AEPD sanziona Ares Capital per BYOD senza base giuridica: 200mila euro

Premessa

Con la risoluzione del procedimento sanzionatorio n. PS-00454/2024 — adottata dalla Presidencia de la Agencia Española de Protección de Datos (AEPD) e resa pubblica nel 2025 — l’Autorità garante spagnola ha inflitto a Ares Capital, S.A., società attiva nel settore del trasporto privato con conducente (VTC), una sanzione complessiva di 200.000 euro per la violazione degli articoli 5.1.c), 6.1 e 13 del Regolamento (UE) 2016/679 (GDPR). Il fatto materiale sottostante è, nella sua essenzialità, il seguente: l’azienda imponeva ai propri conducenti di installare sul dispositivo mobile personale quattro applicazioni con perimetri di raccolta dati eccedenti lo stretto necessario per lo svolgimento della prestazione lavorativa, senza che sussistesse una valida base giuridica per il trattamento né un’informativa adeguata.

Il provvedimento è rilevante per il panorama italiano ed europeo per almeno tre ragioni convergenti. In primo luogo, affronta in modo sistematico il fenomeno “Bring Your Own Device” (BYOD) nell’ambito del rapporto di lavoro dipendente — tema rispetto al quale il Garante per la protezione dei dati personali italiano non ha ancora adottato linee guida specifiche, sebbene abbia trattato profili contigui in sede di intervento su geolocalizzazione e controllo a distanza. In secondo luogo, il caso illustra con precisione come il consenso del lavoratore non possa fungere da base giuridica autonoma in un contesto caratterizzato da squilibrio strutturale di potere. In terzo luogo, la decisione dell’AEPD chiarisce l’interazione tra il principio di minimizzazione dei dati (art. 5.1.c) GDPR), la liceità del trattamento (art. 6.1 GDPR) e gli obblighi di informazione (art. 13 GDPR), offrendo coordinate interpretative che i DPO e i responsabili legali di impresa possono utilmente impiegare nella revisione dei propri programmi di compliance.

Le norme coinvolte — artt. 5.1.c), 6.1, 7, 13 e 83.5 GDPR; artt. 71, 72, 74 e 76 della Ley Orgánica 3/2018 (LOPDGDD); Linee guida EDPB 05/2020 sul consenso — sono tutte di applicazione trasversale, sicché le conclusioni dell’AEPD offrono parametri direttamente spendibili nell’ordinamento italiano.

Il quadro normativo di riferimento

La disciplina europea: principi fondamentali e base giuridica

Il GDPR costruisce il trattamento dei dati personali attorno a un sistema di principi la cui violazione è presidiata dalla sanzione più severa prevista dall’art. 83.5, applicabile — per le violazioni dei principi di trattamento, delle condizioni di liceità e del consenso, dei diritti degli interessati e delle regole sui trasferimenti — fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

Il principio di minimizzazione dei dati, sancito dall’art. 5.1.c) GDPR, impone che i dati personali siano “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”. In sostanza, il titolare del trattamento non è legittimato a raccogliere dati perché potrebbe un giorno trovarne utilità, né a tollerare che applicativi di terza parte installati a fini lavorativi acquisiscano permessi di accesso a informazioni che non hanno alcuna connessione funzionale con la prestazione richiesta. In termini più pragmatici, un’applicazione di geolocalizzazione per la gestione delle flotte non ha ragione di accedere a rubrica telefonica, fotocamera, dati di salute o registrazioni audio del dispositivo ospitante.

La liceità del trattamento è regolata dall’art. 6.1 GDPR, che elenca tassativamente le basi giuridiche ammesse. Nel contesto lavorativo, le più frequentemente invocate sono: l’esecuzione del contratto (art. 6.1.b)); l’obbligo legale (art. 6.1.c)); il legittimo interesse (art. 6.1.f)); il consenso (art. 6.1.a)). Il Considerando 43 del GDPR precisa tuttavia che, laddove esista “un evidente squilibrio tra l’interessato e il titolare del trattamento”, il consenso “non dovrebbe costituire un valido presupposto di liceità per il trattamento”. È una previsione che acquista particolare rilievo nel rapporto di lavoro subordinato, dove la posizione di debolezza strutturale del lavoratore rende fisiologicamente dubbio che il consenso possa essere prestato in modo libero.

L’art. 13 GDPR disciplina il diritto all’informazione quando i dati vengono raccolti direttamente dall’interessato. Il titolare è tenuto a fornire, al momento della raccolta, informazioni complete e comprensibili su: identità del titolare; finalità e base giuridica; destinatari; termini di conservazione; diritti dell’interessato; esistenza di processi decisionali automatizzati. L’informativa deve essere — secondo l’art. 12.1 — “concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro”.

Il quadro spagnolo: la LOPDGDD e i diritti digitali dei lavoratori

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) costituisce l’attuazione nazionale del GDPR in Spagna. In materia sanzionatoria, gli artt. 71, 72 e 74 classificano le infrazioni: la violazione dell’art. 5.1.c) e dell’art. 6.1 GDPR è qualificata come “muy grave” con prescrizione triennale (art. 72.1 LOPDGDD); la violazione dell’art. 13 GDPR è qualificata come “leve” con prescrizione annuale (art. 74 LOPDGDD), ancorché la sanzione irrogata in concreto — 20.000 euro — rientri nel massimale più elevato dell’art. 83.5 GDPR per il tramite del rinvio della LOPDGDD.

Di rilievo è anche il fatto che la LOPDGDD, all’art. 88, riconosce esplicitamente il diritto alla disconnessione digitale dei lavoratori — tema su cui l’AEPD insiste nel provvedimento, rilevando che Ares Capital non aveva informato i dipendenti sulle concrete modalità di disconnessione dalle applicazioni al termine della giornata lavorativa.

Il quadro italiano: analogie e differenze

L’ordinamento italiano non dispone di una disciplina BYOD organica dedicata al contesto lavorativo. Tuttavia, diversi strumenti normativi si intersecano con il tema. L’art. 4 della Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), come modificato dal d.lgs. 14 settembre 2015, n. 151, disciplina i controlli a distanza dei lavoratori tramite strumenti tecnologici, subordinandoli — se tali strumenti consentono il controllo — ad accordo sindacale o autorizzazione dell’Ispettorato del Lavoro, ovvero — se trattasi di strumenti di lavoro — al mero rispetto degli obblighi di informazione. Il confine tra “strumento di lavoro” e “strumento di controllo” è però poroso quando si tratta di applicazioni su dispositivi personali: il Garante italiano ha più volte rilevato che il semplice fatto di installare un’app di geolocalizzazione su uno smartphone non trasforma automaticamente il dispositivo in “strumento di lavoro” immune da controllo.

Il Garante ha adottato provvedimenti rilevanti in materia di geolocalizzazione dei lavoratori e ha dato attuazione nell’ordinamento italiano, attraverso il d.lgs. 30 giugno 2003, n. 196 (Codice Privacy), come novellato dal d.lgs. 10 agosto 2018, n. 101, ai principi del GDPR applicabili anche al contesto lavorativo.

Le Linee guida EDPB 05/2020 sul consenso, adottate il 4 maggio 2020, non hanno natura vincolante, ma costituiscono il riferimento interpretativo comune delle autorità di controllo dell’Unione: il loro contenuto in materia di consenso libero, specifico, informato e inequivoco è parte integrante del corpus interpretativo applicabile tanto in Spagna quanto in Italia.

I fatti accertati e la struttura dell’illecito

Il modello operativo di Ares Capital

Ares Capital, S.A. — società con oltre 5.787 dipendenti e un fatturato 2024 superiore a 256 milioni di euro — gestisce una flotta di veicoli VTC. Il modello operativo prevedeva che i conducenti potessero scegliere tra l’utilizzo di uno smartphone aziendale e l’utilizzo del proprio dispositivo personale, con corresponsione di un rimborso mensile per le spese connesse all'”uso mobile personale”. Nella pratica, tuttavia, la disponibilità dei terminali aziendali era subordinata a “limitaciones presupuestarias y de plantilla”, con la conseguenza che la “scelta” era spesso solo formale: in assenza di un device aziendale, il lavoratore era di fatto obbligato a usare il proprio smartphone.

Su tale dispositivo — aziendale o personale — erano obbligatoriamente installate quattro applicazioni. Secondo quanto emerge dalle schermate acquisite come prove in data 6 agosto 2024: la prima applicazione includeva permessi per raccogliere dati di ubicazione, informazioni sullo stato fisico, dati personali (nome, indirizzo e-mail, ID utente, numero di telefono), contatti, informazioni finanziarie, registrazioni audio, foto e video; la seconda applicazione — funzionale all’apertura e chiusura dei veicoli tramite Bluetooth — richiedeva permessi per raccogliere ubicazione approssimata e precisa, foto e video, informazioni personali.

Il tema della base giuridica e il consenso nel rapporto di lavoro

Ares Capital ha sostenuto che il trattamento trovasse fondamento nell’esecuzione del contratto di lavoro (art. 6.1.b) GDPR) e nel consenso dei lavoratori (art. 6.1.a) GDPR). L’AEPD ha respinto entrambe le argomentazioni con motivazioni che si ritiene meritino un’analisi distinta.

Quanto alla base contrattuale: l’esecuzione del contratto giustifica il trattamento di dati strettamente necessari allo svolgimento della prestazione. Una geolocalizzazione continua, l’accesso ai contatti personali, alle registrazioni audio e ai dati di salute del lavoratore non presentano — sulla base degli atti — un nesso causale diretto e necessario con la mansione di conducente VTC. Il principio è quello già enunciato dalla giurisprudenza della Audiencia Nacional citata nella risoluzione AEPD : la finalità di controllo dell’attività lavorativa e di erogazione del servizio al cliente “non supera il necessario giudizio di proporzionalità” quando le stesse finalità possano essere conseguite con misure meno intrusive — ad esempio, sistemi di geolocalizzazione installati direttamente sui veicoli anziché sui dispositivi personali dei lavoratori.

Quanto al consenso: l’AEPD richiama il Considerando 43 GDPR e le Linee guida EDPB 05/2020, nella parte relativa alla “libertà” del consenso. Nell’ambito del rapporto di lavoro, il consenso è strutturalmente a rischio di essere non libero per via della dipendenza economica del lavoratore dal datore. L’AEPD osserva che quando l’accesso al dispositivo aziendale è condizionato a risorse e disponibilità dell’impresa — sicché il lavoratore si trova di fatto a dover usare il proprio telefono — il “consenso” all’installazione delle applicazioni non è una manifestazione libera e autonoma della propria volontà, ma una condizione imposta per mantenere il posto di lavoro. In aggiunta, l’impossibilità di modificare i permessi delle applicazioni installate — come risulta esplicitamente dai documenti aziendali che vietano qualunque modifica al terminale senza autorizzazione scritta — esclude che il lavoratore possa esercitare un reale controllo sui propri dati.

Il principio di minimizzazione: eccesso sistematico dei permessi applicativi

L’art. 5.1.c) GDPR è violato ogni qual volta vengano raccolti dati non strettamente pertinenti e necessari rispetto alle finalità dichiarate. Nel caso in esame, la risoluzione constata che le applicazioni obbligatorie — anche là dove vengano installate su terminali aziendali — raccolgono dati chiaramente eccedenti: lo stato fisico del lavoratore, i contatti personali, le registrazioni audio, i video. Nessuna di queste categorie è riconducibile alla necessità di gestire una flotta VTC o di garantire la sicurezza dei passeggeri, finalità che avrebbero potuto essere soddisfatte con sistemi di tracciamento installati sui veicoli e con applicazioni a permessi minimi.

Va detto che l’AEPD non è entrata nel merito tecnico di ciascuna singola applicazione — i cui nomi restano oscurati nella versione pubblica del provvedimento — ma ha fondato la propria valutazione sulle schermate del Play Store di Google che illustravano i permessi richiesti all’atto dell’installazione. Si tratta di una metodologia probatoria rilevante: le informazioni pubblicamente disponibili sugli store applicativi costituiscono evidenza sufficiente per stabilire che il titolare del trattamento ha messo a disposizione dei propri dipendenti strumenti eccedenti la necessità funzionale.

Il difetto di informativa

L’AEPD accerta che Ares Capital non aveva fornito ai lavoratori informazioni sufficienti sulle modalità di funzionamento delle applicazioni, sui dati effettivamente raccolti, sui tempi di conservazione e — aspetto particolarmente significativo — sulle concrete modalità di disconnessione al termine della giornata lavorativa. La clausola contrattuale che prevedeva la possibilità di disconnettersi “fuera de su jornada laboral” era considerata generica e insufficiente, non avendo Ares Capital chiarito se la disconnessione richiedesse la chiusura della sessione, la disinstallazione temporanea o lo spegnimento del dispositivo.

Il difetto di informativa determina non solo una violazione formale dell’art. 13 GDPR, ma incide sulla validità del consenso medesimo: un consenso prestato senza piena consapevolezza di che cosa si stia autorizzando non è “informato” ai sensi dell’art. 4.11 GDPR, né soddisfa i requisiti minimi di contenuto indicati nelle Linee guida EDPB 05/2020.

Profili critici e questioni aperte

Il BYOD tra autonomia contrattuale e tutela dei diritti fondamentali

Il caso Ares Capital pone in evidenza la tensione strutturale insita in qualsiasi politica BYOD in senso lato — ossia in qualsiasi modello organizzativo in cui il confine tra dispositivo personale e strumento di lavoro sia permeabile. L’aspetto più delicato non è l’uso del proprio smartphone, ma l’installazione di applicazioni che estendono i permessi del datore di lavoro a spazi privati del lavoratore — rubrica, galleria fotografica, microfono, dati biometrici — che in condizioni normali sarebbero inaccessibili.

Secondo il parere di chi scrive, la clausola contrattuale che consente al datore di lavoro di imporre l’installazione di applicazioni su dispositivi personali — senza specificare nel dettaglio quali dati vengano raccolti, con quale frequenza, con quale meccanismo di disconnessione — è strutturalmente incompatibile con il GDPR, indipendentemente dalla compensazione economica eventualmente corrisposta. La compensazione monetaria può giustificare l’uso del dispositivo, non l’acquisizione di dati personali eccedenti la finalità lavorativa.

L’irrilevanza del consenso contrattuale in ambito lavorativo

La tematica del consenso nel rapporto di lavoro ha una storia applicativa consolidata a livello europeo. Il Gruppo di lavoro art. 29, nelle Linee guida sul consenso poi confluite nelle Linee guida EDPB 05/2020, aveva già chiarito che nel contesto del datore di lavoro/dipendente è “improbabile che il consenso sia liberamente prestato” per via della dipendenza. L’AEPD segue questa impostazione senza deroghe: il fatto che l’impresa assuma formalmente di non imporre l’uso del telefono personale non vale se la condizione pratica del mercato delle risorse aziendali rende l’alternativa teorica.

Appare chiaro allo scrivente che questo principio è di diretta applicabilità anche nell’ordinamento italiano. Il Garante italiano ha più volte affermato — da ultimo nel contesto dei controlli a distanza — che il consenso del lavoratore non può costituire base autonoma per il trattamento di dati connessi alla gestione del rapporto lavorativo, dovendosi ricorrere ad altre basi giuridiche — in primis l’obbligo legale o il legittimo interesse — accompagnate però dal rispetto del principio di proporzionalità.

La responsabilità del titolare per i permessi delle app di terze parti

Un profilo di interesse teorico-pratico emerge dalla struttura del caso: Ares Capital non è lo sviluppatore delle applicazioni in questione, bensì il soggetto che ne impone l’installazione. L’AEPD non entra in questa distinzione in modo approfondito, ma ne trae una conseguenza operativa netta: il titolare del trattamento che impone l’uso di un’applicazione di terza parte risponde del trattamento che quell’applicazione effettua, se è lui a determinare la necessità dell’installazione. In sostanza, non è possibile scaricare la responsabilità sullo sviluppatore dell’app: il titolare deve verificare — prima di imporne l’utilizzo ai dipendenti — quali permessi l’applicazione richiede, se tali permessi sono giustificati dalla finalità dichiarata, e se esiste un’alternativa tecnica con minor impatto sui dati personali.

Si ritiene che questo approccio sia pienamente coerente con il principio di protezione dei dati by design e by default sancito dall’art. 25 GDPR, il quale impone al titolare di adottare, sin dalla fase di progettazione del trattamento, misure tecniche e organizzative idonee ad attuare i principi di protezione dei dati. L’adozione di un’applicazione con permessi eccedenti equivale, nella sostanza, a una scelta progettuale incompatibile con il principio di minimizzazione.

La quantificazione delle sanzioni e il criterio del fatturato

Le tre sanzioni irrogate — 100.000 euro per la violazione dell’art. 5.1.c); 80.000 euro per la violazione dell’art. 6.1; 20.000 euro per la violazione dell’art. 13 — sommano a 200.000 euro totali. Rispetto al fatturato di Ares Capital (256.229.000 euro nel 2024), l’importo complessivo rappresenta circa lo 0,078% del volume di affari, ben al di sotto del massimale del 4% del fatturato mondiale totale annuo previsto dall’art. 83.5 GDPR per le violazioni ivi elencate. L’AEPD ha optato per una sanzione proporzionata al caso concreto piuttosto che per un utilizzo del massimale, tenendo conto che — almeno formalmente — alcune misure correttive erano già state avviate dall’impresa prima della conclusione del procedimento.

Non si ha evidenza, sulla base del provvedimento pubblicato, che l’AEPD abbia applicato agevolazioni per la cooperazione volontaria con l’Autorità, anche perché Ares Capital non ha presentato memorie difensive al termine del procedimento sanzionatorio, comportamento che — come specificato nella risoluzione stessa — ha determinato la conversione dell’atto di avvio in proposta di risoluzione ai sensi dell’art. 64.2.f) della LPACAP.

Adempimenti concreti per DPO e imprese

La seguente sezione operativa è concepita come strumento di lavoro per il DPO e il responsabile legale d’impresa alle prese con la revisione o l’impostazione di un programma di compliance BYOD in contesto lavorativo. Gli adempimenti seguono la logica progressiva del ciclo di gestione del trattamento: mappatura, valutazione, informazione, governance tecnica.

Mappatura del perimetro BYOD: prima di qualsiasi altra azione, si suggerisce di costruire un inventario completo delle applicazioni la cui installazione è prevista o imposta — a qualunque titolo — su dispositivi dei dipendenti, distinguendo tra quelle installate su terminali aziendali e quelle installate su dispositivi personali usati per finalità lavorative. Per ciascuna applicazione vanno documentati: permessi richiesti dal sistema operativo (iOS/Android); dati raccolti secondo la privacy label disponibile sullo store; destinatari del trattamento; eventuale trasferimento verso Paesi terzi. Questa mappatura costituisce la base per il registro dei trattamenti di cui all’art. 30 GDPR.

Analisi di proporzionalità per ciascuna applicazione: per ogni applicazione censita, il DPO è tenuto a verificare se i permessi concretamente richiesti all’atto dell’installazione siano strettamente necessari rispetto alla finalità lavorativa dichiarata. La verifica dovrebbe avvenire attraverso una matrice funzionale: funzione dell’app → dati minimi necessari per quella funzione → permessi effettivamente richiesti → delta tra necessario e richiesto. Dove il delta è positivo — ovvero l’applicazione richiede più di quanto necessario — si ha un potenziale vizio di minimizzazione ex art. 5.1.c) GDPR, da risolvere con la sostituzione dell’applicazione, la negoziazione con il fornitore per una versione “privacy-reduced”, ovvero la rinuncia all’imposizione di quell’applicazione su dispositivi personali.

Individuazione della base giuridica: per ciascun trattamento connesso all’uso di applicazioni su dispositivi dei dipendenti, la base giuridica va individuata prima dell’avvio del trattamento e documentata nel registro. In ambito lavorativo, si ritiene che le basi giuridiche praticabili siano principalmente l’esecuzione del contratto (art. 6.1.b) GDPR) e il legittimo interesse (art. 6.1.f) GDPR) — quest’ultimo solo previa conduzione del bilanciamento degli interessi e nel rispetto del principio di proporzionalità. Il consenso (art. 6.1.a) GDPR) non dovrebbe essere invocato come base autonoma per trattamenti che afferiscono alla sfera privata del lavoratore, in linea con quanto indicato dall’EDPB e con la giurisprudenza dell’AEPD e del Garante italiano.

Revisione delle clausole contrattuali e delle policy BYOD: qualora l’impresa si avvalga di modelli BYOD — siano essi espliciti o impliciti, come nel caso Ares Capital — è necessario che le relative clausole contrattuali e le policy interne specifichino: le applicazioni la cui installazione è richiesta; i dati raccolti da ciascuna applicazione; le finalità del trattamento; la base giuridica; le modalità di disconnessione al termine della giornata lavorativa; i diritti dell’interessato e le relative modalità di esercizio. Clausole generiche del tipo “l’azienda può accedere ai dispositivi per finalità di sicurezza e controllo” non soddisfano il requisito di trasparenza dell’art. 13 GDPR.

Redazione o revisione dell’informativa ex art. 13 GDPR: l’informativa da fornire al lavoratore che utilizzi dispositivi personali per finalità lavorative deve essere specifica — non può essere la medesima informativa generica consegnata all’atto dell’assunzione. Deve contenere, in aggiunta agli elementi standard: la lista delle applicazioni la cui installazione è richiesta; la categoria di dati raccolta da ciascuna applicazione; le modalità operative di disconnessione (distinguendo tra log-out dall’applicazione, disattivazione del permesso di geolocalizzazione in background, e spegnimento del dispositivo); l’indicazione se le applicazioni continuano a raccogliere dati al di fuori dell’orario di lavoro e in quali condizioni.

Valutazione d’impatto (DPIA) ex art. 35 GDPR: si suggerisce di condurre una DPIA ogni qual volta il trattamento tramite BYOD contempli: geolocalizzazione continua o frequente dei lavoratori; raccolta di dati relativi alla salute o allo stato fisico; elaborazione di profili comportamentali dei dipendenti; accesso a comunicazioni private (chiamate, messaggi). La DPIA è obbligatoria ai sensi dell’art. 35.3.c) GDPR quando il trattamento “prevede la sorveglianza sistematica su larga scala di zone accessibili al pubblico” e, per analogia interpretativa consolidata, dei lavoratori in mobilità.

Accordo sindacale o informativa preventiva per i controlli a distanza (rilevante per il contesto italiano): qualora l’applicazione installata sul dispositivo del lavoratore — personale o aziendale — consenta de facto un controllo a distanza dell’attività lavorativa, l’art. 4, comma 1, dello Statuto dei Lavoratori impone il previo accordo sindacale o l’autorizzazione dell’Ispettorato Nazionale del Lavoro. La geolocalizzazione continua tramite app è, secondo la prassi consolidata, un caso paradigmatico di controllo a distanza. Il mancato rispetto di questo requisito espone l’impresa a sanzioni sia giuslavoristiche sia in materia di protezione dei dati.

Governance tecnica: limitazione dei permessi applicativi tramite MDM: per i terminali aziendali, l’adozione di una soluzione MDM (Mobile Device Management) che consenta di limitare i permessi delle applicazioni al minimo necessario costituisce una misura di protezione dei dati by design e by default ai sensi dell’art. 25 GDPR. Per i dispositivi personali in modalità BYOD, l’impresa non può imporre configurazioni MDM senza il consenso del lavoratore — ma può e deve scegliere applicazioni che rispettino il principio di minimizzazione anche in assenza di controllo tecnico centralizzato.

Formazione periodica dei lavoratori e dei responsabili HR: la formazione sui diritti in materia di protezione dei dati — con particolare riferimento alle modalità di disconnessione digitale, all’esercizio dei diritti ex artt. 15-22 GDPR e ai canali di contatto con il DPO — non è un adempimento una tantum, ma va strutturata come attività periodica e documentata, specie in contesti ad alta rotazione del personale come il settore del trasporto VTC.

—

Tabella operativa — Mappatura adempimenti, norme e evidenze documentali

| Adempimento | Norma di riferimento | Evidenza documentale richiesta | |—|—|—| | Inventario applicazioni e permessi | Art. 30 GDPR; art. 5.1.c) GDPR | Registro trattamenti aggiornato; schede per ciascuna app con permessi e dati raccolti | | Analisi di proporzionalità | Art. 5.1.c) GDPR; art. 25 GDPR | Matrice funzionale app/dati/necessità; eventuale parere tecnico scritto | | Individuazione base giuridica | Art. 6.1 GDPR; Considerando 43 GDPR | Documento di analisi delle basi giuridiche per ciascun trattamento BYOD | | Bilanciamento legittimo interesse | Art. 6.1.f) GDPR; Linee guida EDPB 1/2024 sul legittimo interesse | Legitimate interest assessment (LIA) documentato e datato | | Revisione clausole contrattuali | Art. 13 GDPR; art. 88 GDPR; art. 4 Stat. Lav. | Testo contrattuale aggiornato; policy BYOD specifica con data di adozione | | Informativa specifica ex art. 13 | Art. 13 GDPR; Linee guida EDPB 05/2020 | Informativa BYOD separata, firmata per ricevuta dal lavoratore | | DPIA per trattamenti ad alto rischio | Art. 35 GDPR | Report DPIA datato, approvato dal DPO e, ove necessario, consultazione preventiva con l’Autorità | | Accordo sindacale/autorizzazione INL | Art. 4 L. 300/1970 (solo Italia) | Copia accordo sindacale o provvedimento autorizzatorio INL | | Configurazione MDM su terminali aziendali | Art. 25 GDPR | Policy di gestione MDM; log delle configurazioni applicate | | Formazione periodica dipendenti | Art. 5.1.a) GDPR; art. 24 GDPR | Piano formativo annuale; registri di partecipazione con data e argomenti | | Diritto alla disconnessione digitale | Art. 88 GDPR; art. 13 GDPR; art. 19 L. 81/2017 (solo Italia) | Procedura operativa di disconnessione; comunicazione ai lavoratori |

Conclusioni

Il provvedimento dell’AEPD nel caso Ares Capital non esaurisce la propria portata nel perimetro spagnolo. Sul piano sistematico, esso offre una ricostruzione chiara e documentata di un fenomeno in rapida espansione — la sorveglianza digitale dei lavoratori tramite applicazioni su dispositivi personali — e lo riconduce ai principi fondamentali del GDPR con un rigore argomentativo che lo rende un utile riferimento interpretativo anche per i DPO e i giuristi d’impresa italiani.

Restano aperte alcune questioni di non poco momento. In primo luogo, la risoluzione non affronta il tema della responsabilità degli sviluppatori delle applicazioni installate: è legittimo chiedersi se, in futuro, le Autorità di controllo potrebbero estendere la propria azione anche ai fornitori di applicazioni che mettono a disposizione degli stessi permessi eccessivi, almeno laddove questi abbiano consapevolezza che le proprie soluzioni sono utilizzate in contesti lavorativi. Il tema si intreccia con le previsioni dell’AI Act — Regolamento (UE) 2024/1689 — per i sistemi che elaborano profili comportamentali dei lavoratori.

In secondo luogo, il caso solleva la questione di come debbano essere trattati i dati raccolti tramite applicazioni installate su dispositivi personali quando il rapporto di lavoro si conclude: la risoluzione si limita a menzionare il periodo di conservazione previsto contrattualmente (cinque anni dopo la cessazione), ma non affronta il problema — pratico e non irrilevante — della impossibilità tecnica di “recuperare” dati già trasmessi verso server di terze parti al di fuori del controllo del datore di lavoro.

In terzo luogo, si ritiene che il tema del BYOD meriti un’attenzione sistematica da parte del Garante italiano, che potrebbe muoversi in due direzioni complementari: l’adozione di Linee guida specifiche sul trattamento dei dati personali tramite dispositivi mobili in contesto lavorativo, e l’aggiornamento delle indicazioni in materia di geolocalizzazione dei lavoratori alla luce dell’evoluzione tecnologica — che ha reso quella dell’app su smartphone la forma predominante di tracciamento della posizione, rispetto ai tradizionali sistemi GPS installati sui veicoli.

Infine, vale la pena osservare che la risoluzione dell’AEPD mette in luce una debolezza strutturale nei programmi di compliance BYOD: la tendenza a trattare la questione come prevalentemente contrattuale — predisponendo clausole e policy — senza che tale attività sia accompagnata da una verifica tecnica effettiva dei permessi delle applicazioni imposte. Il principio di accountability ex art. 5.2 GDPR impone al titolare di essere in grado di dimostrare la conformità, non di affermarla. In questo senso, la documentazione tecnica relativa ai permessi applicativi — oggi producibile in modo agevole attraverso i sistemi di gestione delle applicazioni mobili — costituisce tanto un’evidenza a tutela dell’impresa in caso di ispezione, quanto uno strumento di controllo preventivo che il DPO è nella posizione più adeguata per presidiare.