Lead: l’impatto della sorveglianza digitale sul lavoro su piattaforma
L’inquadramento giuridico e tecnologico del monitoraggio dei lavoratori digitali rappresenta uno dei nodi critici per la tutela dei diritti fondamentali nell’economia contemporanea. Le modalità con cui gli applicativi registrano parametri comportamentali, geolocalizzazione e tratti identificativi ridefiniscono l’equilibrio contrattuale tra committente e fattorino, sollevando interrogativi sistematici sulla conformità normativa.
Il controllo pervasivo esercitato tramite algoritmi di allocazione e punteggi reputazionali incide in modo diretto sull’accesso alle opportunità lavorative e sulla dignità della prestazione. L’accertamento delle responsabilità tra società operative locali e case madri estere evidenzia le complessità della vigilanza nell’Unione europea, delineando i limiti invalicabili posti a protezione di decine di migliaia di corrieri attivi sul territorio.
Contesto storico e dinamiche del modello di consegna
L’evoluzione del settore del food delivery in Italia ha registrato una progressiva transizione verso l’automazione integrale dei flussi logistici e gestionali. La piattaforma Glovo, sviluppata dalla società di diritto spagnolo Glovoapp23 SL (poi GlovoApp23 SA), ha operato sul territorio nazionale attraverso la controllata Foodinho s.r.l., regolata da un contratto di franchising stipulato originariamente il 1° ottobre 2019, contenente specifiche clausole sulla protezione dei dati personali.
I primi interventi ispettivi risalgono al 16 luglio 2019, sfociati successivamente nell’adozione del provvedimento collegiale n. 234 del 10 giugno 2021 da parte dell’Autorità garante italiana. In quel primo contesto, l’emergere di trattamenti transfrontalieri aveva indotto la cooperazione immediata con l’Agencia Española de Protección de Datos (AEPD), stabilendo un precedente procedurale significativo per l’intero comparto del lavoro tramite app.
Gli sviluppi successivi hanno visto l’apertura di nuovi accertamenti a seguito di segnalazioni specifiche riguardanti l’applicativo Glovo Couriers. Gli accessi ispettivi condotti il 13 e 14 dicembre 2022 e, in una fase successiva, il 26 e 27 luglio 2023 dopo un ulteriore esposto del 7 luglio 2023, hanno consentito di mappare l’effettiva scala delle operazioni e le modifiche tecniche apportate ai sistemi di tracciamento nel corso del tempo.
I rilievi hanno attestato una base operativa considerevole: a partire da gennaio 2022 sono risultati 36.545 i corrieri attivi registrati nell’applicativo che hanno eseguito almeno un ordine, di cui 7.405 hanno avviato la propria attività a partire dal 1° agosto 2022. Una massa critica di lavoratori sottoposta a flussi continui di rilevazione dati, articolati tra parametri di sessione, posizionamento cartografico e storicizzazione delle performance di consegna.
Parallelamente, la gestione dei dati biometrici ha subito sostanziali mutamenti operativi. Foodinho s.r.l. ha avviato la sperimentazione del riconoscimento facciale per le procedure di autenticazione il 23 novembre 2020, interrompendo la raccolta e il trattamento biometrico nel luglio 2022. Solo con successiva memoria del 5 giugno 2024 la società ha formalizzato la riduzione dei tempi di conservazione a tre mesi dall’ultimo ordine o dalla disattivazione non legata a frodi identificative.
Soggetti ed enti coinvolti
La filiera di gestione e le relazioni di controllo emerse dagli atti delineano una chiara suddivisione dei ruoli giuridici ed esecutivi tra i diversi soggetti operanti sul mercato nazionale ed europeo:
- Foodinho s.r.l.: filiale operativa italiana con sede a Milano, qualificata quale titolare del trattamento dei dati personali dei corrieri operanti in Italia ai sensi dell’art. 4, n. 7 del Regolamento (UE) 2016/679, in virtù degli accordi contrattuali e delle finalità perseguite localmente.
- Glovoapp23 SL / GlovoApp23 SA: società di diritto spagnolo proprietaria della piattaforma tecnologica Glovo e delle applicazioni mobili connesse, titolare dell’infrastruttura di base e concedente in franchising.
- Garante per la protezione dei dati personali: autorità di controllo indipendente italiana istituita per assicurare la tutela dei diritti e delle libertà fondamentali in materia di privacy.
- Agencia Española de Protección de Datos: autorità di vigilanza spagnola per la protezione dei dati personali, coinvolta nei meccanismi di cooperazione europea per i profili transfrontalieri.
- Fornitori terzi e responsabili esterni: soggetti tecnici contrattualizzati che agiscono formalmente in qualità di responsabili del trattamento per conto della società italiana.
Analisi critica delle evidenze documentali
Il nodo centrale dell’istruttoria risiede nella qualificazione del titolare del trattamento e nella contestazione di competenza avanzata dalla difesa aziendale. Con memorie dell’11 dicembre 2023, Foodinho s.r.l. ha eccepito l’incompetenza dell’Autorità italiana sostenendo che l’infrastruttura informatica e le principali funzionalità decisionali risiedano in capo alla capogruppo spagnola GlovoApp23 SA, invocando inoltre il principio del ne bis in idem rispetto al procedimento concluso nel 2021.
«I trattamenti di dati dei corrieri che operano in Italia sono dunque effettuati attraverso la piattaforma dalla Società (Foodinho s.r.l.), in qualità di titolare del trattamento, ossia di soggetto che decide le finalità e i mezzi del trattamento stesso (art. 4, n. 7 del Regolamento), come evidenziato nella stessa informativa resa ai rider»
L’analisi degli accordi contrattuali ha confermato l’autonomia gestionale della filiale italiana nel determinare le modalità di trattamento per i rider sul territorio. Il Franchise Agreement del 1° ottobre 2019, in particolare al punto 18, assegna la titolarità a Foodinho s.r.l., rendendo inapplicabili le deroghe di incompetenza territoriale sollevate e superando l’eccezione sul divieto di doppio giudizio, data la persistenza temporale e la diversità delle condotte accertate.
Sul piano del tracciamento in tempo reale, i riscontri del 17 marzo 2023 hanno fatto emergere che 65 dipendenti della società disponevano del permesso abilitato denominato livemap.view. Questo strumento consentiva l’accesso alla visualizzazione cartografica della posizione dei rider, sollevando precise verifiche sulla proporzionalità e sulla reale necessità operativa di un monitoraggio geografico così diffuso tra il personale interno.
Ulteriori elementi di rilievo riguardano il funzionamento dell’architettura algoritmica, in particolare il sistema denominato “Punteggio di Eccellenza”. L’azienda ha sostenuto la presenza di una supervisione umana significativa, fondata sulla gestione manuale della capacità nelle fasce orarie e su interventi non integralmente automatizzati nella fase di blocco dell’account, a fronte di comunicazioni iniziali generate invece in via automatica.
«Il numero di interventi umani che hanno avuto luogo nel sistema di Punteggio di Eccellenza e, in particolare, quelli relativi all’aumento manuale della capacità di una determinata fascia oraria […] costituisce chiaramente una supervisione “significativa”»
Tuttavia, le verifiche tecniche hanno portato alla luce la persistenza di parametri residui nel backend dell’applicativo. Fino al 10 gennaio 2024 è rimasto generato nei sistemi un valore predefinito pari a 4.5 assegnato a ciascun corriere (noto come fixed rating value), formalmente deprecato dal 2021 ma ancora presente nel codice operativo, la cui effettiva incidenza sulle dinamiche di assegnazione è rimasta oggetto di prolungato chiarimento.
Resta aperto il quesito sull’effettiva indipendenza decisionale dell’algoritmo rispetto agli input operativi dei supervisori. Se da un lato la difesa ha enfatizzato il ruolo della moderazione umana, dall’altro la presenza di automatismi nell’invio delle notifiche sanzionatorie e l’inerzia nell’eliminazione di metriche obsolete evidenziano le asimmetrie strutturali che caratterizzano i sistemi di gig economy rispetto ai diritti di trasparenza previsti dal GDPR.
Trasparenza e base giuridica della documentazione
La ricostruzione documentale presentata si fonda integralmente su atti ufficiali e verbali ispettivi redatti nell’ambito dei poteri di indagine attribuiti alle autorità amministrative indipendenti. I dati societari, le metriche quantitative e i dettagli architetturali derivano dalle risultanze acquisite formalmente durante i controlli e depositati nei fascicoli procedimentali.
In conformità all’art. 5 della Legge 22 aprile 1941, n. 633, i testi degli atti ufficiali dello Stato e delle pubbliche amministrazioni, compresi i provvedimenti e i verbali delle autorità amministrative indipendenti, non sono soggetti a diritto d’autore e appartengono al dominio pubblico. L’accesso a tali fonti garantisce la verificabilità dell’azione di vigilanza e tutela il diritto di cronaca su materie di primario rilievo giuslavoristico.
Il testo integrale dell’atto e le relative memorie difensive sono consultabili presso l’archivio pubblico dell’Autorità: Provvedimento del 13 novembre 2024 [10074601] - Garante Privacy.