La valutazione dell'impatto per la tutela dei dati dei lavoratori nella transizione digitale

La valutazione d’impatto sulla protezione dei dati (DPIA), prevista dall’art. 35 del GDPR, costituisce uno strumento preventivo di gestione del rischio fondato sul principio di accountability, sviluppato anche attraverso soft law (linee guida WP29/EDPB) e caratterizzato da flessibilità metodologica. Nel contesto della transizione digitale del lavoro—smart factory, piattaforme, smart working—l’interconnessione infrastrutturale intensifica i flussi informativi e rende la tutela dei dati dei lavoratori un nodo centrale anche rispetto al potere organizzativo e di controllo datoriale. Il contributo ricostruisce i principi che strutturano la DPIA (proporzionalità, minimizzazione, limitazione delle finalità, esattezza, limitazione della conservazione e protezione by design) e discute un tema controverso: se la DPIA debba limitarsi alla conformità privacy oppure estendersi alla salvaguardia dei diritti fondamentali incisi dal trattamento, specialmente in presenza di sistemi algoritmici e di IA. La seconda impostazione risulta preferibile alla luce dell’evoluzione regolatoria (valutazione d’impatto sui diritti fondamentali per sistemi di IA ad alto rischio e relativo raccordo con la DPIA). In ambito lavoristico, la DPIA assume rilievo nei trattamenti di profilazione e decisione automatizzata (es. recruiting), nel data-driven management e nei controlli a distanza (videosorveglianza, geolocalizzazione), con attenzione al coinvolgimento delle rappresentanze e al ruolo complementare dell’informativa per la trasparenza delle decisioni algoritmiche.