[doc. web n. 10297373]

Parere sullo schema di decreto legislativo recante “Attuazione della direttiva (UE) 2024/2831 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, relativa al miglioramento delle condizioni di lavoro nel lavoro mediante piattaforme digitali” - 16 settembre 2026

Registro dei provvedimenti
n. 624 del 16 settembre 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito: “Regolamento”) e, in particolare, e, in particolare, l’articolo 36, paragrafo 4; 

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo 30 giugno 2003, n. 196 e s.m.i., di seguito: “Codice”) e, in particolare, l’articolo 154, comma 5;

Vista la richiesta di parere della Presidenza del Consiglio dei Ministri;

Considerato che il Regolamento n. 2/2019, concernente l'individuazione dei termini e delle unità organizzative responsabili dei procedimenti amministrativi presso il Garante, prevede che l'Autorità si pronunci entro il termine di 45 giorni dalla richiesta;

Considerate le ragioni d’urgenza- rappresentate dal Governo - inerenti ai termini per l’esercizio della delega legislativa di cui all’articolo 11, della legge 13 giugno 2025, n. 9 e a quelli relativi all’espressione dei pareri delle Commissioni parlamentari, non compatibili con la convocazione in tempo utile del Garante;

Ritenuta, quindi, la ricorrenza dei presupposti per l’applicazione dell’art. 5, comma 8, del Regolamento n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante, nella parte in cui è previsto che “Nei casi di particolare urgenza e di indifferibilità che non permettono la convocazione in tempo utile del Garante, il presidente può adottare i provvedimenti di competenza dell’organo, i quali cessano di avere efficacia sin dal momento della loro adozione se non sono ratificati dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno”;

Vista la documentazione in atti;

PREMESSO

La Presidenza del Consiglio dei Ministri – Dipartimento per gli affari giuridici e legislativi ha richiesto il parere del Garante su uno schema di decreto legislativo volto ad adeguare la disciplina nazionale alle disposizioni contenute nella direttiva (UE) 2024/2831, relativa al miglioramento delle condizioni di lavoro nel lavoro mediante piattaforme digitali. 

Essa è volta a migliorare le condizioni di lavoro mediante piattaforme digitali anche sotto il profilo della protezione dei dati, promuovendo la trasparenza, l’equità, la supervisione umana, la sicurezza e la responsabilità nella gestione algoritmica del lavoro mediante piattaforme digitali.

Ai fini del recepimento della direttiva, la legge 13 giugno 2025, n. 91 reca, all’articolo 11, una serie di principi e criteri direttivi specifici che prevedono, tra l’altro: l’adeguamento della definizione di “piattaforma di lavoro digitale” alle definizioni contenute nella direttiva (lett. b); l’individuazione di procedure idonee a verificare e garantire la corretta determinazione della situazione occupazionale delle persone che svolgono lavoro mediante piattaforme digitali (lett. c); la definizione di procedure per la limitazione del trattamento dei dati personali mediante sistemi di monitoraggio automatizzati o sistemi decisionali automatizzati (lett. d); l’individuazione delle modalità con le quali le piattaforme di lavoro digitali informano i lavoratori, i loro rappresentanti e, su richiesta, le autorità competenti in ordine all’uso di sistemi di monitoraggio automatizzati o decisionali automatizzati (lett. f); la definizione delle modalità di controllo e monitoraggio volte a verificare la valutazione dell’impatto delle decisioni individuali adottate o sostenute da sistemi automatizzati e il relativo riesame umano (lett. g); l’individuazione e regolamentazione delle modalità con le quali le piattaforme di lavoro digitali mettono a disposizione dei soggetti aventi diritto le informazioni pertinenti al lavoro mediante piattaforme digitali (lett. i). 

L’odierno schema di decreto delinea dunque, sulla base di tali principi e criteri direttivi, un intervento regolatorio volto a disciplinare il lavoro mediante piattaforme digitali coordinando le nuove disposizioni con le norme in materia di tutela dei dati personali, intelligenza artificiale, salute e sicurezza sul lavoro, trasparenza delle condizioni di lavoro e utilizzo di sistemi automatizzati di monitoraggio e decisionali.

RILEVATO

Lo schema di decreto si compone di 27 articoli, ripartiti in sette capi. 

All’articolo 1, comma 1, oggetto e finalità del provvedimento, sono individuati nell’introduzione di misure volte a migliorare le condizioni di lavoro e la protezione dei dati di coloro che svolgono un lavoro mediante piattaforme digitali, garantendo al contempo la corretta determinazione della loro situazione contrattuale, la trasparenza, l'equità, la supervisione umana, la sicurezza e la responsabilità nella gestione algoritmica del lavoro, anche in situazioni transfrontaliere. 

Il comma 2 sancisce un vincolo ermeneutico d’interpretazione delle norme del decreto in coerenza con il regolamento (UE) 2024/1689 (Regolamento IA) e con i principi di cui alla legge 23 settembre 2025, n. 132, evidenziando la complementarità tra la disciplina specifica del lavoro e quella generale in materia di intelligenza artificiale. Sono, inoltre, richiamati il principio-cardine della “dimensione antropocentrica” e l’utilizzo corretto, trasparente e responsabile dell'intelligenza artificiale “nel pieno rispetto dell’autonomia e del potere decisionale dell’uomo, della trasparenza, della proporzionalità, della sicurezza, della protezione dei dati personali, della riservatezza, dell’accuratezza, della spiegabilità, della non discriminazione, della parità dei sessi e della sostenibilità, assicurando in ogni caso la sorveglianza e l'intervento umano sui sistemi di monitoraggio automatizzati e sui sistemi decisionali automatizzati”. 

L'articolo 2 definisce lo spettro applicativo del decreto, con riferimento a tutte le piattaforme di lavoro digitali che determinano l’organizzazione e le modalità di esecuzione del lavoro svolto sul territorio nazionale, indipendentemente dalla loro sede di stabilimento e includendo le prestazioni rese in modalità remota o in rete. 

Il comma 2 delinea l’ambito soggettivo di applicazione delle garanzie introdotte, includendovi i lavoratori con contratto o rapporto di lavoro subordinato (tali ritenuti anche solo sulla base di valutazioni fattuali), i lavoratori autonomi e i titolari di rapporti di collaborazione coordinata e continuativa, compresi i collaboratori etero-organizzati di cui all'articolo 2, comma 1, del decreto legislativo 15 giugno 2015, n. 81. 

L'articolo 3, al comma 1, introduce le definizioni più rilevanti, tra le quali quella di “piattaforma di lavoro digitale”, individuata nella persona fisica o giuridica che eroga un servizio a distanza tramite strumenti elettronici, su richiesta di un destinatario, organizzando la prestazione di lavoro a titolo oneroso come componente necessaria ed essenziale e impiegando sistemi di monitoraggio o decisionali automatizzati (lett. a). 

La qualifica di “persona che svolge un lavoro mediante piattaforme digitali” (indipendentemente dalla qualificazione del rapporto) e di “lavoratore delle piattaforme digitali” (caratterizzato, invece, da un rapporto di natura subordinata) è tracciata dalle lettere c) e d), mentre la figura dell’“intermediario” è delineata dalla lett. e). 

Con riferimento ai profili di protezione dei dati, assumono particolare rilevanza le definizioni contenute nelle lettere h) e i), relative – la prima – ai “sistemi di monitoraggio automatizzati”, intesi quali strumenti elettronici utilizzati per supervisionare o valutare l’esecuzione della prestazione lavorativa o le attività nell’ambiente di lavoro, anche mediante la raccolta di dati personali, e – la seconda – ai “sistemi decisionali automatizzati”, riconducibili ai sistemi che assumono o supportano decisioni con impatto significativo sul lavoratore, influenzandone l'assunzione, l'accesso agli incarichi, la determinazione dei guadagni, l'orario di lavoro e i provvedimenti sulla situazione contrattuale, quali la sospensione o la chiusura dell'account. 

Il comma 2 esclude, dall’ambito applicativo della nozione di piattaforme di lavoro digitale: i prestatori di servizi il cui scopo principale sia rappresentato dallo sfruttamento o la condivisione di beni (lett. a), le piattaforme digitali mediante le quali soggetti non professionisti possono rivendere beni (lett. b); i prestatori di servizi che organizzano le attività di volontariato (lett. c); i servizi in cui l'organizzazione del lavoro è puramente accessoria o secondaria (lett. d). 

L’articolo 4 estende le tutele previste a coloro i quali svolgono un lavoro mediante piattaforme digitali aventi un rapporto contrattuale con un intermediario (art. 3, c. 1, lett. e), mentre l’articolo 5 sancisce una presunzione legale di subordinazione qualora, dall'analisi dei fatti, emergano elementi sintomatici di un potere di direzione e controllo sulla prestazione lavorativa da parte delle piattaforme. Tale valutazione tiene conto, tra l’altro, dell’impiego di sistemi di monitoraggio e decisionali automatizzati nell’organizzazione e nell'effettiva esecuzione del lavoro. 

Tra i principali indicatori di controllo si annoverano l'organizzazione del lavoro da parte della piattaforma e la soggezione del prestatore a direttive specifiche riguardanti tempi, modalità e contenuti dell’attività. La corretta qualificazione della posizione occupazionale può essere verificata in sede amministrativa o giudiziaria, oppure attestata tramite le Commissioni di certificazione su richiesta dell'interessato o dei suoi rappresentanti. 

L’articolo 6, conformemente alla direttiva (UE) 2024/2831, introduce una disciplina specifica a tutela dei dati personali di coloro che svolgono un lavoro mediante piattaforme digitali trattati – fin dalle procedure di assunzione e selezione – mediante sistemi di monitoraggio o decisionali automatizzati, vietando l’utilizzo di quelli relativi a: lo stato emotivo o psicologico (lett. a); l’uso di conversazioni private, incluse quelle con i rappresentanti dei lavoratori (lett, b); la raccolta di dati personali quando il soggetto non sta svolgendo attività lavorativa o non si sta proponendo di farlo (lett. c), ovvero che possono incidere sull'esercizio di diritti fondamentali, come la libertà di associazione, il diritto di negoziazione e le azioni collettive (lett. d). 

Ulteriori restrizioni sono poi previste dalla lettera e), che vieta l'uso di dati per desumere informazioni relative all'origine etnica, alle opinioni politiche, alle convinzioni religiose, allo stato di salute o all'orientamento sessuale, mentre la lettera f) interdice il trattamento di “dati biometrici [...] per stabilire l’identità della persona [...] confrontandoli con i dati biometrici di altre persone fisiche conservati in una banca dati”. 

Tali tutele, in base al comma 2, si applicano anche ai sistemi automatizzati che assumono o supportano decisioni con impatti significativi sulla posizione dei lavoratori e la loro violazione comporta l’applicazione, ai sensi del comma 3, del regime sanzionatorio previsto dagli articoli 83 del Regolamento e 166 del Codice. 

L’articolo 7 impone, alle piattaforme e agli intermediari, di procedere alla valutazione d’impatto sulla protezione dei dati personali (DPIA) relativamente ai sistemi automatizzati (c. 1), fornendone copia ai rappresentanti dei lavoratori (c. 2). In caso di inosservanza dell’obbligo, i lavoratori e i loro rappresentanti possano presentare denuncia all’Ispettorato nazionale del lavoro affinché proceda ai necessari accertamenti e interventi sanzionatori (c. 3). 

L'articolo 8 impone, alle piattaforme di lavoro e agli intermediari, di informare i lavoratori, i loro rappresentanti e, su richiesta, le autorità giudiziarie e amministrative competenti, riguardo all'utilizzo di sistemi di monitoraggio automatizzati o di sistemi decisionali automatizzati (c. 1). 

Le informazioni devono specificare, per i sistemi di monitoraggio automatizzati: se essi siano in uso o solo in fase di introduzione; le categorie di dati e azioni monitorate, supervisionate o valutate da tali sistemi, compresa la valutazione da parte del destinatario del servizio; l'obiettivo del monitoraggio e le modalità con le quali il sistema deve svolgerlo; i destinatari o le categorie di destinatari dei dati personali trattati da tali sistemi e l’eventuale trasmissione o trasferimento di tali dati personali, anche all’interno di un gruppo di imprese (c. 2, lett. a).

Per i sistemi decisionali automatizzati, le informazioni devono invece indicare: le categorie di decisioni assunte, i parametri rilevanti, l’impatto dei dati sul processo decisionale e le motivazioni sottese a provvedimenti restrittivi come la sospensione dell’account o il mancato pagamento delle prestazioni (c. 2 lett. b). 

Il comma 3 prescrive che tali informazioni siano fornite in modo trasparente, chiaro e intellegibile attraverso un documento scritto o elettronico, includendo i dati identificativi del titolare della piattaforma al momento dell’instaurazione del rapporto. 

Gli obblighi verso i rappresentanti dei lavoratori, disciplinati dal comma 4, richiedono comunicazioni complete e dettagliate da rendersi preventivamente rispetto all'utilizzo dei sistemi o all'introduzione di modifiche strutturali, nonché in qualsiasi momento su richiesta. Il medesimo livello di dettaglio è previsto dal comma 5 per le autorità nazionali, mentre il comma 6 estende dette tutele anche ai candidati in fase di selezione, limitatamente ai sistemi utilizzati in tale procedura. 

Ai sensi del comma 7, le persone che prestano la propria attività lavorativa tramite piattaforme digitali hanno il diritto alla portabilità dei dati personali prodotti nel corso dell’esecuzione del lavoro attraverso l’impiego di sistemi di monitoraggio o decisionali automatizzati. Tale prerogativa si estende espressamente – senza pregiudicare i diritti del destinatario del servizio ai sensi del Regolamento – alle valutazioni e alle recensioni. Conseguentemente, il comma 8 pone in capo alla piattaforma l’obbligo di mettere a disposizione dell'interessato, a titolo gratuito, gli strumenti idonei a favorire l’esercizio concreto del diritto alla portabilità, coerentemente alle previsioni dell'articolo 20 del Regolamento. Il richiamo interno, contenuto nel comma 8 al diritto alla portabilità va correttamente riferito al comma 7 anziché al comma 6. 

La norma dispone, infine, che, su esplicita richiesta del lavoratore, la piattaforma digitale sia tenuta a procedere alla trasmissione diretta dei dati personali verso soggetti terzi. 

Il regime sanzionatorio per le violazioni degli obblighi informativi è delineato al comma 9, che prevede l’irrogazione di sanzioni amministrative pecuniarie da parte dell’Ispettorato nazionale del lavoro, cui compete l’accertamento (c. 10). 

L'articolo 9 disciplina la supervisione umana sui sistemi di monitoraggio automatizzati e sui sistemi decisionali automatizzati, nonché la valutazione dell'impatto delle decisioni adottate o supportate dai medesimi sistemi imponendo, al comma 1, l'obbligo per le piattaforme di effettuare, con cadenza almeno biennale e con la partecipazione dei rappresentanti dei lavoratori, una valutazione degli effetti delle decisioni automatizzate sulle condizioni di lavoro e sulla parità di trattamento. 

Il comma 7 dispone la nullità di ogni decisione inerente alla limitazione, sospensione, risoluzione del rapporto contrattuale o chiusura dell’account che non sia stata adottata esclusivamente da un essere umano. 

I commi da 8 a 13 delineano il regime sanzionatorio applicabile alle violazioni delle norme sulla supervisione umana e sulla valutazione d'impatto dei sistemi automatizzati, mentre il comma 14 affida all’Ispettorato nazionale del lavoro il relativo accertamento e la conseguente irrogazione delle sanzioni amministrative pecuniarie. 

Il comma 15 introduce una clausola di salvaguardia relativamente alle competenze sanzionatorie del Garante. 

L’articolo 10 riconosce il diritto a una “spiegazione della decisione assunta, formulata in modo semplice, chiaro, trasparente e comprensibile” e al relativo riesame. 

Il comma 8 impone l'adozione di misure correttive sui sistemi decisionali responsabili, inclusa la loro modifica o cessazione, per evitare rischi futuri. 

I commi da 11 a 14 individuano le ipotesi di violazione (mancato adempimento degli obblighi di spiegazione o di designazione del referente; omessa risposta motivata all'istanza di riesame; inosservanza degli obblighi di rettifica; omessa adozione di misure correttive sui sistemi) e il conseguente regime sanzionatorio applicabile, con importi che possono essere raddoppiati in presenza di specifiche circostanze (c. 15).

Il comma 16 attribuisce la competenza per l’accertamento e l’irrogazione delle sanzioni all’Ispettorato nazionale del lavoro (SILCA). 

Il comma 17, invece, fa salve le competenze e le potestà sanzionatorie del Garante per le violazioni concernenti il trattamento dei dati personali ai sensi degli articoli 83 del Regolamento e 166 del Codice. 

L’articolo 11 impone, alle piattaforme e agli intermediari, la valutazione dei rischi per la salute e sicurezza legati all'uso di sistemi di monitoraggio automatizzati e di sistemi decisionali automatizzati mentre l’articolo 12 stabilisce misure appropriate di prevenzione e protezione contro le violenze e molestie, prevedendo l'attivazione di canali di segnalazione interni idonei a garantire, anche mediante crittografia, la riservatezza dell'identità del segnalante e del contenuto della segnalazione. 

L’articolo 13 disciplina gli obblighi di informazione e consultazione, imponendo alle piattaforme di lavoro digitali e agli intermediari di consultare e comunicare per iscritto ai rappresentanti dei lavoratori (o direttamente ai lavoratori in loro assenza) le informazioni relative all’introduzione dei sistemi di monitoraggio o decisionali automatizzati e alle modifiche sostanziali concernenti il loro utilizzo (c. 1). 

L’articolo 14 disciplina il regime di accesso alle informazioni sul lavoro, imponendo alle piattaforme di rendere disponibili al Ministero del lavoro, alle autorità competenti e ai rappresentanti dei lavoratori specifici dati mediante un'unica trasmissione telematica al Sistema informativo per l'inclusione sociale e lavorativa (SIISL), interoperabile con la Piattaforma digitale nazionale dati (PDND) ai sensi dell'articolo 50-ter del decreto legislativo 7 marzo 2005, n. 82. 

Tali informazioni comprendono il numero di lavoratori non occasionali e l'intensità del lavoro (lett. a), i termini e le condizioni generali applicabili − con espressa esclusione dei dati personali (lett. b) −, i dati su durata media, orari e reddito (lettera c) e l'elenco degli intermediari (lett. d). 

Al fine di evitare duplicazioni, le informazioni già in possesso delle amministrazioni per effetto delle comunicazioni obbligatorie di instaurazione, trasformazione e cessazione dei rapporti di lavoro e dei flussi informativi previdenziali e assicurativi sono acquisite d'ufficio in cooperazione applicativa, con trasmissione delle sole informazioni non ricavabili dai dati già detenuti (c. 3). 

Il processo di acquisizione deve privilegiare l'interoperabilità per i dati già disponibili (c. 7), mentre l’obbligo di dichiarazione del lavoro previsto dall'articolo 16 della direttiva (UE) 2024/2831 relativa al miglioramento delle condizioni di lavoro nel lavoro mediante piattaforme digitali si considera assolto attraverso le comunicazioni e i flussi informativi ivi citati (c. 8). 

L’articolo 15 demanda ad un decreto del Ministro del lavoro e delle politiche sociali, sentito anche il Garante, la definizione dei tracciati, degli standard e delle modalità tecniche della trasmissione telematica al SIISL, delle modalità di accesso delle amministrazioni e dei rappresentanti, dei dati acquisiti in cooperazione applicativa, nonché delle garanzie in materia di protezione dei dati personali e di cybersicurezza. 

L’articolo 16, al comma 1, impone alle piattaforme l’obbligo di assicurare ai lavoratori l’accesso a canali di comunicazione privati, sicuri ed efficaci, anche attraverso l'infrastruttura digitale della piattaforma, per consentire lo scambio di informazioni tra i prestatori e con i rispettivi rappresentanti. 

Tali canali, ai sensi del comma 2, devono essere resi noti tramite adeguata informativa, risultare accessibili in modo equo e non discriminatorio e garantire la riservatezza e il rispetto della normativa in materia di protezione dei dati personali, con divieto assoluto di monitoraggio o interferenze indebite da parte del datore di lavoro (cui, però, è riconosciuta la facoltà di avvalersi di soggetti terzi indipendenti per garantire la tutela dei lavoratori da molestie o violenze perpetrate all'interno di tali canali). 

Il comma 3 definisce il quadro sanzionatorio per l'inadempimento di tali obblighi e il comma 4 affida la competenza per l’accertamento e l’irrogazione delle sanzioni all’Ispettorato nazionale del lavoro. 

L’articolo 17 introduce una tutela specifica contro i trattamenti sfavorevoli, vietando ogni comportamento ritorsivo nei confronti dei lavoratori o dei loro rappresentanti che abbiano presentato reclami o promosso procedimenti per garantire il rispetto dei diritti previsti dal decreto. 

L’articolo 18 introduce una tutela specifica contro il licenziamento e le misure equivalenti, stabilendo, al comma 1, il divieto assoluto di risolvere il rapporto di lavoro o adottare trattamenti pregiudizievoli quale conseguenza dell'esercizio dei diritti previsti dal decreto. Ai sensi del comma 2, le persone che subiscono la risoluzione del contratto o l’estromissione dal rapporto hanno il diritto di richiedere alla piattaforma i motivi della decisione, alla quale deve essere data risposta scritta entro sette giorni avvalendosi delle risorse umane dedicate alla supervisione (art. 9, c. 2). In caso di lamentata violazione del comma 1 e conseguente ricorso in giudizio da parte del lavoratore, spetta alla piattaforma digitale provare che i motivi posti a fondamento del licenziamento o di altro provvedimento equivalente non sono riconducibili all’esercizio dei diritti previsti dal decreto (c. 3); la disposizione, tuttavia, non si applica ai procedimenti penali e ai procedimenti nei quali l’accertamento dei fatti è riservato all’autorità giudiziaria o amministrativa (c. 4).

L’articolo 19 disciplina la cooperazione amministrativa tra Ministero del lavoro, Garante, Ispettorato nazionale del lavoro, INPS e INAIL, prevedendo, al comma 1, una collaborazione attiva fondata sullo scambio di informazioni e degli esiti delle ispezioni per garantire il corretto status lavorativo dei prestatori. Il comma 2 specifica che la cooperazione deve concentrarsi sull’impatto dei sistemi di monitoraggio e decisionali automatizzati; lo scambio informativo avviene prioritariamente tramite cooperazione applicativa e interoperabilità (artt. 50 e 50-ter del d.lgs. n. 82/2005), così da rendere accessibili a tutte le autorità le informazioni già fornite dalle piattaforme al SIISL, evitando duplicazioni di adempimenti. 

L’articolo 20 coordina la disciplina del decreto legislativo con il regolamento (UE) 2024/1689 e con la legge 23 settembre 2025, n. 132. Si prevede, in particolare, che qualora i sistemi di monitoraggio o decisionali delle piattaforme siano qualificabili come sistemi di intelligenza artificiale restino fermi gli obblighi europei, con particolare attenzione ai sistemi ad alto rischio impiegati per la gestione dei lavoratori e l'accesso al lavoro autonomo. Il comma 2 assegna i poteri di vigilanza e sanzionatori sulla conformità di tali sistemi alle Autorità nazionali per l'intelligenza artificiale, facendo comunque salve le competenze del Garante e dell'Ispettorato. 

L’articolo 21 definisce le disposizioni comuni in materia sanzionatoria, richiamando gli istituti del cumulo giuridico di cui all’articolo 8 della legge 24 novembre 1981 e della diffida ai sensi dell’articolo 13 del decreto legislativo 23 aprile 2004, n. 124. 

L’articolo 24 interviene sul decreto legislativo 26 maggio 1997, n. 152 e s.m.i., estendendo alle piattaforme digitali gli obblighi di trasparenza e informazione sul rapporto di lavoro, richiamando in particolare l’adempimento degli obblighi informativi specifici previsti dalla normativa di attuazione. 

L’articolo 26 reca la clausola d’invarianza finanziaria che tuttavia, per quanto concerne il Garante, dovrà essere inscritta all’interno di un’organica revisione degli stanziamenti riservati all’Autorità, oggi insufficienti rispetto alle sue esigenze funzionali necessarie all’efficiente ed efficace svolgimento delle numerose competenze ascrittele, (anche) rispetto agli ambiti considerati dall’odierno provvedimento. 

RITENUTO

Lo schema di decreto - complessivamente coerente con la direttiva oggetto di trasposizione e i criteri di delega - suggerisce alcune modifiche volte a garantire un migliore coordinamento con la disciplina di protezione dei dati personali. 

In primo luogo, per garantire maggiore coerenza con le norme del Regolamento, andrebbero introdotte alcune modifiche agli articoli 6, 8 e 9. 

Con riguardo al primo, il divieto di cui al comma 1, lett.d) andrebbe correttamente riferito, come nella corrispondente norma unionale, al trattamento di dati personali volto “a prevedere l’esercizio di diritti fondamentali” e non che su essi incida, evidenziando dunque come nella direttiva il vincolo teleologico sotteso al trattamento. 

L’articolo 8, oltre a richiamare espressamente gli articoli 12, 13 e 14 del Regolamento dovrebbe specificare la scansione temporale in cui le informazioni di cui al comma 2 debbano essere fornite agli interessati, analogamente a quanto disposto per le informazioni di cui ai commi 3, 4 e 6. 

L’articolo 9 richiama invece, in modo generico, una “valutazione dell’impatto”, pur descrivendo un’attività che non coincide con quella di cui all’articolo 35 del Regolamento. Per evitare possibili dubbi interpretativi, sarebbe quindi opportuno adottare una terminologia diversa.

Il comma 2 del medesimo articolo dovrebbe poi essere integrato prevedendo che le “risorse umane” idonee allo svolgimento delle funzioni ivi previste debbano essere collegate direttamente al vertice della società. Tale previsione risulta necessaria per assicurare l’effettività delle misure di supervisione e del potere di intervento di cui all’articolo 22, paragrafo 3, del Regolamento, in conformità ai principi e alle indicazioni contenute in specifici provvedimenti dell’Autorità (nn. 285 del 2021, 234 del 2021 e 675 del 2024).

L’articolo 14, nel prevedere un articolato flusso di informazioni verso il SIISL e il PDN per garantirne la disponibilità a una pluralità di soggetti, non individua però con sufficiente determinatezza le finalità dell’accesso, le categorie di dati ostensibili, i ruoli in termini di protezione dei dati rivestiti dai soggetti coinvolti e i limiti di riutilizzo delle informazioni. La disposizione – la cui attuazione è rimessa, limitatamente ad alcuni aspetti (definizione dei tracciati, degli standard e delle modalità tecniche della trasmissione telematica; le modalità di accesso; i dati acquisiti in cooperazione applicativa), a un decreto del Ministro del lavoro e delle politiche sociali, sentito anche il Garante (art. 15 dello schema) – andrebbe quindi, in parte qua, integrata.

Ulteriore integrazione – in ordine a presupposti, limiti, fini e garanzie del trattamento- meriterebbe poi l’articolo 19, che istituzionalizza un ampio flusso informativo tra Ministero, Garante, INPS, INAIL, Ispettorato e altre autorità, anche nell’ambito di ispezioni e indagini. 

CONSIDERATO

Particolare complessità presentano le disposizioni di cui agli articoli 7, 8, 9, 10 e 16 dello schema di decreto, nella parte in cui attribuiscono all’Ispettorato nazionale del lavoro un’autonoma e concorrente potestà ispettivo-sanzionatoria in materie tangenti la disciplina di protezione dei dati personali, talora a essa sovrapponentisi e rispetto a condotte suscettibili di integrare, nella maggior parte dei casi, anche gli estremi di violazioni della medesima disciplina.  

L’articolo 7, nel disporre che le piattaforme digitali effettuino una valutazione d'impatto sulla protezione dei dati personali relativamente ai sistemi automatizzati impiegati nella gestione del lavoro, affida all’Ispettorato Nazionale del lavoro il compito di intervenire, in caso di violazione della norma, ai sensi dell’articolo 4 del decreto legislativo 26 maggio 1997, n. 152. 

Ora, la mancata esecuzione, ovvero la redazione incompleta o viziata, della valutazione d’impatto sulla protezione dei dati integra una violazione dell’articolo 35, par. 1, del Regolamento (che andrebbe peraltro richiamato), per la quale è prevista l’applicazione di sanzioni amministrative pecuniarie ai sensi dell’articolo 83, paragrafo 4, del medesimo Regolamento. Tali sanzioni sono irrogate dal Garante sulla base dei criteri di commisurazione infraedittale di cui all’art. 83 del Regolamento stesso e secondo il procedimento delineato dall’articolo 166 del Codice, che reca anche, sul punto, una riserva esclusiva di competenza in capo all’Autorità. (v. in particolare, il comma 3).

Parimenti, gli obblighi di trasparenza algoritmica previsti (e sanzionati) dall’articolo 8 rischiano di sovrapporsi agli obblighi informativi sui parametri decisionali e sulla logica dei sistemi automatizzati riconducibili al dovere generale di informativa di cui agli articoli 13, par. 2, lett. f), e 14, par. 2, lett. g) del Regolamento, la cui violazione è sanzionata dagli articoli 83, par. 5, del Regolamento stesso e 166 del Codice.

Gli obblighi di supervisione umana previsti e sanzionati dall’articolo 9 rischiano, parimenti, di sovrapporsi – soprattutto rispetto alle decisioni di cui al comma 7 inerenti alla limitazione, sospensione, risoluzione del rapporto o chiusura dell'account- agli analoghi doveri disposto e sanzionati, rispettivamente, dall'articolo 22, par, 1, e dall’articolo 83, par. 5, lett. b), del Regolamento. 

Analogamente, il diritto di ottenere informazioni significative sulla logica, sul funzionamento e sulle conseguenze dei processi algoritmici, unitamente al diritto di contestare la decisione e richiedere l’intervento umano previsti e sanzionati dall’articolo 10 dello schema di decreto sono potenzialmente coincidenti con i diritti (e i corrispondenti adempimenti) previsti e sanzionati dagli articoli 15, par, 1, lett. h), 22, apr.3, 83 del Regolamento e 166 del Codice. 

Gli obblighi datoriali funzionali alla garanzia del diritto dei lavoratori all’accesso a canali di comunicazione privati, sicuri ed efficaci, che assicurino la riservatezza e rispettino la normativa di protezione dei dati personali, previsti e sanzionati dall’articolo 16 coincidono, almeno in parte, con gli obblighi di adozione di misure tecniche e organizzative adeguate, imposti e sanzionati dall’articolo 32 del Regolamento, sanzionata ai sensi degli articoli 83 del medesimo Regolamento e 166 del Codice.

La riserva di competenze, pur prevista in favore del Garante da alcune disposizioni dello schema (v., in particolare, gli artt. 9 e 10), certamente imposta dall’articolo 24, par.1, della direttiva, non risulta di per sé sufficiente a dirimere i dubbi circa la sostanziale sovraqualificazione delle fattispecie (pur astrattamente lesive di beni giuridici in parte diversi), né a mitigare il rischio di un possibile doppio binario sanzionatorio rispetto a condotte certamente riconducibili alla disciplina di protezione dei dati personali. 

Al fine, dunque, di evitare disparità di trattamento in ragione del diverso regime sanzionatorio delineato dallo schema di decreto rispetto alle cornici edittali delineate dal Regolamento e di garantire il rispetto del principio di proporzionalità, si dovrebbe riflettere sull’opportunità di delineare una clausola di assorbimento delle fattispecie in ossequio ai principi di specialità e proporzionalità o, comunque, una clausola di coordinamento dei procedimenti sanzionatori attivabili  (cfr., ad es., art. 14, c.2, lett. c), d.lgs. 138 del 2024). Ciò sembra, del resto, conforme al rapporto tra le violazioni della disciplina di protezione dei dati e quello delle norme di trasposizione della direttiva enunciato anche- con riferimento tanto al piano sostanziale quanto a quello procedimentale – dall’articolo 24, c.1 e 5 della direttiva. 

Tale soluzione si conformerebbe, del resto, al principio – recentemente ribadito dalla Corte di Cassazione a Sezioni Unite – secondo cui “la Corte di giustizia ha inteso rafforzare le prerogative riconosciute alle autorità di controllo istituite dal reg. 2016/679 […] riconoscendo alle stesse un ruolo centrale, anche allorché le condotte interferiscano in settori di competenza di altre autorità” (Cass., SU, n. 7848/2024, § 3.5).

La Corte ha altresì chiarito che la collaborazione tra autorità “discende direttamente dal diritto primario e, in particolare, dal principio di leale collaborazione, di cui all’art. 4, par. 3, TUE”.

Tale principio, come evidenziato dalla stessa pronuncia, implica che “la leale collaborazione […] è destinata ad operare sul piano dinamico delle modalità di esercizio del potere […] mediante attività concertative e di coordinamento orizzontale, ovverossia mediante il ricorso al rilascio di pareri ovvero a consultazioni preventive”.

IL GARANTE

ai sensi dell’articolo 36, par. 4, del Regolamento, esprime parere favorevole sullo schema di decreto, con:

i) le condizioni, esposte, nel “Ritenuto”, relative all’esigenza di: 

a. riformulare il divieto di cui all’articolo 6, comma 1, lett.d) in modo più aderente alla corrispondente disposizione della direttiva; 

b. integrare l’articolo 8 con i richiami agli articoli 12, 13 e 14 del Regolamento, e la previsione della scansione temporale relativa all’obbligo di rendere le informative di cui al comma 2; 

c. all’articolo 9, chiarire il riferimento alla “valutazione di impatto” e specificare che le risorse umane dedicate alla supervisione riportino direttamente al vertice societario;

d. integrare le disposizioni di cui agli articoli 14 e 19 con riferimento alle caratteristiche essenziali del trattamento e

ii) le osservazioni, esposte nel “Considerato”, relative all’opportunità di delineare una clausola di assorbimento delle norme fattispecie d’illecito in conformità ai principi di specialità e proporzionalità o, comunque, una clausola di coordinamento dei procedimenti sanzionatori attivabili da parte dell’Ispettorato nazionale del lavoro e del Garante. 

Roma, 16 settembre 2026

IL PRESIDENTE
Stanzione