Irregolarità nella gestione algoritmica dei Riders: sanzione a Foodinho

A breve distanza dall’emanazione della Dir. UE 2024/2831, relativa al miglioramento delle condizioni di lavoro mediante piattaforme digitali che pone regole specifiche per la gestione algoritmica dei riders, il Garante Privacy ha emanato una sanzione (5 milioni di euro) a Foodinho, società del gruppo Glovo che, fino ad agosto 2023 geolocalizzava oltre 35mila rider anche fuori dall’orario di lavoro.

L’Autorità ha inoltre impartito specifiche prescrizioni e ha vietato l’ulteriore trattamento dei dati biometrici (riconoscimento facciale) dei rider utilizzati per la verifica dell’identità.

Foodinho, Garante privacy: il trattamento illecito dei dati

Tutto è partito da un’istruttoria d’ufficio attivata in un caso di disattivazione dell’account di un rider morto in un incidente stradale nel 2022 durante una consegna. L’istruttoria ha fatto emergere numerose e gravi violazioni del Regolamento (Gdpr), nonostante la società fosse già stata sanzionata dal Garante nel 2021.

Il Garante ha ordinato a Foodinho srl, società del gruppo Glovo, il pagamento di una sanzione di 5 milioni di euro per aver trattato illecitamente i dati personali di oltre 35mila rider attraverso la piattaforma digitale ed essersi resa responsabile di diverse violazioni.

Gestione algoritmica dei dati: violato il diritto all’intervento umano

L’Autorità ha accertato che la piattaforma utilizzata dalla società, quando disattiva o blocca l’account, invia automaticamente un unico messaggio standard, che però non informa della possibilità di contestare la decisione e chiedere il ripristino dell’account.

Il Garante ha poi verificato che la società effettua anche altri trattamenti automatizzati dei dati dei rider, ad es., attraverso il c.d. sistema di eccellenza (punteggio che consente di prenotare con priorità il turno di lavoro) e il sistema di assegnazione degli ordini all’interno del turno. Tutto ciò senza aver adottato le misure previste dal Gdpr per l’utilizzo di sistemi automatizzati, in particolare il diritto dei rider di ottenere l’intervento umano, di esprimere la propria opinione e contestare la decisione assunta attraverso il sistema.

Dagli accertamenti è anche emerso che Foodinho, senza informare gli interessati, invia i dati personali dei rider, compresa la posizione geografica, a società terze. I dati sulla geolocalizzazione, in particolare, sono inviati anche quando il rider non lavora, l’app è in background e, fino ad agosto 2023, anche quando l’app non era attiva.

Foodinho: la riparazione del danno

Foodinho quindi dovrà, in particolare, riformulare i messaggi inviati ai rider in caso di disattivazione o blocco dell’account e assicurare che le decisioni adottate dall’algoritmo siano verificate da operatori adeguatamente formati. Inoltre, dovrà attivare sul dispositivo dei rider una icona che indichi che il Gps è attivo e disattivarlo quando l’app è in background.

Inoltre, dovrà adottare misure appropriate per evitare usi impropri e discriminatori dei meccanismi reputazionali basati sui feedback dei clienti e adempiere a quanto previsto dallo Statuto dei lavoratori in materia di controlli a distanza.

Cibersicurezza e protezione dei dati: informazione e formazione per il professionista della Security

Come proteggersi da un attacco Hacker?
InSic suggerisce la consultazione del seguente Libro di EPC Editore:

Cybersecurity e cyberwarfare
Caria Giovanni Battista, Iaselli Michele
Libro
Edizione: gennaio 2023

L’opera che vede come curatori e in parte anche autori Michele Iaselli e Giovanni Caria con il coinvolgimento di esperti di sicurezza informatica e giuristi specializzati nel settore, ha come focus la cyberwar intesa come l’uso di computer e di reti per attaccare o difendersi nel cyberspazio e più nello specifico la cyberwarfare intesa come attacchi informatici condotti non contro singole aziende, ma contro intere nazioni.

Per formarsi in materia di CyberSecurity, consigliamo il Corso di Istituto informa:

Cyber Security e Cyber Strategy Aziendale
data di inizio 27/06/2023

Corso di formazione che esplora i concetti fondamentali in tema di cyber security anche alla luce dei recenti mutamenti normativi introdotti (es. Direttiva NIS, GDPR, ecc.), con particolare riferimento alle metodologie di valutazione dei rischi ed alle best practices internazionali. 

Valido come Aggiornamento per “Professionista della security”, “DPO”, “HSE Manager” e “Auditor/Esperto 231” certificati da ICMQ/CERSA (8 crediti formativi)