Myndoor S.r.l.
Avvertimento ai sensi dell'art. 58, par. 2, lett. a), del Regolamento (UE) 2016/679 e dell'art. 154, comma 1, lett. f), del Codice della Privacy
Sintesi del provvedimento
Il Garante avverte Myndoor S.r.l. in merito al rischio che la trasmissione di report aggregati contenenti dati analizzati mediante il sistema plug-in Myndoor agli enti e alle imprese che eventualmente li richiedano possa verosimilmente determinare una violazione della normativa sulla protezione dei dati personali e della dignità della persona che lavora. Il Garante dispone che la Società assicuri l'adozione di misure per prevenire qualsiasi forma di messa a disposizione dei dati degli utenti del plug-in in favore dei datori di lavoro, al fine di evitare che gli stessi vengano a conoscenza delle informazioni trattate mediante il sistema.
Approfondimento
Soggetti coinvolti
Non determinato specificamente nel provvedimento; potenzialmente tutti i dipendenti degli enti e imprese che hanno acquistato il servizio Myndoor che decidano di utilizzare il plug-in
Riferimenti normativi
Lettura del caso
Temi affrontati — Protezione dei dati personali nel contesto lavorativo; trattamenti mediante sistemi di intelligenza artificiale; sentiment analysis e analisi dello stress mediante elaborazione di testi scambiati in piattaforme di messaggistica aziendale (Slack e Teams); comunicazione di dati aggregati a terzi; principi di minimizzazione dei dati, liceità, finalità e trasparenza; diritti e dignità dei lavoratori; rischi associati all'automazione decisionale; spiegabilità e controllo umano dei sistemi di IA
Conseguenze — Il Garante avverte Myndoor S.r.l. che i trattamenti previsti mediante il sistema plug-in possono verosimilmente violare il quadro normativo in materia di protezione dei dati personali e tutela della dignità della persona che lavora. La Società è tenuta ad assicurare l'adozione di misure e accorgimenti intesi a prevenire qualsiasi forma di messa a disposizione dei dati degli utenti del plug-in, anche mediante report aggregati, in favore degli enti e delle imprese che ne costituiscono i rispettivi datori di lavoro, al fine di evitare che gli stessi vengano in qualsiasi modo, anche in via indiretta, a conoscenza delle informazioni trattate mediante il sistema. Il presente provvedimento è pubblicato sul sito internet dell'Autorità.
Rischio di re-identificazione degli interessati mediante report aggregati trasmessi ai datori di lavoro; insufficienza delle misure di anonimizzazione e pseudonimizzazione in relazione alle specificità delle singole realtà organizzative datoriali (sotto il profilo dimensionale e della numerosità del personale); mancanza di trasparenza e spiegabilità del sistema di intelligenza artificiale impiegato per l'analisi dello stress; possibili violazioni dei principi di liceità, finalità, minimizzazione e proporzionalità nel trattamento di dati particolari relativi alla.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.