazione più severi d’Europa.

Ai sensi di BetrVG §87(1), l'implementazione di qualsiasi strumento di monitoraggio dei dipendenti (incluso CleverControl) richiede:

• co-determinazione e approvazione del comitato aziendale (Betriebsrat)
• il comitato aziendale ha potere di veto
• il monitoraggio non può iniziare legalmente finché non viene raggiunto un accordo ("Betriebsvereinbarung").

Soglia alta per "proporzionalità" e "necessità"

I tribunali e le autorità di protezione dei dati tedeschi applicano test di proporzionalità più rigorosi rispetto alla base di riferimento del GDPR.

Interpretazioni chiave:

• Il monitoraggio continuo è generalmente ritenuto eccessivo
• È severamente vietato effettuare controlli al di fuori dell'orario di lavoro

La Germania considera la privacy sul posto di lavoro un diritto costituzionale (articoli 2 e 10), quindi il livello è alto.

Regole di monitoraggio estremamente rigide

Secondo la giurisprudenza tedesca e il BDSG:

• Il monitoraggio senza una base giuridica adeguata è quasi sempre illegale
• Consentito solo in casi molto ristretti di forte sospetto di attività criminale e
• Solo se non esistono mezzi più blandi
• Anche in questo caso, le misure devono essere immediatamente interrotte una volta risolto il sospetto

Disposizioni BDSG specifiche per i dati dei dipendenti

Il BDSG §26 aggiunge requisiti al GDPR, tra cui:

• Il monitoraggio può essere utilizzato solo se “necessario per lo svolgimento del rapporto di lavoro”
• Gli interessi dei datori di lavoro devono essere bilanciati con i diritti dei lavoratori
• I datori di lavoro devono considerare le alternative prima del monitoraggio
• I dati sensibili richiedono protezioni rafforzate esplicite

Questa disposizione restringe notevolmente ciò che i datori di lavoro possono fare legalmente.

I requisiti di documentazione sono più pesanti

La Germania si aspetta una documentazione interna dettagliata, tra cui:

• una valutazione d’impatto di monitoraggio dedicata (oltre la DPIA)
• accordi dettagliati del comitato aziendale
• documentazione tecnica sul funzionamento del monitoraggio
• chiare regole di accesso basate sui ruoli
• pratiche rigorose di minimizzazione dei dati

Le DPA tedesche spesso richiedono questi documenti durante gli audit.

Le DPA regionali possono imporre interpretazioni più restrittive

La Germania ha 16 autorità statali per la protezione dei dati. Ciascuno può interpretare il monitoraggio del posto di lavoro in modo diverso.

Molti DPA richiedono:

• giustificazione più forte per la telemetria
• periodi di conservazione brevi
• ulteriori valutazioni del rischio
• consultazione preventiva per i sistemi ad alto rischio

Regolazione esplicita del monitoraggio nel Codice del lavoro

La Polonia ha disposizioni dirette ed esplicite nel Codice del lavoro sul monitoraggio, che vanno oltre il generico GDPR.

Il Codice del Lavoro regola nel dettaglio:

• Monitoraggio video (CCTV)
• Monitoraggio posta elettronica/IT
• Altre forme di monitoraggio che incidono sulla privacy dei dipendenti (ad esempio controllo degli accessi, GPS in alcuni casi)

I datori di lavoro che utilizzano strumenti devono garantire che la loro configurazione sia compatibile con queste specifiche disposizioni del Codice del lavoro, non solo con il GDPR.

Scopi legittimi rigorosamente definiti

Affinché il monitoraggio sia legale, la legge polacca lo collega esplicitamente a scopi specifici, come:

• garantire l’organizzazione e la sicurezza del lavoro
• protezione della proprietà
• controllare la produzione
• salvaguardare le informazioni riservate

Il monitoraggio non può essere utilizzato per una sorveglianza generale illimitata o per scopi estranei a questi scopi legittimi.

Forti obblighi di informazione dei dipendenti nelle norme interne

Oltre alla trasparenza generale del GDPR, la legge polacca richiede che:

• il monitoraggio deve essere descritto nei regolamenti interni (ad esempio regolamenti sul lavoro/politiche sul posto di lavoro), e
• i dipendenti devono essere informati per iscritto, prima che abbia inizio il monitoraggio.

Le informazioni devono riguardare almeno:

• tipo di monitoraggio (ad esempio CCTV, email/log)
• aree/dispositivi coperti
• scopo del monitoraggio
• la sua portata e i suoi metodi
• tempo di ritenzione

Limitazioni sulle aree che possono essere monitorate

Il Codice del lavoro offre una protezione speciale a determinati spazi, simile ad altri severi paesi dell'UE:

• Il monitoraggio non è consentito in aree quali spogliatoi, aree sanitarie, mense o sale fumatori
• le eccezioni sono possibili solo a condizioni molto rigorose e con garanzie aggiuntive (come mascheramento, sfocatura, limiti tecnici)

Qualsiasi funzione nel software di monitoraggio dei dipendenti che potrebbe essere utilizzata per la sorveglianza visiva deve rispettare questi divieti a livello di area.

Monitoraggio della posta elettronica e dell'IT: garanzie aggiuntive

La Polonia regolamenta esplicitamente il monitoraggio della posta elettronica e delle comunicazioni elettroniche dei dipendenti:

• Deve essere necessario garantire l'organizzazione del lavoro, il corretto utilizzo degli strumenti di lavoro o la protezione delle informazioni
• Non deve violare il segreto della corrispondenza oltre quanto necessario per lo scopo dichiarato
• La corrispondenza privata non dovrebbe essere consultata o trattata sistematicamente

Consultazione/informazione dei rappresentanti dei dipendenti

Laddove esistono rappresentanti dei dipendenti o sindacati, i datori di lavoro sono generalmente tenuti a:

• informarli e consultarli sull'introduzione di sistemi di monitoraggio
• presentare le regole interne e la giustificazione

Si tratta di una procedura meno rigida rispetto alla codeterminazione di tipo tedesco, ma pur sempre un importante requisito pratico in Polonia.

Forte attenzione alla proporzionalità e alla necessità sul posto di lavoro

ÚOOÚ sottolinea che il monitoraggio deve essere eccezionale e non routinario. I datori di lavoro devono giustificare il motivo per cui sono necessari strumenti di monitoraggio e perché alternative meno invasive non possono raggiungere lo stesso scopo.

Monitoraggio consentito solo per motivi gravi e giustificati

Secondo il Codice del lavoro ceco e le linee guida ÚOOÚ, i motivi accettabili includono:

• proteggere la proprietà
• prevenire incidenti di sicurezza
• garantendo la sicurezza dei dipendenti
• salvaguardare informazioni sensibili o riservate

Il monitoraggio non può essere utilizzato per monitorare sistematicamente le prestazioni se esistono metodi meno invasivi.

Ulteriori requisiti di trasparenza

Oltre al GDPR, la legge ceca richiede:

• informazioni esplicite, chiare e comprensibili ai dipendenti
• specificazione di quali strumenti vengono utilizzati, quali dati vengono raccolti e per quanto tempo vengono conservati
• pubblicare o fornire norme scritte sul monitoraggio

I datori di lavoro devono inoltre specificare quali tipi di comportamenti o attività vengono supervisionati.

Dichiarazioni di monitoraggio ampie o vaghe non sono accettabili.

È vietato monitorare le comunicazioni private

ÚOOÚ vieta esplicitamente ai datori di lavoro di:

• accedere alle email private
• monitorare i messaggi personali
• raccogliere dati di chiara appartenenza privata (anche su dispositivi aziendali)

Se strumenti come CleverControl registrano i canali di comunicazione, i datori di lavoro cechi devono garantire che il monitoraggio rimanga strettamente legato al lavoro.

Restrizioni sulla sorveglianza audio e video

Il Codice del lavoro ceco prevede limitazioni rigorose:

• La registrazione audio è quasi sempre illegale sul posto di lavoro
• La videosorveglianza deve essere necessaria e proporzionata
• Sono vietate le telecamere in spazi quali: spogliatoi, aree di sosta, strutture sociali (bagni, docce), sale relax

Il monitoraggio deve evitare di catturare il comportamento privato.

Regole rigorose di monitoraggio per le indagini penali

Come in molti stati dell’UE, la Repubblica Ceca vieta il monitoraggio non autorizzato.

È consentito solo se:

• vi è il ragionevole sospetto di un reato penale
• il monitoraggio è temporaneo
• non esiste un metodo meno invasivo
• è conforme alle leggi sulla procedura penale

Consultazione con i rappresentanti dei dipendenti

Se un'azienda ha rappresentanti dei dipendenti o un sindacato, la legge ceca richiede:

• informazioni
• discussione
• consultazione

prima di introdurre sistemi di monitoraggio sul posto di lavoro.

Forte enfasi sulla “correttezza” sotto la guida dell’ICO

L'Information Commissioner's Office (ICO) del Regno Unito aggiunge un ulteriore livello interpretativo non presente nel GDPR dell'UE:

Il monitoraggio deve essere equo, che viene valutato attraverso:

• equilibrio degli interessi
• ragionevolezza
• trasparenza
• evitare intrusioni ingiustificate nella vita privata

Il "test di equità" è enfatizzato in modo univoco nel Regno Unito.

Requisito di una “Valutazione dei Legittimi Interessi” (LIA) documentata

Sebbene il GDPR incoraggi le LIA, il Regno Unito le considera effettivamente obbligatorie per il monitoraggio dei dipendenti.

I datori di lavoro che implementano gli strumenti dovrebbero avere:

• una LIA scritta
• compresi scopo, necessità, alternative, proporzionalità
• e misure di mitigazione

L'ICO richiede regolarmente LIA durante gli audit.

Aspettative elevate per la consultazione con i dipendenti

A differenza della Germania o della Spagna, il Regno Unito non richiede legalmente l’approvazione del comitato aziendale, ma le linee guida ICO prevedono:

• consultazione aperta con i dipendenti o i loro rappresentanti
• discussione sul motivo per cui è necessario il monitoraggio
• spiegazione dei rischi e delle misure di salvaguardia

Forti restrizioni al monitoraggio dell'"uso privato".

Il Regno Unito prevede tutele speciali sulle comunicazioni private dei dipendenti o sull'uso dei dispositivi personali.

I datori di lavoro devono garantire:

• non si accede né si leggono e-mail o messaggi privati
• qualsiasi monitoraggio dell'uso di Internet esclude contenuti chiaramente privati
• Il monitoraggio BYOD (dispositivo personale) è estremamente limitato

ICO dà priorità al rispetto delle ragionevoli aspettative di privacy dei dipendenti.

Requisiti speciali di monitoraggio

Alcuni controlli ad alto rischio nel Regno Unito sono consentiti solo in circostanze eccezionali, seguendo le rigide regole ICO:

• dove vi è il ragionevole sospetto di attività criminale
• il monitoraggio deve essere mirato e limitato nel tempo
• non può essere utilizzato per la revisione generale delle prestazioni
• deve essere approvato a livello dirigenziale
• deve fermarsi una volta terminata l'indagine

Requisiti aggiuntivi per il monitoraggio audio e video

La registrazione audio sul posto di lavoro è considerata altamente invasiva dalla legge britannica:

• generalmente scoraggiato
• consentito solo con una giustificazione molto forte
• la registrazione audio senza il giusto consenso è quasi sempre illegale

Il monitoraggio video richiede:

• avvisi visibili
• periodi di conservazione definiti
• giustificazione per catturare dipendenti identificabili

Valutazione dell'impatto sulla protezione dei dati (DPIA) fortemente attesa

Sebbene il GDPR del Regno Unito rispecchi il GDPR dell’UE, l’ICO è particolarmente severo riguardo alle DPIA per:

• monitoraggio dello schermo
• rilevamento della posizione

Il Regno Unito li considera ad alto rischio per impostazione predefinita e sono previste DPIA anche se non esplicitamente previste dalla legge.

Ulteriore attenzione al monitoraggio automatizzato/algoritmico

L’ICO richiede una trasparenza specifica quando gli strumenti di monitoraggio influenzano:

• valutazione delle prestazioni
• punteggio del comportamento
• decisioni gestionali automatizzate

Obblighi espliciti ex legge 190/2018 per il monitoraggio dei dipendenti

La Romania è uno dei pochi paesi dell’UE con una legge speciale che regola direttamente il monitoraggio dei dipendenti.

L’articolo 5 della Legge 190/2018 aggiunge condizioni più stringenti rispetto al GDPR, tra cui:

• Il monitoraggio deve essere strettamente necessario per il legittimo interesse del datore di lavoro
• Non è disponibile nessun altro metodo meno invasivo
• Il monitoraggio deve essere limitato in termini di durata, ambito e accesso
• Il monitoraggio non deve "eccedere a quanto necessario" per lo scopo dichiarato

DPIA obbligatoria per il monitoraggio dei dipendenti

Ai sensi della legge 190/2018, la Romania richiede esplicitamente una valutazione dell’impatto sulla protezione dei dati (DPIA) prima di implementare qualsiasi sistema di monitoraggio dei dipendenti.

La DPIA deve includere:

• giustificazione della necessità
• valutazione della proporzionalità
• rischi per i diritti dei lavoratori
• misure di salvaguardia per ridurre tali rischi
• alternative considerate

Questo requisito è scritto direttamente nella legge rumena.

Rigorosi obblighi di trasparenza e informazione preventiva

La legge rumena richiede che i dipendenti siano informati:

• in anticipo
• in modo chiaro ed esplicito
• sulla natura, lo scopo, la durata, i metodi e la portata del monitoraggio

Il datore di lavoro deve giustificare:

• perché è necessario il monitoraggio
• quanto durerà il monitoraggio
• come verranno utilizzati i dati raccolti
• chi vi accederà

Il monitoraggio deve essere limitato alla durata massima necessaria

La Legge 190/2018 prevede che il monitoraggio:

• essere limitato nel tempo
• non essere costante o indefinito
• interrompere una volta raggiunto lo scopo del monitoraggio

Restrizioni sul monitoraggio degli spazi privati e delle comunicazioni private

Simile ad altri stati dell’UE, ma con interpretazioni più forti sotto la guida ANSPDCP:

• Nessun monitoraggio nelle aree private (sale relax, servizi igienici, aree sociali)
• Il monitoraggio deve evitare la raccolta di comunicazioni private
• I datori di lavoro devono implementare controlli tecnici per impedire l'acquisizione accidentale di contenuti personali

Forte enfasi sulle alternative

La legge rumena richiede unicamente che il datore di lavoro dimostri che "non esistono altri mezzi meno invasivi" per raggiungere lo stesso scopo.

Molti paesi dell’UE lo lasciano intendere, la Romania lo richiede esplicitamente. Questa è una soglia alta.

Considerazioni sui diritti collettivi del lavoro

Se esistono sindacati o rappresentanti dei dipendenti, i datori di lavoro dovrebbero:

• informarli
• discutere i piani di monitoraggio
• garantire il rispetto degli accordi collettivi di contrattazione

Il "monitoraggio comportamentale" è consentito solo con una forte giustificazione

La pratica ungherese è piuttosto rigorosa nel monitorare il comportamento e le prestazioni dei dipendenti.

• Gli strumenti di monitoraggio (compresi software come CleverControl) possono essere utilizzati solo se strettamente necessario per proteggere un interesse legittimo (proprietà, sicurezza, segreti commerciali, ecc.).
• La pura produttività o il "controllo generale" senza rischi concreti sono spesso visti come sproporzionati.
• I datori di lavoro devono essere in grado di dimostrare il motivo per cui è necessario ogni tipo specifico di monitoraggio (ad esempio utilizzo del sito Web, screenshot, monitoraggio delle app).

Il test di necessità/proporzionalità viene applicato in modo molto rigoroso dal NAIH.

Politica interna scritta + Obblighi di informazione individuale

Oltre alla trasparenza standard del GDPR, la pratica ungherese prevede:

una politica interna scritta (ad esempio, politica IT/di monitoraggio) che regola chiaramente:

• cosa viene monitorato
• su quali dispositivi
• durante quale periodo di tempo
• con quali mezzi tecnici
• per quali scopi esatti

informazioni individuali a ciascun dipendente, non solo una generica clausola contrattuale.

Il monitoraggio dell’uso privato è fortemente limitato

Le autorità ungheresi assumono una posizione severa sull’uso privato degli strumenti aziendali:

• I datori di lavoro possono limitare o vietare l'uso privato dei dispositivi aziendali, ma
• se è consentito l'uso privato, non è consentito l'accesso sistematico a contenuti privati (e-mail, messaggi, siti Web chiaramente contrassegnati come privati).
• Anche se l’uso privato è vietato, i dipendenti mantengono un’aspettativa residua di privacy, quindi l’ispezione approfondita dei contenuti è rischiosa.

Requisiti rigorosi per gli avvisi di monitoraggio

Sebbene il GDPR imponga generalmente limiti rigorosi al monitoraggio eccezionale, l’interpretazione ungherese è estremamente restrittiva:

• Il monitoraggio dei dipendenti senza un'adeguata base giuridica è considerato quasi sempre illegale.
• Può essere accettabile solo in casi molto rari che coinvolgono reati penali, e anche in quel caso di solito è condotto dalle forze dell'ordine, non dai datori di lavoro.

Posizione e tracciamento GPS considerati altamente intrusivi

NAIH considera il monitoraggio della posizione (GPS) particolarmente sensibile:

• Il monitoraggio costante e in tempo reale dei dipendenti è considerato eccessivo, tranne che per lavori molto specifici (ad esempio, alcuni trasporti, sicurezza, servizi sul campo).
• Anche in questo caso, il monitoraggio deve essere limitato all’orario di lavoro e ridotto al minimo.

Standard di proporzionalità molto forte (pratica APD/GBA)

Il Belgio applica un test di proporzionalità più rigoroso della media:

• Il monitoraggio deve essere, in modo dimostrabile, il metodo meno invasivo disponibile.
• I datori di lavoro devono dimostrare un’esigenza specifica e concreta, non una giustificazione generale della produttività.
• Il monitoraggio generale o continuo (ad esempio, l'acquisizione dello schermo sempre attivo) è spesso considerato eccessivo.

L’APD/GBA pone la dignità e l’autonomia dei dipendenti come valori fondamentali, rendendo il Belgio più severo rispetto alla maggior parte degli stati dell’UE.

Limiti rigorosi di monitoraggio dei dipendenti

• Il monitoraggio senza un’adeguata base giuridica non è praticamente mai legale, nemmeno in caso di cattiva condotta.
• Le decisioni dell'APD/GBA respingono costantemente gli strumenti intrusivi a meno che non siano coinvolte attività criminali immediate e molto gravi e anche in questo caso su base temporanea.

Consultazione del comitato aziendale/sindacato richiesta quando presente

Il diritto del lavoro belga richiede che:

Se esiste un Comitato Aziendale, una Delegazione Sindacale o un Comitato per la Prevenzione e la Protezione sul Lavoro, i datori di lavoro devono consultarli prima di implementare sistemi di monitoraggio.

Ciò include:

• regole di monitoraggio
• mezzi tecnici
• scopi
• periodi di conservazione
• politiche di utilizzo

Il Belgio non è rigido come la Germania, ma la consultazione è legalmente obbligatoria nelle organizzazioni con organi rappresentativi.

Restrizioni sul monitoraggio della posta elettronica e di Internet

Il Belgio applica regole dettagliate simili ai paesi più severi dell’UE:

• I datori di lavoro devono evitare di leggere il contenuto delle comunicazioni personali.
• Anche le comunicazioni aziendali sono accessibili solo per motivi legittimi e necessari.
• Se è consentito l’uso privato, gli strumenti di monitoraggio devono essere configurati per evitare la raccolta di contenuti privati.

Monitoraggio audio e video fortemente circoscritto

La legge belga richiede:

• Un livello molto elevato di giustificazione per l'acquisizione di audio o video
• Nessun monitoraggio negli spazi privati o semi-privati (sale relax, servizi igienici, ecc.)
• Segnaletica chiara e visibile per le telecamere
• Un programma di conservazione rigoroso (spesso solo giorni o settimane)

Il monitoraggio audio in particolare è fortemente sconsigliato e quasi sempre illegale negli ambienti d'ufficio.

Aspettative DPIA migliorate

Il Belgio considera molti scenari di monitoraggio dei dipendenti come presunti ad alto rischio, richiedendo:

• una DPIA completa
• documentazione dettagliata dell'ambito di monitoraggio
• individuazione precisa delle alternative
• forti misure di mitigazione

La DPA belga richiede spesso la documentazione della DPIA negli audit.

Autorizzazione obbligatoria del comitato aziendale per il monitoraggio (WOR)

I Paesi Bassi richiedono rigorosamente il consenso del comitato aziendale prima di implementare qualsiasi sistema di monitoraggio dei dipendenti.

Ai sensi dell'articolo 27 del WOR:

• I sistemi di monitoraggio che influiscono sulla privacy dei dipendenti non possono essere introdotti senza l'approvazione del comitato aziendale
• Non si tratta solo di consultazione: il comitato aziendale ha veri diritti di codecisione
• Senza approvazione, il monitoraggio è illegale

La DPA olandese (AP) applica un test di proporzionalità molto severo

L'AP è una delle autorità di protezione dei dati più severe in Europa.

Il suo standard richiede:

• Il monitoraggio deve essere l’ultima risorsa, dopo aver valutato tutte le alternative meno invasive.
• Anche il monitoraggio giustificato deve essere configurato per essere il più minimo possibile.

I datori di lavoro devono documentare in dettaglio perché è necessario il monitoraggio e come sono state prese in considerazione le alternative.

Limiti rigorosi in circostanze penali molto rare

Le regole olandesi sono estremamente rigide:

Il monitoraggio senza un’adeguata base giuridica è vietato in quasi tutte le situazioni.

È consentito solo quando:

• c'è un serio sospetto di un crimine
• il monitoraggio è temporaneo
• il datore di lavoro non può ottenere lo stesso risultato con altri mezzi
• e solo dopo aver informato l'AP se il rischio è elevato.

Forte protezione delle comunicazioni private e dell'uso personale

I Paesi Bassi tutelano fortemente la privacy dei dipendenti anche sugli asset lavorativi:

• Se è consentito l’uso privato dei dispositivi di lavoro (formalmente o informalmente), gli strumenti di monitoraggio devono essere configurati per escludere i contenuti privati.
• Leggere email personali, chat o messaggi privati è quasi sempre illegale.
• Il monitoraggio dell’uso di Internet deve concentrarsi su categorie e modelli, non sui contenuti privati.

È prevista una rigorosa separazione tra dati privati e lavorativi.

Monitoraggio audio e video altamente limitato

L'AP considera il monitoraggio audio e video molto invasivo:

• La registrazione audio è quasi sempre inammissibile.
• Il monitoraggio video deve essere rigorosamente motivato e mai continuativo.
• Le telecamere non possono filmare i dipendenti nel loro spazio di lavoro a meno che non siano necessarie per gravi ragioni di sicurezza.
• Il monitoraggio non deve mai catturare aree relax, servizi igienici o spazi personali.

Grandi aspettative per la documentazione DPIA

L'AP si aspetta una DPIA completa per:

• monitoraggio dello schermo
• rilevamento della posizione
• qualsiasi monitoraggio continuo o basato sul comportamento

La DPIA deve essere dettagliata, comprese le alternative considerate e le misure di mitigazione.

Co-determinazione del comitato aziendale per i sistemi di monitoraggio

Nelle aziende con un comitato aziendale (Betriebsrat), l'Austria richiede un contratto di lavoro (Betriebsvereinbarung) per qualsiasi sistema che monitora il comportamento o le prestazioni dei dipendenti.

• Il comitato aziendale ha diritti di co-determinazione, non solo di consultazione.
• Senza un contratto di lavoro valido, l'introduzione di un sistema di monitoraggio può essere illegale e anche una violazione del diritto del lavoro.

Il "controllo permanente" del comportamento è fortemente sfavorito

La pratica austriaca considera altamente problematico il monitoraggio permanente e dettagliato delle prestazioni/comportamenti:

• Il monitoraggio continuo (ad esempio registri dettagliati delle attività, acquisizione costante di schermate) è generalmente considerato sproporzionato.
• Il monitoraggio deve essere mirato, limitato nella portata e nel tempo e chiaramente giustificato.

Il DSB tende ad applicare una lente di rigorosa proporzionalità per gli strumenti sul posto di lavoro.

Alta sensibilità durante la registrazione di audio e immagini

L'Austria considera particolarmente intrusiva la registrazione di audio e immagini/video sul posto di lavoro:

• La registrazione audio non è quasi mai accettabile nei normali ambienti d'ufficio.
• L'acquisizione di video/schermate deve essere fortemente giustificata (ad esempio in ambienti critici per la sicurezza) e configurata all'ambito minimo necessario.
• Qualsiasi monitoraggio che consenta l'osservazione dei dipendenti sul posto di lavoro per periodi più lunghi è soggetto a un controllo particolarmente rigoroso.

Tutela della sfera privata anche sui dispositivi di lavoro

Anche quando i dispositivi sono di proprietà dell’azienda, la legge austriaca e la pratica del DSB sottolineano:

• Rispetto della sfera privata del dipendente, soprattutto laddove è tollerato l'uso privato.
• Gli strumenti di monitoraggio devono essere configurati per evitare la lettura di contenuti chiaramente privati (email personali, chat private, ecc.).

L'ispezione approfondita dei contenuti delle comunicazioni è rischiosa e solitamente eccessiva quando esistono opzioni meno invasive (metadati, categorie).

Necessità di politiche interne chiare e trasparenza

Al di là della generica trasparenza del GDPR, la pratica austriaca prevede:

chiare politiche interne / Betriebsvereinbarungen che descrivono precisamente:

• cosa viene monitorato
• quali strumenti vengono utilizzati
• finalità e base giuridica
• periodi di conservazione
• chi ha accesso

informazioni scritte ai dipendenti, non solo un riferimento generale in un contratto.

Questo quadro scritto è essenziale quando si implementano strumenti di monitoraggio.

Il monitoraggio non deve "sovraccaricare" o "osservare sistematicamente" i dipendenti

Il diritto del lavoro svizzero vieta il monitoraggio di:

• comportamento dei dipendenti
• movimento/attività
• osservazione continua
• monitoraggio dettagliato delle prestazioni

se comporta rischi per la salute, stress, pressioni o viola la dignità dei dipendenti.

Obbligo esplicito di evitare il controllo della vita privata

Secondo la LPD e i principi svizzeri del lavoro:

• Gli strumenti non devono intromettersi nella sfera privata, nemmeno sui dispositivi aziendali.
• Se è consentito l’uso privato (anche occasionale), i datori di lavoro devono configurare strumenti di monitoraggio per evitare di acquisire contenuti privati.

Questa aspettativa è più esplicita e protettiva rispetto a molti stati dell’UE.

Forte requisito di trasparenza (chiaro, preavviso)

La legge svizzera impone ai dipendenti di ricevere informazioni chiare e anticipate su:

• cosa viene monitorato
• come viene monitorato
• lo scopo
• il tipo di dati raccolti
• durata della conservazione
• regole di accesso

Avvisi generici o vaghi non sono sufficienti.

Il monitoraggio per il controllo delle prestazioni richiede una giustificazione aggiuntiva

Secondo l’IFPDT:

• Il monitoraggio che valuta la produttività o il comportamento è ammissibile solo se strettamente necessario.
• Anche in questo caso, i dati devono essere aggregati o resi anonimi quando possibile.
• L’identificazione diretta dei dipendenti dovrebbe essere evitata a meno che non esista alcuna alternativa.

Ciò va oltre il GDPR imponendo maggiori limitazioni alla valutazione delle prestazioni.

Divieto rigoroso di monitoraggio

• forte sospetto di attività criminale
• misure temporanee e mirate
• valutazione della proporzionalità
• di solito con la supervisione del diritto penale

I trasferimenti transfrontalieri di dati sono regolati diversamente dal GDPR

La Svizzera ha una propria lista di “paesi adeguati”.

I trasferimenti fuori dalla Svizzera richiedono:

• decisione di adeguatezza, OR
• SCC svizzeri (non le versioni UE), OR
• garanzie equivalenti

Le SCC svizzere differiscono leggermente da quelle UE, quindi i datori di lavoro devono utilizzare la versione corretta.

La presenza del comitato aziendale è rara ma è prevista la consultazione laddove esiste

La Svizzera non richiede comitati aziendali per impostazione predefinita, ma:

• dove esistono organi di rappresentanza dei lavoratori
• è prevista una consultazione prima di introdurre il monitoraggio.

Proporzionalità rigorosa e approccio "ultima risorsa".

La DPA ellenica interpreta la proporzionalità in modo molto rigoroso:

• Gli strumenti di monitoraggio dei dipendenti devono essere utilizzati solo se non esiste un’alternativa meno invasiva.
• I datori di lavoro devono giustificare perché il monitoraggio è necessario e perché le soluzioni più morbide sono insufficienti.
• La produttività generale o il monitoraggio delle prestazioni di routine sono spesso considerati sproporzionati.

La politica interna scritta è obbligatoria

La legge greca prevede:

• una politica aziendale interna scritta che descriva il monitoraggio
• dettagli su scopo, ambito, metodo e accesso
• chiara distinzione tra usi consentiti e usi vietati
• comunicazione diretta ai dipendenti prima dell'inizio del monitoraggio

Un’informativa privacy GDPR generica non è sufficiente.

Divieto esplicito di monitorare le comunicazioni private

La Grecia protegge fortemente la vita privata dei dipendenti:

• Non è possibile accedere, monitorare o rivedere e-mail private, chat e comunicazioni personali.
• Anche sui dispositivi aziendali, i datori di lavoro devono garantire che gli strumenti di monitoraggio non catturino contenuti privati.
• Se l’uso personale è consentito, un monitoraggio più approfondito è di fatto vietato.

Il monitoraggio deve rispettare i requisiti delle note legali

La DPA greca segue una visione estremamente rigorosa:

Il monitoraggio senza una base giuridica adeguata è quasi sempre illegale.

Ammesso solo in rari casi di grave sospetto criminale, con:

• stretta necessità
• breve durata
• forte documentazione
• ambito limitato

Le norme CCTV sono molto rigide (applicate anche al monitoraggio digitale)

Sebbene progettata per la CCTV, la DPA greca applica standard simili a qualsiasi sistema in grado di monitorare o registrare i dipendenti:

• Non deve monitorare continuamente le postazioni di lavoro.
• Non deve prendere di mira i dipendenti individualmente a meno che non sia assolutamente necessario.
• Non deve coprire sale relax, mense, aree di riposo o zone private.
• Le registrazioni devono avere periodi di conservazione brevi.

DPIA prevista per il monitoraggio della maggior parte dei dipendenti

La legge 4624/2019 e le linee guida HDPA considerano il monitoraggio dei dipendenti come ad alto rischio:

• La DPIA è richiesta per la maggior parte delle implementazioni
• Deve documentare alternative, rischi e mitigazione
• L'HDPA può richiedere prove in caso di ispezioni

Consultazione con i rappresentanti dei dipendenti

Laddove esistono sindacati, comitati dei dipendenti o rappresentanti del personale:

• i datori di lavoro devono consultarli prima di introdurre il monitoraggio
• e discutere la politica interna scritta

Interpretazione della proporzionalità rigorosa e della necessità

La DPA cipriota applica un rigoroso test di proporzionalità, simile a quello della Grecia:

• Il monitoraggio deve essere chiaramente necessario per uno scopo specifico e legittimo.
• Per prima cosa devono essere considerate le alternative meno invasive.
• Il monitoraggio continuo o altamente invasivo (tracciamento costante, screenshot) è generalmente sfavorito.

I datori di lavoro devono essere in grado di giustificare il motivo per cui è richiesto il metodo di monitoraggio utilizzato.

Informazioni dettagliate e obbligatorie sui dipendenti

Cipro richiede un avviso più esplicito e dettagliato rispetto alla trasparenza standard del GDPR:

I dipendenti devono essere informati su:

• scopo e necessità del monitoraggio
• strumenti specifici utilizzati
• modalità e frequenza di raccolta dei dati
• chi ha accesso
• periodi di conservazione
• diritti e meccanismi di reclamo

Una informativa privacy generica non è ritenuta sufficiente.

Divieto di monitoraggio di aree private e dati personali

La DPA cipriota vieta espressamente il monitoraggio:

• sale pausa
• servizi igienici
• zone pranzo
• qualsiasi spazio "privato" o semi-privato
• chat private, messaggi personali o account di posta elettronica personali
• contenuto di navigazione chiaramente privato

Se i datori di lavoro consentono un uso privato limitato dei dispositivi, il monitoraggio deve escludere qualsiasi acquisizione di contenuti privati.

Il monitoraggio deve seguire i requisiti di avviso legale, fatta eccezione per il sospetto penale

• Il monitoraggio eccezionale è illegale, tranne nei casi gravi di sospetto criminale.
• Anche allora, deve essere mirato, limitato nel tempo e proporzionato.
• La sorveglianza per la produttività, le prestazioni o la supervisione di routine è completamente vietata quando manca la base legale e il preavviso richiesti.

DPIA prevista per la maggior parte dei sistemi di monitoraggio dei dipendenti

Mentre il GDPR richiede la DPIA per gli strumenti ad alto rischio, la DPA cipriota tratta il monitoraggio dei dipendenti in generale come una categoria ad alto rischio, il che significa che i datori di lavoro dovrebbero:

• condurre una DPIA prima della distribuzione
• documentare i rischi e le misure di mitigazione
• giustificare la necessità
• valutare soluzioni alternative
• fornire prove su richiesta della DPA

Consultazione con i rappresentanti dei dipendenti

Se esistono comitati o sindacati dei dipendenti:

• i datori di lavoro devono consultarli prima di implementare sistemi di monitoraggio
• deve presentare la politica di monitoraggio e la giustificazione

Questa è un’aspettativa legale secondo le pratiche di lavoro cipriote.

Requisito di trasparenza molto forte (oltre il GDPR)

La Danimarca è uno dei paesi dell’UE più severi in materia di trasparenza:

I dipendenti devono essere informati in modo chiaro, specifico e individuale su qualsiasi monitoraggio.

Il datore di lavoro deve descrivere esplicitamente:

• quali strumenti di monitoraggio vengono utilizzati
• quali dati vengono raccolti
• la frequenza con cui vengono raccolti i dati
• chi ha accesso
• periodi di conservazione

La DPA danese ha sanzionato le aziende per insufficienza di dettagli negli avvisi di monitoraggio dei dipendenti.

Il monitoraggio deve essere strettamente necessario (test di proporzionalità avanzato)

La legge danese e le linee guida di Datatilsynet richiedono che il monitoraggio sia:

• necessario
• proporzionato
• rilevante per l'incarico lavorativo

La DPA rileva regolarmente violazioni quando i datori di lavoro utilizzano:

• monitoraggio continuo dello schermo
• tracciamento eccessivo di Internet

Divieto esplicito di monitoraggio non autorizzato

La Danimarca vieta il monitoraggio non autorizzato tranne che in contesti di indagine penale estremamente specifici, e anche in questi casi:

• il datore di lavoro deve avere ragioni molto forti
• il monitoraggio deve essere temporaneo
• solo per un sospetto chiaramente definito

I rappresentanti dei dipendenti devono essere informati

Quando sul posto di lavoro sono presenti rappresentanti dei dipendenti o un comitato di cooperazione:

• devono essere informati e coinvolti nelle discussioni sul monitoraggio
• sebbene non così severa come la Germania o i Paesi Bassi, la Danimarca si aspetta un dialogo interno documentato
• la rappresentanza dei lavoratori deve ricevere tutte le informazioni pertinenti prima dell'implementazione

Datatilsynet incoraggia fortemente tale consultazione.

Regole severe sul monitoraggio della posta elettronica e di Internet

La pratica danese impone standard più elevati per il monitoraggio delle comunicazioni digitali:

• La lettura del contenuto delle e-mail dei dipendenti è consentita solo in situazioni eccezionali.
• I datori di lavoro devono evitare di acquisire o leggere comunicazioni personali anche se inviate da dispositivi di lavoro.
• Il monitoraggio di Internet deve concentrarsi su categorie o modelli, non sul contenuto specifico della pagina.

Registrazione dello schermo

Datatilsynet tratta:

• cattura continua dello schermo

come altamente invasivi e raramente leciti a meno che non siano strettamente richiesti per scopi di sicurezza o conformità.

Una DPIA è fortemente raccomandata (ed effettivamente prevista) per tali funzionalità.

Periodi di conservazione brevi e chiari

La DPA danese richiede:

• periodi di conservazione brevi e ben definiti per il monitoraggio dei dati
• cancellazione regolare
• politiche di fidelizzazione facilmente accessibili ai dipendenti

Standard estremamente elevati di trasparenza e prevedibilità

La Svezia ha una delle aspettative di trasparenza più rigorose nell’UE.

IMY richiede ai datori di lavoro di informare chiaramente i dipendenti su:

• motivi del monitoraggio
• strumenti esatti utilizzati
• dati raccolti e "quanto spesso"
• periodi di conservazione
• chi accede alle informazioni
• se il monitoraggio influisce sulla valutazione del lavoro

Non basta un’informazione generica, la comunicazione deve essere concreta, specifica e prevedibile.

Il monitoraggio non deve incidere sulla “dignità dei dipendenti”

Secondo i principi del lavoro svedesi e la pratica IMY:

• Il monitoraggio non deve minare la dignità, l’autonomia o la fiducia dei dipendenti.
• I sistemi che creano pressione, stress o un senso di supervisione costante possono essere considerati illegali.

Forti restrizioni sul monitoraggio di e-mail, Internet e comunicazioni

Le linee guida svedesi considerano il monitoraggio delle comunicazioni digitali altamente invasivo:

• L'accesso al contenuto della posta elettronica è consentito solo in casi specifici ed eccezionali (ad esempio, gestione delle assenze, incidenti di sicurezza).
• È severamente vietato monitorare le comunicazioni private.
• Anche la raccolta dei metadati deve essere limitata a quanto necessario.

Gli strumenti di monitoraggio devono essere configurati per evitare di catturare messaggi personali o materiale chiaramente privato.

Monitoraggio dello schermo

IMY considera:

• screenshot frequenti
• monitoraggio sullo schermo dal vivo

essere forme di sorveglianza molto intrusive.

Periodi di conservazione brevi e rigorosa minimizzazione dei dati

La Svezia richiede ai datori di lavoro di:

• definire brevi periodi di conservazione
• eliminare regolarmente i dati di monitoraggio
• applicare un rigoroso controllo degli accessi
• memorizzare solo le informazioni minime necessarie.

Obblighi di consultazione attraverso la rappresentanza dei lavoratori

Se sul posto di lavoro è presente una rappresentanza sindacale o un comitato locale dei lavoratori:

• i datori di lavoro devono informarli o consultarli prima di introdurre sistemi di monitoraggio
• fornire documentazione e giustificazione
• consentire il dialogo sulla proporzionalità e sulla necessità.

Forte enfasi sulla "correttezza" e sulle aspettative di privacy dei dipendenti

L’Irlanda segue il GDPR ma pone particolare enfasi sull’equità:

• Il monitoraggio deve essere chiaramente prevedibile per i dipendenti.
• I datori di lavoro devono valutare le ragionevoli aspettative di privacy dei dipendenti in ogni determinata situazione.
• Il monitoraggio a sorpresa o il monitoraggio oltre quanto ragionevolmente previsto dai dipendenti può essere illegale anche se trasparente sulla carta.

Requisiti di trasparenza dettagliati e specifici

Il DPC si aspetta comunicazioni ai dipendenti molto esplicite e dettagliate, tra cui:

• descrizione tecnica di ciò che effettivamente registra lo strumento di monitoraggio
• frequenza del monitoraggio
• se vengono utilizzate analisi automatizzate
• chi nell'organizzazione esamina i dati
• se il monitoraggio può influenzare decisioni disciplinari o di performance

Divieto di monitoraggio sproporzionato o continuo

Le linee guida del DPC sono severe riguardo al monitoraggio eccessivo:

• il monitoraggio continuo o in tempo reale (schermi, metodi di tipo sorveglianza) è normalmente eccessivo
• il monitoraggio deve essere minimo, necessario e giustificato
• l'attività che sembra "guardare tutto ciò che fa un dipendente" è considerata una violazione dei diritti del lavoro irlandesi

Regole severe per il sospetto penale

• c'è un serio sospetto di attività criminale
• il monitoraggio è mirato e a breve termine
• non esiste alcuna alternativa ragionevole
• l'alta dirigenza lo autorizza
• lo scopo è strettamente investigativo

Il monitoraggio delle comunicazioni private è severamente vietato

Anche sui dispositivi aziendali i datori di lavoro non devono:

• accedere alle email private
• leggere messaggi personali
• raccogliere contenuti di navigazione chiaramente privati

La DPIA è necessaria per il monitoraggio della maggior parte dei dipendenti

Il DPC considera il monitoraggio dei dipendenti ad alto rischio per impostazione predefinita, ovvero:

• Le DPIA devono essere completate prima dell’implementazione
• i rischi e le alternative devono essere pienamente valutati
• La documentazione DPIA può essere richiesta durante le ispezioni

Consultazione con i rappresentanti dei dipendenti, ove presenti

Sebbene non sia così rigido come il sistema di co-determinazione tedesco, la pratica irlandese sul posto di lavoro prevede:

• consultazione con i sindacati o i comitati dei dipendenti
• divulgazione dei piani di monitoraggio e dei risultati della DPIA
• dialogo interno su necessità, proporzionalità e garanzie

Questa aspettativa deriva dai principi dei rapporti di lavoro piuttosto che da un rigido mandato statutario.

Divieto assoluto di videosorveglianza non autorizzata

Il Portogallo vieta severamente:

• telecamere non autorizzate
• monitoraggio video non autorizzato
• osservazione non autorizzata dei dipendenti

Tutto il monitoraggio visivo deve essere visibile, dichiarato e giustificato. Non è mai consentito il monitoraggio visivo non autorizzato.

Forti restrizioni sul monitoraggio della posta elettronica e dell'IT

Il Portogallo applica standard più severi rispetto al GDPR per il monitoraggio delle comunicazioni digitali:

• Non è consentito il monitoraggio permanente o sistematico della posta elettronica dei dipendenti.
• Il monitoraggio deve essere occasionale, mirato e legato a rischi legittimi e specifici.
• I datori di lavoro devono avere regole interne chiare che descrivano l’uso privato, i confini e le pratiche di monitoraggio.
• Il monitoraggio deve sempre seguire un approccio meno invasivo.

Politica di monitoraggio e utilizzo obbligatoria

La pratica portoghese richiede una politica interna dettagliata che spieghi:

• quale monitoraggio avviene
• quali strumenti vengono utilizzati
• la portata e lo scopo
• come i dati vengono raccolti e archiviati
• se è consentito l'uso privato dei dispositivi
• garanzie a tutela della privacy dei dipendenti

Restrizioni al lavoro a distanza (molto importante in Portogallo)

Il Portogallo ha introdotto alcune delle norme di monitoraggio del lavoro a distanza più severe nell’UE:

• I datori di lavoro non possono monitorare i dipendenti che lavorano da casa utilizzando strumenti di sorveglianza, monitoraggio comportamentale o monitoraggio intrusivo.
• I datori di lavoro non possono contattare i lavoratori al di fuori dell'orario di lavoro ("diritto alla disconnessione").
• Il monitoraggio del lavoro a distanza deve essere minimo, giustificato e non deve intromettersi nell’ambiente domestico privato.

Interpretazione rigorosa di necessità e proporzionalità

Le autorità portoghesi richiedono:

• stretta necessità (monitoraggio solo quando assolutamente necessario)
• proporzionalità rigorosa (dati minimi, durata minima)
• stretta pertinenza (nessuna sorveglianza generale).

Il monitoraggio deve essere chiaramente legato alla sicurezza, alla conformità o alla protezione delle risorse, non al controllo generale della produttività.

Requisiti di trasparenza molto severi

La Slovacchia va oltre il GDPR richiedendo:

informazioni chiare, scritte e dettagliate prima che inizi qualsiasi monitoraggio

le informazioni devono indicare esplicitamente:

• lo strumento utilizzato
• lo scopo esatto
• dati raccolti
• durata della conservazione
• frequenza del monitoraggio
• metodi e tecnologie utilizzate

La DPA slovacca penalizza spesso i datori di lavoro per avvisi di monitoraggio vaghi o incompleti.

Il monitoraggio deve essere strettamente necessario e proporzionato

La Slovacchia interpreta strettamente necessità e proporzionalità:

• il monitoraggio deve essere legato ad uno scopo specifico e giustificato (ad esempio, sicurezza, protezione, protezione del patrimonio)
• il monitoraggio generale della produttività è considerato eccessivo
• il monitoraggio continuo o onnicomprensivo (screenshot, registrazione costante) è probabilmente sproporzionato

La pratica normativa slovacca generalmente favorisce l'interesse alla privacy del dipendente nei casi limite.

Limiti rigorosi di monitoraggio nei casi penali

La legge slovacca consente il monitoraggio eccezionale del posto di lavoro solo se:

• vi è il serio sospetto di un reato penale
• il monitoraggio è limitato nel tempo e mirato
• non esiste alternativa
• e rispetta le procedure di diritto penale.

Limitazioni rigorose sul monitoraggio visivo e audio

La Slovacchia impone controlli severi su qualsiasi forma di monitoraggio visivo o audio:

• Nessun monitoraggio in spazi privati o semi-privati
• La registrazione audio è quasi sempre illegale
• L'acquisizione di schermate o video deve essere estremamente limitata nella portata e nella durata
• La registrazione di flussi di lavoro o desktop per la supervisione continua è generalmente considerata eccessiva

Monitoraggio delle comunicazioni fortemente limitato

Secondo la pratica slovacca:

• i datori di lavoro non devono accedere a e-mail private o messaggi personali
• anche il monitoraggio del contenuto della posta elettronica aziendale deve soddisfare rigorose necessità
• se sui dispositivi aziendali è consentito l’uso privato, non potranno essere utilizzate forme di monitoraggio più intrusive

Il monitoraggio deve concentrarsi sui metadati e sui modelli, non sul contenuto delle comunicazioni private.

Consultazione con i rappresentanti dei dipendenti

Se esistono organi sindacali o consigli dei dipendenti:

• i datori di lavoro devono consultarli prima di introdurre il monitoraggio
• deve spiegare necessità, ambito e processi
• deve fornire la documentazione e le regole interne

Prevista DPIA per il monitoraggio dei dipendenti

Sebbene non sempre espressamente incaricato, la DPA slovacca prevede una valutazione dell'impatto sulla protezione dei dati (DPIA) per:

• monitoraggio dello schermo
• monitoraggio del comportamento
• monitoraggio tramite telecamera o audio
• qualsiasi supervisione continua o automatizzata

Forte enfasi sulla trasparenza e sulla notifica scritta

Malta segue il GDPR ma pone una forte enfasi sulla comunicazione scritta ed esplicita ai dipendenti.

Prima di qualsiasi monitoraggio, i datori di lavoro devono fornire:

• una chiara spiegazione scritta di ciò che viene monitorato
• perché è necessario il monitoraggio
• quali strumenti vengono utilizzati
• come i dati vengono raccolti e archiviati
• chi vi accederà
• periodi di conservazione definiti

Necessità e proporzionalità applicate rigorosamente

Secondo la pratica IDPC:

• il monitoraggio deve essere strettamente necessario per uno scopo legittimo e specifico
• i datori di lavoro devono giustificare il motivo per cui alternative meno invasive non possono raggiungere lo stesso obiettivo
• un monitoraggio continuo o eccessivamente ampio (schermi, telecamera, microfono) è spesso considerato eccessivo

Vietato il monitoraggio delle comunicazioni private

Malta protegge fortemente la privacy dei dipendenti anche sui dispositivi di proprietà dell'azienda:

• l'accesso a e-mail o messaggi privati è illegale
• il monitoraggio deve essere configurato in modo tale che i contenuti chiaramente privati non vengano acquisiti
• i datori di lavoro devono garantire la separazione tra dati di lavoro e dati personali sui dispositivi in cui è consentito l’uso privato

Limiti rigorosi di monitoraggio nei casi penali gravi

Il monitoraggio eccezionale è vietato a meno che:

• c'è un forte sospetto di attività criminale
• il monitoraggio è temporaneo e mirato
• non esiste alternativa
• la consulenza legale o il coinvolgimento delle forze dell’ordine sostengono la misura

Restrizioni sul monitoraggio di video, schermo e audio

Malta applica una protezione rafforzata al monitoraggio in grado di catturare visivamente o acusticamente il comportamento dei dipendenti:

• la registrazione audio è quasi sempre illegale
• l'acquisizione di video o schermate deve essere molto limitata, necessaria e giustificata
• il monitoraggio non può avvenire in: aree di sosta, zone pranzo, bagni, qualunque spazio considerato privato

DPIA prevista per il monitoraggio della maggior parte dei dipendenti

Anche se non sempre obbligatorie ai sensi del GDPR, a Malta l’IDPC si aspetta fortemente DPIA per:

• monitoraggio dello schermo
• registrazione delle azioni dei dipendenti
• rilevamento della posizione
• monitoraggio sistematico o automatizzato

Una DPIA aiuta a dimostrare la conformità ed è spesso richiesta dall'IDPC negli audit o nei casi di reclamo.

Consultazione con i rappresentanti dei dipendenti

Dove esistono comitati o sindacati dei dipendenti:

• i datori di lavoro devono informarli e consultarli
• spiegare lo scopo, la necessità e le garanzie
• discutere le politiche di monitoraggio interno

Tutela costituzionale dell'immagine, dell'audio e del video

Secondo la Costituzione bulgara, nessuno può essere filmato, registrato o sottoposto ad azioni simili a sua insaputa o contro la sua espressa opposizione, tranne nei casi previsti dalla legge.

Ciò significa:

• qualsiasi monitoraggio visivo o audio dei dipendenti (CCTV, registrazione dello schermo, audio) è considerato altamente invasivo
• il monitoraggio deve essere chiaramente comunicato e giustificato
• l'acquisizione forzata o "silenziosa" di immagini/audio è particolarmente problematica.

La videosorveglianza non può essere riutilizzata per valutare prestazioni o bonus

Il CPDP bulgaro ha esplicitamente affermato che:

• Non è ammissibile l'ulteriore trattamento di telecamere a circuito chiuso o registrazioni video (con o senza audio) per valutare le prestazioni individuali o determinare premi
• tale utilizzo è considerato incompatibile con lo scopo originale di sicurezza e viola la limitazione dello scopo del GDPR.

Forte tutela della dignità dei dipendenti ai sensi del Codice del lavoro

Il Codice del Lavoro obbliga i datori di lavoro a tutelare la dignità e i diritti fondamentali dei dipendenti durante tutto il rapporto di lavoro.

In pratica questo significa:

• il monitoraggio potrebbe non essere opprimente, costante o umiliante
• Il "monitoraggio eccessivo" che crea pressione psicologica è probabilmente illegale

Asta alta per proporzionalità e necessità

Il CPDP e la pratica bulgara richiedono che:

• il monitoraggio è necessario per uno scopo concreto e legittimo (sicurezza, tutela della proprietà, conformità)
• devono essere considerate per prime le alternative meno invasive
• il monitoraggio comportamentale continuo o ad ampio raggio è generalmente sfavorito.

Il monitoraggio audio + video con audio è particolarmente rischioso

L'autorità ha criticato specificamente l'uso di video con audio per valutare le prestazioni del personale, ritenendolo incompatibile con il GDPR.

Qualsiasi dipendente che monitori l’implementazione del software in Bulgaria dovrebbe quindi evitare:

• registrazione audio del tutto
• registrazione di schermate o video utilizzata come strumento di valutazione continua.

Informazioni sui dipendenti e documentazione interna

Oltre alla trasparenza generale del GDPR, la pratica bulgara prevede:

• politiche interne chiare che descrivano il monitoraggio
• informativa specifica ai dipendenti (strumenti, finalità, ambito, fidelizzazione)
• periodi di conservazione documentati e regole di cancellazione per il monitoraggio dei dati.

Regole sulla privacy sul posto di lavoro estremamente rigide

La Norvegia ha alcune delle tutele della privacy dei dipendenti più forti in Europa.

La legge sull’ambiente di lavoro richiede che tutte le forme di monitoraggio:

• deve avere uno scopo chiaro e necessario
• deve essere proporzionato
• deve avere una portata limitata
• non deve esercitare pressioni o stress indebiti sul dipendente
• deve considerare la dignità e l'autonomia del lavoratore

Consultazione obbligatoria con i rappresentanti dei dipendenti

Se sul posto di lavoro è presente una rappresentanza sindacale o un comitato per l’ambiente di lavoro, il datore di lavoro deve:

• consultarli prima di introdurre qualsiasi monitoraggio
• fornire documentazione su scopo, ambito, strumenti, conservazione
• discutere soluzioni alternative e proporzionalità

Divieto rigoroso di monitoraggio

La legge norvegese consente un monitoraggio eccezionale dei dipendenti solo in situazioni criminali molto rare e gravi.

Il monitoraggio eccezionale può avvenire solo quando:

• c'è un chiaro sospetto di attività criminale
• è strettamente mirato e limitato nel tempo
• tutte le opzioni meno invasive sono esaurite

Regole speciali per il monitoraggio di posta elettronica, Internet e IT

La Norvegia ha requisiti dettagliati per il monitoraggio delle comunicazioni elettroniche:

• i datori di lavoro possono accedere agli account di posta elettronica di lavoro solo a condizioni specifiche e documentate
• non si deve mai accedere alle comunicazioni private
• anche le e-mail aziendali possono essere aperte solo per motivi limitati e necessari
• il monitoraggio deve evitare di catturare contenuti privati
• il monitoraggio di Internet deve concentrarsi sulle categorie, non sui contenuti o sui dettagli personali

Monitoraggio audio e video altamente limitato

Datatilsynet tratta il monitoraggio audiovisivo come altamente invasivo:

• la registrazione audio nei luoghi di lavoro non è quasi mai consentita
• le telecamere non possono essere utilizzate per osservare continuamente i dipendenti
• il monitoraggio video deve essere limitato, mirato e completamente trasparente

DPIA richiesta per la maggior parte dei sistemi di monitoraggio dei dipendenti

La Norvegia considera il monitoraggio dei dipendenti un’attività ad alto rischio.

È necessario eseguire una valutazione di impatto sulla protezione dei dati quando il monitoraggio coinvolge:

• schermi
• registrazione comportamentale
• monitoraggio audio/video
• rilevamento della posizione
• valutazione automatizzata

Regole molto rigide per la conservazione e l'accesso ai dati

I regolatori norvegesi richiedono:

• periodi di conservazione minimi
• routine di cancellazione documentate
• rigoroso controllo degli accessi (pochissime persone possono visualizzare i dati)
• chiara giustificazione per ciascuna categoria di dati memorizzati

Co-determinazione e consultazione dei dipendenti

In Serbia, i datori di lavoro devono consultarsi con:

• rappresentanti dei dipendenti o sindacati, se esistenti, prima di introdurre qualsiasi sistema di monitoraggio, compresi sistemi come CleverControl.
• Il processo di consultazione deve includere la fornitura di informazioni dettagliate sullo scopo, la portata e i metodi di monitoraggio.
• Il monitoraggio non deve essere imposto unilateralmente senza un dialogo preventivo.

Restrizioni più forti sul monitoraggio audio e video

La Serbia considera la sorveglianza audio e video altamente sensibile:

• Il monitoraggio audio è quasi sempre vietato a meno che non sia necessario per uno scopo legittimo altamente specifico (ad esempio, indagini penali).
• Il monitoraggio video è consentito ma deve essere proporzionato e non deve essere utilizzato per la valutazione delle prestazioni.

Il monitoraggio deve essere giustificato da uno scopo specifico e legittimo

Il PDP della Serbia pone una forte enfasi sulla necessità e sulla proporzionalità:

• Il monitoraggio è consentito solo se necessario per uno scopo legittimo (ad esempio, proteggere la proprietà, garantire la sicurezza).
• Il monitoraggio deve essere proporzionale all'obiettivo legittimo.
• I datori di lavoro devono dimostrare che non esistono mezzi meno invasivi per raggiungere lo stesso scopo.

Ciò significa che il monitoraggio generale (ad esempio, il monitoraggio della produttività dei dipendenti) senza uno scopo chiaro e convincente sarebbe considerato illegale in Serbia.

Restrizioni sulla conservazione dei dati

La legge serba segue da vicino il principio di conservazione del GDPR, ma con limitazioni più esplicite sui periodi di conservazione:

• I dati raccolti tramite il monitoraggio non devono essere conservati più del necessario per lo scopo per il quale sono stati raccolti.
• I datori di lavoro devono stabilire politiche chiare di conservazione dei dati e implementare la cancellazione automatica o l’anonimizzazione dopo un periodo specificato.

DPIA (valutazione dell'impatto della protezione dei dati) richiesta per la maggior parte dei monitoraggi

In Serbia, il monitoraggio dei dipendenti è considerato un trattamento ad alto rischio:

• Una DPIA è obbligatoria per gli strumenti che implicano il monitoraggio del comportamento, delle prestazioni, dell'ubicazione o delle comunicazioni dei dipendenti.
• I datori di lavoro devono valutare l’impatto del monitoraggio, identificare i potenziali rischi per la privacy dei dipendenti e mitigare tali rischi.

Maggiore enfasi sulla privacy dei dipendenti sul posto di lavoro

La legge sul lavoro serba pone un'enfasi significativa sulla privacy e sulla dignità dei dipendenti, richiedendo:

• sistemi di monitoraggio da utilizzare in modo da non degradare la dignità del dipendente o interferire con la sua privacy.
• I datori di lavoro devono garantire che le ragionevoli aspettative di privacy dei dipendenti siano rispettate, soprattutto in ambiti non legati al lavoro.

Forte enfasi sul consenso dei dipendenti per il monitoraggio

La Lettonia interpreta le disposizioni sul consenso del GDPR in modo più rigoroso rispetto ad altri paesi dell'UE:

• Il consenso deve essere esplicito e dato liberamente se costituisce la base per il monitoraggio dei dipendenti (ad esempio, per l'accesso a dati privati o il monitoraggio delle prestazioni).
• I datori di lavoro non possono fare affidamento esclusivamente sul consenso nei rapporti di lavoro a causa dello squilibrio di potere. In Lettonia, il consenso esplicito di solito non è visto come una base giuridica valida per il monitoraggio di routine, a meno che non si tratti di scelte personali, come il monitoraggio dei beni aziendali (ad esempio veicoli, attrezzature).

Monitoraggio del divieto

La Lettonia segue rigidi limiti GDPR per il monitoraggio dei dipendenti:

• Il monitoraggio dovrebbe essere aperto e trasparente, con i dipendenti pienamente informati prima che inizi.
• Il monitoraggio eccezionale è vietato, tranne che in casi molto ristretti che coinvolgono indagini penali o violazioni gravi, e anche in questo caso richiede un’adeguata giustificazione legale.

Test rigoroso di necessità e proporzionalità

La Lettonia applica un rigoroso test di necessità e proporzionalità per il monitoraggio:

• I datori di lavoro devono giustificare il motivo per cui il monitoraggio è necessario per uno scopo aziendale specifico e legittimo (ad esempio sicurezza, prevenzione delle frodi).
• Il monitoraggio deve essere proporzionato allo scopo e non deve andare oltre quanto strettamente necessario.
• Il monitoraggio continuo o l’eccessiva sorveglianza dei dipendenti (ad esempio, monitoraggio della produttività o dei comportamenti individuali) possono essere considerati sproporzionati.

Restrizioni sul monitoraggio delle comunicazioni private

La Lettonia ha severe restrizioni sul monitoraggio delle comunicazioni private:

• Ai datori di lavoro non è consentito monitorare le e-mail private o le comunicazioni personali a meno che non vi sia una necessità aziendale chiara e giustificata (ad esempio, prevenire frodi o garantire la sicurezza sul lavoro).
• Il monitoraggio dei dispositivi personali è strettamente regolamentato e i datori di lavoro devono garantire che le comunicazioni private non vengano intercettate.

Forte tutela dei diritti dei dipendenti

La legge lettone sul lavoro comprende disposizioni specifiche che tutelano i diritti dei lavoratori in relazione al monitoraggio, tra cui:

• Diritto dei dipendenti di accedere ai dati raccolti su di loro attraverso il monitoraggio.
• I dipendenti possono richiedere la correzione o la cancellazione di qualsiasi dato personale errato o irrilevante.
• I dipendenti devono essere informati su quanto tempo verranno conservati i loro dati e chi può accedervi.