Enav (Società nazionale assistenza volo) sotto osservazione: il programma Byod viola trasparenza, privacy e diritti dei dipendenti. Rischio concreto di intervento del garante.

L’adozione del sistema Byod, che prevede l’uso di software di Mobile Device Management (MdM) anche su dispositivi personali, è avvenuta senza un’informativa completa: i dipendenti di Enav non sanno quali dati vengano raccolti, per quali scopi e con quali limiti. Una carenza che collide con gli obblighi di chiarezza imposti dal Gdpr (General Data Protection Regulation). A pesare è anche l’assenza della Valutazione d’impatto (Dpia), obbligatoria quando strumenti aziendali possono monitorare con sistematicità attività e configurazioni dei device. 

Senza questa analisi, l’azienda non può dimostrare di aver valutato i rischi né di aver adottato misure adeguate, un elemento che da solo può attirare l’attenzione del garante. 

Il nodo centrale riguarda la geolocalizzazione. I dispositivi moderni possono determinare la posizione anche quando la funzione risulta disattivata, sfruttando reti e segnali indiretti. Se Enav non ha escluso tecnicamente questa possibilità, il rischio di tracciamento dei dipendenti diventa concreto. E la localizzazione, ricorda il garante, è lecita solo se indispensabile, proporzionata ed accompagnata da un’informativa completa: condizioni che qui non sembrano emergere.

Il quadro che ne deriva è quello di un sistema introdotto in modo opaco, senza garanzie e con il rischio concreto di trattamenti sproporzionati. In un settore strategico come il controllo del traffico aereo, una gestione così approssimativa dei dati personali non rappresenta solo una violazione normativa: è un campanello d’allarme sulla governance tecnologica della società. È difficile immaginare un caso più vicino a quelli che portano il garante ad aprire un’istruttoria immediata.