ARGOMENTO:

grazie tante.. molti spunti utili.
ho chiesto anche l'opinione dell'esperto per avere un contributo in più
cordiali saluti
LR

Provo a fornire qualche prima info a mio avviso utile per inquadrare a 360° la questione controllo dei lavoratori. Su tale aspetto in primo luogo occorre far riferimento all’art. 4 commi 1 e 2 della legge 300/1970 che prevede, nel caso di “impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza” l’accordo sindacale o autorizzazione dell’INL, salvo che il caso di “strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze”.
Occorrerebbe quindi analizzare se il software utilizzato per valutare se consenta anche un controllo a distanza. Riporto un passo di un Provvedimento del Garante del 2022 (docweb 9722661) :“Con riguardo all’istallazione e utilizzazione di strumenti di supporto all’attività ordinaria dei call center, l’Ispettorato nazionale del lavoro ha precisato che “possono essere considerati strumenti di lavoro” (ai sensi dell’art. 4, comma 2 della l. n. 300/1970) i sistemi che “consentano il mero collegamento tra la chiamata e l’anagrafica del cliente senza ulteriori elaborazioni”, viceversa, negli altri casi, ad esempio quando consentano di effettuare anche “ulteriori elaborazioni”, essi sono comunque atti a realizzare un indiretto e preterintenzionale “monitoraggio dell´attività telefonica” effettuata dagli operatori addetti al call center con possibilità di ricostruirne anche indirettamente l’attività (cfr. INL, circolare n. 4 del 26 luglio 2017, che contiene indicazioni operative sull’installazione e utilizzazione di strumenti di supporto all’attività operativa ordinaria dei Call Center)”. L’intero Provvedimento è interessante come la Circ. INL ivi richiamata (oggi reperibile in rete ma che non sono riuscito a trovare né sul portale INL né su quello del Ministero del Lavoro e Politiche S, non saprei se per modifiche successive).
Circa gli altri aspetti, posto che presumibilmente nelle telefonate vengono trattati dati sanitari e non solo gestionali:
- ciascun operatore può accedere solo alle proprie o anche alle altre telefonate? Se non necessario (in assenza di competenza a occuparsi di dati di persone che hanno avuto colloqui con altri operatori) ciò andrebbe inibito e, comunque, andrebbe loggato anche l’accesso alle singole registrazioni;
- il fornitore del servizio, che custodisce anche le registrazioni andrebbe inquadrato come, viene pure prospettato nel quesito, responsabile del trattamento, e quindi andrebbe adeguatamente strutturato il contratto anche con riguardo alle previsioni del GDPR e all’esigenza di protezione dei dati (nessun proprio operatore, neanche gli Amministratori di sistema, dovrebbero poter accedere al contenuto delle registrazioni; il cloud dovrebbe essere configurato in maniera adeguata anche vs rischio cyber,…)
- trattandosi di dati particolari, potenzialmente trattabili su larga scala, in un trattamento che implica il contatto con i medici (titolari autonomi del trattamento) in base alle apposite Linee guida del WP29 (wp248rev.01) e alle indicazioni del Garante (doc. web n. 9058979) a mio avviso la DPIA andrebbe effettuata (ma se non fosse obbligatoria procederei comunque a farla)
- sull’informativa, se fornita via filo solo in forma breve, dovrebbero comunque essere esposti i punti salienti e indicare chiaramente dove reperibile quella estesa (che andrebbe preventivamente pubblicata / comunicata ai diversi soggetti coinvolti nel servizio: ai singoli e/o tramite la controparte contrattuale di cui fossero collaboratori come da apposita previsione contrattuale; anche gli addetti al servizio telefonico devono essere ovviamente informati)
- circa la registrazione delle telefonate esterne al servizio se l’interlocutore che chiama per questioni esterne al servizio, ascoltando il preavviso, non fosse d’accordo come fare per non perdere il contatto? Non potrebbe (= Dovrebbe) essere impostata una linea telefonica, non registrata, a parte?
Ecco, questa la mia opinione, in generale, sulla questione proposta.
Cordiali saluti

Buongiorno,
sottopongo il seguente quesito che riguarda un’azienda che offre servizi di telemedicina tramite le farmacie. Il servizio consiste nel mettere a disposizione dei pazienti un elettrocardiogramma che permette di raccogliere i dati di ECG per poi inviarli telematicamente a cardiologi esterni che emettono i referti da remoto; i referti vengono poi inviati dalla stessa azienda ai pazienti.
L’azienda in questione utilizza un software di registrazione automatica di tutte le chiamate telefoniche aziendali in ingresso e in uscita. Lo scopo è di conservare i contenuti delle conversazioni - in particolare quelle che avvengono tra le farmacie e gli operatori aziendali e tra questi ultimi e i medici cardiologici - sia per finalità di controllo qualità (l’azienda è sottoposta a certificazione con controllo anche della gestione dei reclami) e gestione dei potenziali contenziosi con i clienti e i pazienti (che possono essere delicati poiché inerenti la salute dei pazienti stessi e riguardare l’operato dell’azienda e/o dei cardiologi refertanti.
Il fornitore del software conserva (su suo cloud e per conto dell’azienda) le registrazioni delle chiamate per un mese e i metadati (ovvero: numero chiamante, numero destinatario, interno, data e ora di inizio chiamata, durata, deviazione ad altri interni, stato chiamata) per 3 mesi. L’azienda, inoltre, conserva presso i suoi server gli stessi metadati per almeno 12 mesi per la creazione delle statistiche sul customer care per i report annuali da sottoporre al riesame della direzione e dell’ente certificatore.
Le registrazioni sono conservate in maniera crittografata e sono accessibili dagli operatori dell’azienda (ogni operatore ha le proprie credenziali di accesso con abilitazioni multilivello, i log di accesso sono conservati dal fornitore. I metadati inoltre sono sottoposti a backup. La registrazione delle chiamate parte in automatico dopo un preavviso di registrazione all’utente e, non è non può essere selettiva: chiunque chiami l’azienda finisce per essere registrato anche se non è un incaricato della farmacia o un cardiologo..
Tenuto conto di tali elementi mi chiedo se tale sistema di registrazione, così strutturato, sia legittimo e, in caso negativo, quali accorgimenti debbano essere introdotti per renderlo conforme.
I dubbi, in particolare, riguardano:
- il fatto che il sistema registra tutte le chiamate indiscriminatamente (sebbene vi sia un preavviso), se le finalità organizzative (i.e. controllo qualità e gestione reclami/ contenziosi), dunque di legittimo interesse siano legittime e il trattamento proporzionato alle stesse;
- l’adeguatezza dei tempi di conservazione (registrazioni e metadati)
- se, come immagino, essendo registrati indirettamente anche gli operatori aziendali (circa 5 dipendenti) il sistema debba essere autorizzato dall’ispettorato (non ci sono sindacati) in base all’art. 4 dello Statuto dei lavoratori
- se, come immagino, il trattamento debba essere sottoposto a DPIA
- l’informativa privacy per gli utenti possa essere data in forma breve nel corso della chiamata con rimando ad una estesa da pubblicare sul sito web, oltreché da fornire nei rapporti commerciali alle farmacie;
- se vi siano altri accorgimenti privacy da tenere in considerazione (oltre agli adempimenti citati, alle misure di sicurezza evidenziate, alla nomina di responsabile del trattamento del fornitore, autorizzazioni, inclusione nel registro del trattamento, informative, LIA).

Ringrazio molto per la risposta al mio quesito.
Cordiali saluti