MILANO – Cinque milioni di euro di multa. E’ la sanzione che il garante della privacy ha dato alla Foodinho srl, filiale italiana con base a Milano della società spagnola Glovo, per “aver trattato illecitamente i dati personali di oltre 35mila rider” compresa la geolocalizzazione, che veniva inviata a società terze anche al di fuori dell’orario di lavoro.
Fino ad agosto 2023 i rider venivano geolocalizzati anche fuori dall’orario di lavoro. Il Garante per la protezione dei dati personali ha ordinato a Foodinho srl, il pagamento della sanzione. L’Autorità ha inoltre impartito specifiche prescrizioni e ha vietato l’ulteriore trattamento dei dati biometrici (riconoscimento facciale) dei rider utilizzati per la verifica dell’identità.
Dalla complessa istruttoria, avviata d’ufficio a seguito delle notizie di stampa relative alla disattivazione dell’account di un rider morto, Sebastian Galassi, 26enne che perse la vita nell’ottobre del 2022 a seguito di un incidente contro un fuoristrada a Rovezzano, e dalla segnalazione di un gruppo di esperti informatici, sono emerse numerose e gravi violazioni del Regolamento (Gdpr), nonostante la società fosse già stata sanzionata dal Garante nel 2021.
L’Autorità, anche a seguito delle ispezioni effettuate con il Nucleo speciale della GdF, ha accertato che la piattaforma utilizzata dalla società, quando disattiva o blocca l’account, invia automaticamente un unico messaggio standard, che però non informa della possibilità di contestare la decisione e chiedere il ripristino dell’account. Attraverso l’accesso diretto ai sistemi, il Garante ha poi verificato che la società effettua anche altri trattamenti automatizzati dei dati dei rider, ad es., attraverso il c.d. sistema di eccellenza (punteggio che consente di prenotare con priorità il turno di lavoro) e il sistema di assegnazione degli ordini all’interno del turno.
Tutto ciò senza aver adottato le misure previste dal Gdpr per l’utilizzo di sistemi automatizzati, in particolare il diritto dei rider di ottenere l’intervento umano, di esprimere la propria opinione e contestare la decisione assunta attraverso il sistema. Dagli accertamenti è anche emerso che Foodinho, senza informare gli interessati, invia i dati personali dei rider, compresa la posizione geografica, a società terze. I dati sulla geolocalizzazione, in particolare, sono inviati anche quando il rider non lavora, l’app è in background e, fino ad agosto 2023, anche quando l’app non era attiva.
Foodinho quindi dovrà, in particolare, riformulare i messaggi inviati ai rider in caso di disattivazione o blocco dell’account e assicurare che le decisioni adottate dall’algoritmo siano verificate da operatori adeguatamente formati. Inoltre, dovrà attivare sul dispositivo dei rider un’ icona che indichi che il Gps è attivo e disattivarlo quando l’app è in background. Foodinho, infine, dovrà adottare misure appropriate per evitare usi impropri e discriminatori dei meccanismi reputazionali basati sui feedback dei clienti e adempiere a quanto previsto dallo Statuto dei lavoratori in materia di controlli a distanza.
