COMMENTO – PRIVACY
DI DANIELE BONADDIO | 15 OTTOBRE 2026
Il Garante per la protezione dei dati personali, con il Parere n. 624 del 16 settembre 2026 , è intervenuto sullo schema di decreto legislativo di recepimento della Direttiva UE 2024/2831, relativa al miglioramento delle condizioni di lavoro tramite piattaforme digitali. Il parere è favorevole, ma accompagnato da condizioni e osservazioni dirette soprattutto a coordinare la nuova disciplina con il GDPR. L’intervento riguarda un fenomeno che va ben oltre i rider: il lavoro organizzato mediante piattaforme nelle quali algoritmi e sistemi automatizzati possono incidere sull’assegnazione degli incarichi, sui compensi, sugli orari, sulla valutazione delle prestazioni e persino sulla sospensione o chiusura dell’account.
Premessa
Il Garante Privacy ha espresso parere favorevole, con rilievi, sullo schema di decreto legislativo che recepisce in Italia la Direttiva europea 2024/2831sul lavoro mediante piattaforme digitali, con particolare attenzione alla situazione dei rider. Nel complesso, l’Autorità considera lo schema coerente con la direttiva europea e con la normativa nazionale di delega, chiede tuttavia alcune modifiche e propone diversi correttivi.
L’obiettivo è rafforzare le tutele dei lavoratori e rendere più trasparente l’utilizzo dell’intelligenza artificiale e dei sistemi automatizzati, evitando sovrapposizioni tra le diverse autorità di controllo.
La protezione dei dati diventa così una componente essenziale della tutela lavoristica.
Al momento siamo di fronte a uno schema di decreto legislativo, Atto del Governo n. 433, ancora sottoposto all’iter parlamentare. Le disposizioni illustrate non devono quindi essere considerate come disciplina nazionale definitivamente vigente.
La direttiva europea e la gestione algoritmica
La Direttiva europea 2024/2831 persegue due obiettivi strettamente collegati: migliorare le condizioni di lavoro e rafforzare la protezione dei dati personali di chi lavora tramite piattaforme, intervenendo in particolare sulla gestione algoritmica.
Lo schema italiano distingue:
| Sistema | Funzione |
| Monitoraggio automatizzato | Supervisiona o valuta attività e prestazione |
| Decisionale automatizzato | Assume o supporta decisioni con effetti significativi |
| Gestione algoritmica | Può incidere su incarichi, guadagni, orari e rapporto contrattuale |
Rientrano quindi nel perimetro anche sistemi capaci di determinare quali consegne assegnare, valutare performance e disponibilità o incidere sulla sospensione e chiusura dell’account.
La presunzione di subordinazione
La protezione dei dati non è l’unica novità. Lo schema introduce una presunzione legale di subordinazione quando dall’analisi dei fatti emergono elementi indicativi dell’esercizio, da parte della piattaforma, di poteri di direzione e controllo.
Tra gli elementi valutabili rientra proprio l’utilizzo dei sistemi automatizzati nell’organizzazione e nell’effettiva esecuzione del lavoro.
L’algoritmo assume così una duplice rilevanza. Da una parte deve rispettare le garanzie in materia di dati personali; dall’altra, il modo concreto in cui organizza e controlla la prestazione può contribuire alla valutazione della corretta qualificazione del rapporto.
Non è quindi il semplice utilizzo di un’app a determinare automaticamente la subordinazione: devono essere esaminate le modalità effettive di esercizio del potere di direzione e controllo.
Quali dati non possono essere utilizzati
Particolarmente incisivi sono i limiti posti ai sistemi di monitoraggio e decisionali automatizzati.
Lo schema vieta, tra l’altro, il trattamento di dati riguardanti:
- stato emotivo o psicologico;
- conversazioni private, comprese quelle con i rappresentanti dei lavoratori;
- attività svolte quando la persona non sta lavorando né si sta proponendo per lavorare;
- informazioni idonee a incidere sull’esercizio di diritti fondamentali, come libertà sindacale e azioni collettive;
- dati utilizzati per desumere origine etnica, opinioni politiche, convinzioni religiose, salute o orientamento sessuale;
- determinati trattamenti biometrici per l’identificazione.
Le tutele in materia di dati e gestione algoritmica non riguardano soltanto i lavoratori subordinati.
La direttiva estende importanti garanzie anche alle persone che lavorano tramite piattaforma senza un rapporto di lavoro subordinato, proprio perché l’impatto del controllo algoritmico può essere analogo.
DPIA obbligatoria per i sistemi automatizzati
Un ruolo centrale viene attribuito alla valutazione d’impatto sulla protezione dei dati (DPIA).
La direttiva considera il trattamento effettuato tramite sistemi automatizzati di monitoraggio o decisionali come potenzialmente ad alto rischio per i diritti e le libertà delle persone e richiede alle piattaforme, quali titolari del trattamento, di effettuare la valutazione ai sensi dell’art. 35 GDPR, coinvolgendo lavoratori e rappresentanti.
Lo schema italiano recepisce tale impostazione e prevede che la DPIA relativa ai sistemi automatizzati sia resa disponibile ai rappresentanti dei lavoratori.
Trasparenza dell’algoritmo
Il lavoratore deve poter comprendere come e perché il sistema automatizzato incide sulla propria attività.
Lo schema introduce obblighi informativi sui sistemi di monitoraggio e decisionali, mentre il Garante chiede di coordinarli espressamente con gli artt. 12, 13 e 14 GDPR e di chiarire i tempi entro cui le informazioni devono essere fornite.
La tutela non si esaurisce nell’informativa: viene riconosciuto anche il diritto a ottenere una spiegazione comprensibile della decisione algoritmica, contestarla e richiederne il riesame.
Lo schema attribuisce alla persona che lavora tramite piattaforma il diritto alla portabilità dei dati personali prodotti durante l’attività mediante sistemi automatizzati, estendendolo espressamente anche a valutazioni e recensioni.
La piattaforma deve predisporre gratuitamente strumenti che rendano concretamente esercitabile il diritto e, su richiesta, trasmettere direttamente i dati a terzi.
Si tratta di una previsione particolarmente significativa in un settore nel quale rating e reputazione digitale possono incidere concretamente sulle opportunità di lavoro.
Le decisioni più gravi devono restare umane
Altro principio fondamentale riguarda la supervisione umana.
Secondo lo schema, le piattaforme devono valutare almeno ogni 2 anni gli effetti delle decisioni automatizzate sulle condizioni di lavoro e sulla parità di trattamento, con il coinvolgimento dei rappresentanti.
Soprattutto, una decisione di limitazione, sospensione o cessazione del rapporto oppure di chiusura dell’account non può essere affidata esclusivamente all’algoritmo, ma deve essere adottata da un essere umano.
Il Garante propone inoltre che le risorse umane incaricate della supervisione siano poste in collegamento diretto con il vertice societario, così da garantirne effettivi poteri di intervento.
Comunicazioni tra lavoratori al riparo dalla piattaforma
Lo schema prevede anche canali di comunicazione privati, sicuri ed efficaci attraverso i quali i lavoratori possano comunicare tra loro e con i propri rappresentanti.
La piattaforma non può monitorare tali comunicazioni né interferire indebitamente, ferma restando la possibilità di ricorrere a soggetti terzi indipendenti per contrastare molestie o violenze all’interno dei canali.
Il problema del doppio binario sanzionatorio
È questo uno dei rilievi più importanti formulati dal Garante.
DPIA, trasparenza degli algoritmi, intervento umano e sicurezza dei canali sono già materie disciplinate e sanzionate dal GDPR. Lo schema attribuisce però in numerosi casi poteri di accertamento e sanzione anche all’Ispettorato nazionale del lavoro.
Ne deriva il rischio che la stessa condotta sia sottoposta a due differenti procedimenti sanzionatori.
Il Garante propone perciò una clausola di assorbimento, fondata sui principi di specialità e proporzionalità, oppure una specifica clausola di coordinamento tra i procedimenti avviabili dal Garante e dall’Ispettorato.
Non si tratta di sottrarre la gestione algoritmica alla vigilanza lavoristica, ma di evitare duplicazioni sanzionatorie e conflitti di competenza.
Tutele contro ritorsioni e disconnessioni
Lo schema completa le garanzie vietando trattamenti sfavorevoli verso chi esercita i nuovi diritti.
In caso di cessazione del contratto o estromissione dalla piattaforma, il lavoratore può chiedere le ragioni della decisione e la piattaforma deve fornire risposta scritta entro 7 giorni. In caso di controversia per una presunta ritorsione, grava sulla piattaforma l’onere di dimostrare che la decisione deriva da ragioni estranee all’esercizio dei diritti tutelati.
Riferimenti normativi:
- Regolamento UE 27 aprile 2016, n. 2016/679, artt. 12, 13, 14 e 35
- Direttiva UE 23 ottobre 2024, n.2024/2831
- Garante per la protezione dei dati personali, Parere 16 settembre 2026, n. 624
Il contenuto di questa newsletter è strettamente riservato e destinato esclusivamente ai destinatari autorizzati.
È espressamente vietata la condivisione totale o parziale di questa comunicazione su qualsiasi piattaforma pubblica o privata, inclusi (ma non limitati a):
• Gruppi e canali Telegram
• Chat di gruppo o broadcast su WhatsApp
• Post o storie su Facebook, Instagram, X (Twitter), LinkedIn, o altri social network.
Ogni violazione di questa norma potrà comportare l’esclusione immediata dalla lista dei destinatari e, nei casi più gravi, azioni legali.
Grazie per il rispetto delle regole e per contribuire a mantenere la riservatezza delle informazioni condivise.