Le imprese in Germania si trovano sempre più spesso davanti alla duplice sfida di rispettare, da un lato, gli obblighi di legge relativi alla rilevazione e documentazione dell’orario di lavoro e, dall’altro, le prescrizioni del Regolamento generale sulla protezione dei dati (GDPR). Mentre gli obblighi giuridici di rilevazione dell’orario sono stati ulteriormente precisati dalla legislazione europea e nazionale – da ultimo rafforzati dalla giurisprudenza della Corte di giustizia dell’Unione europea (CGUE) e dagli adeguamenti della disciplina tedesca sull’orario di lavoro –, la raccolta, la conservazione e il trattamento dei dati personali relativi all’orario devono rispettare rigorosamente gli estesi requisiti in materia di protezione dei dati.
Base giuridica della rilevazione dell’orario di lavoro
Quadro europeo e nazionale
La sentenza della CGUE del 14 maggio 2019 (C-55/18) chiarisce che i datori di lavoro sono tenuti a introdurre un sistema oggettivo, affidabile e accessibile per la rilevazione dell’orario di lavoro giornaliero. In linea con tale prescrizione, il § 16 comma 2 della legge tedesca sull’orario di lavoro (ArbZG), nella versione modificata, disciplina chiari obblighi di documentazione. L’attuazione pratica resta di responsabilità del datore di lavoro, fermo restando che tutti gli orari rilevati costituiscono regolarmente dati personali ai sensi del GDPR.
Ambito di applicazione dell’obbligo di rilevazione
L’obbligo di rilevare l’orario di lavoro non riguarda soltanto gli straordinari o il lavoro domenicale, ma in futuro tutte le ore lavorate dai dipendenti. Ciò aumenta notevolmente la rilevanza, sotto il profilo della protezione dei dati, dei relativi trattamenti nell’attività quotidiana di imprese di ogni dimensione e settore.
Requisiti di protezione dei dati nella rilevazione dell’orario
Trattamento di dati personali e basi giuridiche
I dati sull’orario di lavoro si riferiscono direttamente a persone fisiche identificabili e costituiscono quindi dati personali. Qualsiasi forma di raccolta, conservazione, utilizzo o comunicazione di tali dati è soggetta alle disposizioni del GDPR, in particolare al principio di liceità di cui all’articolo 6 GDPR. Il trattamento si fonda tipicamente sull’articolo 6, paragrafo 1, lettera c) GDPR, poiché i datori di lavoro sono tenuti per legge alla rilevazione dell’orario. Un consenso dei dipendenti non è pertanto di norma necessario, pur potendo assumere rilievo in singoli casi.
Principi del GDPR nella rilevazione dell’orario
Le imprese devono osservare rigorosamente i principi di minimizzazione dei dati (art. 5, par. 1, lett. c GDPR), limitazione della finalità (art. 5, par. 1, lett. b GDPR) e trasparenza (art. 5, par. 1, lett. a GDPR). I dati raccolti possono essere conservati e trattati soltanto per la finalità per cui sono stati originariamente raccolti, ossia per adempiere agli obblighi di rilevazione dell’orario ed eventualmente per il calcolo delle retribuzioni e il rispetto delle norme sull’orario di lavoro.
Inoltre il sistema di rilevazione utilizzato deve prevedere misure tecniche e organizzative adeguate a proteggere i dati da accessi non autorizzati, perdita o manipolazione (art. 32 GDPR). Ciò vale sia per i sistemi digitali sia per i metodi tradizionali, come i fogli di presenza cartacei.
Categorie particolari di dati personali
Sebbene i dati sull’orario di lavoro non rientrino in linea di principio tra le categorie particolari di dati personali di cui all’art. 9 GDPR, in singoli casi possono sorgere requisiti ulteriori, ad esempio quando dati relativi a malattia o inabilità al lavoro sono contenuti nel processo di rilevazione o ne possono essere desunti. Il trattamento di tali informazioni è soggetto a requisiti di protezione più severi e deve fondarsi su una base giuridica più specifica.
Diritti dei dipendenti
Diritti di accesso e di informazione
I dipendenti hanno il diritto di ricevere dal datore di lavoro informazioni complete su quali dati personali (relativi all’orario di lavoro) vengano trattati e in quale forma (artt. 13 e 14 GDPR). Spetta loro inoltre il diritto di accesso di cui all’art. 15 GDPR e possono, se del caso, chiedere la rettifica, la cancellazione o la limitazione del trattamento.
Limitazione del trattamento e durata di conservazione
I dati possono essere conservati soltanto per il tempo necessario ad adempiere agli obblighi di legge. Per i registri dell’orario di lavoro il § 16 comma 2 ArbZG prevede in linea di principio un termine di conservazione di due anni. Decorso tale termine i dati devono essere cancellati, fatti salvi altri obblighi di conservazione di natura fiscale o commerciale.
Attuazione tecnica e organizzativa nelle imprese
Scelta di un sistema di rilevazione dell’orario
Nell’introduzione e nella configurazione dei sistemi di rilevazione dell’orario non è determinante soltanto la funzionalità tecnica. Fattori importanti sono il rispetto dei requisiti di protezione dei dati secondo i principi di «privacy by design» e «privacy by default» (art. 25 GDPR). L’accesso ai dati sull’orario di lavoro deve essere limitato alle persone autorizzate. Se vengono coinvolti terzi, come gli elaboratori esterni delle buste paga, occorre osservare le prescrizioni dell’art. 28 GDPR.
Datenschutz-Folgenabschätzung
Se la Valutazione d’Impatto sulla Protezione dei Dati (DPIA) sia necessaria ai sensi dell’art. 35 GDPR dipende dal caso specifico. In scenari standard, in cui vengono registrati solo l’inizio, la fine e la durata dell’orario di lavoro, una DPIA generalmente non è obbligatoria. Tuttavia, sistemi più complessi che raccolgono dati sulla posizione, dati biometrici o profili di movimento aumentano il rischio e potrebbero richiedere tale valutazione.
Sviluppi attuali e situazione giuridica
Tendenze nella giurisprudenza e nella legislazione
Sia gli sviluppi legislativi che le decisioni dei tribunali stanno continuamente affinando i requisiti per la registrazione dell’orario di lavoro e la protezione dei dati. Il Tribunale Federale del Lavoro (BAG) ha stabilito il 13 settembre 2022 (1 ABR 22/21) che l’obbligo di registrare l’orario di lavoro esiste indipendentemente dall’adozione di una legge specifica. Questioni dettagliate riguardanti l’attuazione pratica e la conformità alla protezione dei dati sono soggette a sviluppi continui e rimangono parzialmente irrisolte.
Alcuni procedimenti su questioni correlate sono ancora pendenti (a giugno 2024). Vale la presunzione di innocenza e non si può escludere che future sentenze di corti superiori o modifiche alla Legge sull’Orario di Lavoro possano modificare la situazione giuridica.
Conclusione e prospettive
La registrazione e il trattamento dei dati sull’orario di lavoro nelle aziende si collocano all’incrocio tra obblighi giuridici e requisiti di protezione dati approfonditi. Le aziende devono gestire un sistema di rilevazione orari conforme alle normative di legge e allo stesso tempo pienamente aderente ai principi del GDPR. Il quadro giuridico dinamico e la complessità dei requisiti rendono l’implementazione conforme alla protezione dati e la revisione continua dei sistemi di rilevazione orari un compito costante.
Per aziende, investitori e persone con un elevato patrimonio netto che si trovano in condizioni di incertezza o cercano chiarimenti sulla conformità, è consigliabile una valutazione legale individuale. Per quesiti relativi all’interpretazione o all’applicazione pratica della normativa sulla protezione dei dati nel contesto della rilevazione dell’orario di lavoro, MTR Legal Rechtsanwälte offre supporto specializzato. Ulteriori informazioni sono disponibili nella consulenza legale in materia di protezione dei dati.
