Il monitoraggio dei lavoratori connessi può ridurre i tempi di intervento in caso di emergenza, avvisare le persone prima che entrino in aree pericolose e aiutare le squadre di soccorso a localizzare qualcuno dopo una caduta. Può anche creare una registrazione dettagliata di dove si è recato ogni dipendente e per quanto tempo vi è rimasto, ed è qui che iniziano i problemi.

Abbiamo visto progetti di tracciamento generare un autentico entusiasmo tra i team addetti alla sicurezza e alle operazioni, salvo poi vederli rallentare quando intervengono le risorse umane, l'ufficio legale o i rappresentanti dei lavoratori. La loro preoccupazione raramente riguarda la tecnologia di tracciamento in sé, bensì la possibilità che un sistema di sicurezza possa trasformarsi silenziosamente in un sistema di sorveglianza.

La privacy dovrebbe quindi essere un requisito di implementazione fin dall'inizio, non un obbligo di conformità aggiunto dopo la fase pilota. L'obiettivo è semplice: raccogliere informazioni sufficienti a tutelare le persone senza creare una registrazione superflua della loro giornata lavorativa.

Monitoraggio dei lavoratori vs. sorveglianza dei dipendenti: qual è la differenza?

Un operaio preme il pulsante antipanico all'interno di un impianto chimico. La squadra di intervento ha bisogno di conoscere immediatamente la posizione esatta. Si tratta di una chiara esigenza di sicurezza.

In seguito, un responsabile apre lo stesso sistema per confrontare il tempo che i singoli dipendenti hanno trascorso in diverse aree di lavoro. I dati non sono cambiati, ma lo scopo sì. Quello che era iniziato come un sistema di monitoraggio delle emergenze ora supporta il monitoraggio delle prestazioni. È qui che molti progetti incontrano difficoltà.

Ai sensi del Regolamento generale sulla protezione dei dati (GDPR) dell'UE, le organizzazioni devono definire le finalità del trattamento dei dati personali, raccogliere solo i dati necessari a tale scopo ed evitare di conservarli più a lungo del necessario. L'articolo 25 del GDPR richiede inoltre la protezione dei dati fin dalla progettazione e per impostazione predefinita. Al contrario, l'articolo 35 può richiedere una valutazione d'impatto sulla protezione dei dati (DPIA) qualora il trattamento dei dati possa comportare un rischio elevato per i diritti e le libertà delle persone fisiche. ⁽¹⁾

Un identificativo del dispositivo può essere considerato un dato personale anche se il database non visualizza il nome di un lavoratore. Se un'altra tabella collega l'ID del casco A0372 a un dipendente nominato, il record di posizione rimane identificabile.

La privacy by design deve quindi riguardare l'intero sistema:

• Il dispositivo indossabile e la sua configurazione
• Gateway, server di rete e motori di posizionamento
• Mappe, dashboard, database ed esportazioni
• Le persone e i processi che possono accedere alle informazioni

La crittografia è importante, ma è solo un livello. Ad esempio, il Lansitec Sensore per casco LoRaWAN utilizza AES128 per il suo LoRaWAN comunicazione. Ciò protegge la trasmissione dei dati, ma non decide se un supervisore debba visualizzare la cronologia dei movimenti degli ultimi sei mesi. Tale decisione spetta al responsabile dell'implementazione, che può definirla nell'applicazione e nelle relative politiche operative.

Come definire uno scopo chiaro per il monitoraggio dei lavoratori

“Il termine "monitoraggio dei lavoratori" è troppo generico per guidare un'implementazione che tuteli la privacy. È preferibile definire con precisione gli obiettivi di sicurezza. Una dichiarazione d'intenti adeguata potrebbe essere la seguente:

Il sistema rileva allarmi attivati dai lavoratori, cadute, ingressi in zone pericolose definite e permanenze oltre il tempo consentito in aree controllate. Fornisce informazioni sulla posizione al personale di soccorso autorizzato durante un evento di sicurezza attivo o un'evacuazione.

Tale affermazione definisce dei limiti utili. Non autorizza la valutazione della produttività, l'analisi continua delle presenze, l'ottimizzazione dei percorsi da parte del singolo o il monitoraggio disciplinare.

La limitazione dello scopo impedisce anche un'espansione silenziosa dopo l'implementazione. Se in seguito la direzione desidera utilizzare le cronologie delle posizioni per un altro motivo, l'organizzazione dovrebbe condurre una valutazione separata di necessità, proporzionalità e base giuridica. I dati sulla sicurezza non dovrebbero automaticamente diventare dati sulle prestazioni solo perché la dashboard lo consente.

Come il tracciamento dei lavoratori basato sugli eventi protegge la privacy

Non tutti hanno bisogno di una mappa in tempo reale di ogni lavoratore. Un sistema che rispetti la privacy può mantenere una visibilità generale e approssimativa, rivelando maggiori dettagli solo in presenza di eventi specifici. In condizioni normali, la dashboard potrebbe mostrare solo:

• Il numero di persone presenti in ciascuna zona di sicurezza
• Se i dispositivi indossabili assegnati sono online
• Avvisi di caduta, panico, permanenza oltre il tempo consentito o zone non risolti
• Stato di evacuazione di un'area di lavoro

Quando un lavoratore preme il pulsante antipanico, il sistema può rivelare la posizione attuale o l'ultima posizione nota di quella persona al team di intervento autorizzato. La stessa regola può essere applicata in caso di allarme caduta, durante un'evacuazione o quando qualcuno si trattiene oltre il tempo consentito in uno spazio confinato.

Si tratta di una visibilità utilizzabile solo in caso di emergenza. Fornisce ai soccorritori le informazioni necessarie senza trasformare le operazioni di routine in un'osservazione continua.

IL Sensore per casco Lansitec Fornisce una base pratica per questo approccio. Supporta il posizionamento GNSS all'aperto, il posizionamento Bluetooth al chiuso, intervalli di segnalazione configurabili, rilevamento di usura e cadute, allarmi di panico, avvisi di zona e allarmi di permanenza oltre il tempo consentito. Tuttavia, la piattaforma scelta dal cliente deve stabilire chi può visualizzare i dati risultanti e a quali condizioni.

Accesso basato sui ruoli ai dati di localizzazione dei lavoratori

Un errore comune nell'implementazione è quello di concedere ai manager lo stesso livello di accesso del personale di pronto intervento. È facile da configurare, ma difficile da giustificare.

Assegnare le autorizzazioni in base alle esigenze operative:

Ruolo	Accesso appropriato	Accesso da evitare per impostazione predefinita
Soccorritore	Localizzazione precisa durante un allarme attivo, un'evacuazione o un'operazione di salvataggio.	Movimento storico di routine
Responsabile EHS	Avvisi di sicurezza, registri degli incidenti, andamenti del rischio di zona	Tracciamento non correlato all'incidente
Supervisore di linea	Numero di dipendenti, stato dei dispositivi, avvisi non risolti	Cronologia continua della posizione individuale
risorse umane	Politiche, reclami e documentazione degli incidenti approvati	Mappe in tempo reale dei lavoratori
Amministratore IT	Stato di salute del dispositivo, configurazione, ID pseudonimi del dispositivo	Mappatura dell'identità dei lavoratori laddove non necessaria

Separare i dati di identità da quelli di geolocalizzazione, ove possibile. Un amministratore IT potrebbe dover risolvere un problema con un sensore di un casco senza sapere chi lo indossa. Un soccorritore potrebbe invece aver bisogno di collegare identità e geolocalizzazione durante un'emergenza. Nessuna di queste esigenze giustifica la concessione a ogni amministratore di un accesso illimitato a entrambi i set di dati.

Anche l'accesso privilegiato dovrebbe richiedere account individuali. Le credenziali condivise per la "sala di controllo" rendono impossibile stabilire chi ha visualizzato o esportato la cronologia di un dipendente.

Per quanto tempo devono essere conservati i dati relativi alla posizione dei lavoratori?

Il tracciamento continuo può generare un'enorme quantità di dati di geolocalizzazione. Conservarli tutti "per ogni evenienza" aumenta i rischi legali, di sicurezza informatica e di relazioni con i dipendenti, senza necessariamente migliorare la sicurezza.

Crea un piano di conservazione per ogni categoria di dati anziché un unico periodo generico:

Categoria dati	Approccio pratico alla fidelizzazione
Posizione in tempo reale	Utilizzare per le operazioni correnti; evitare di mantenere una traccia continua a meno che non sia necessario
Presenza nella zona di routine	Eliminare o aggregare al termine delle necessità operative
Evento di panico, caduta o permanenza oltre il termine consentito	Conservare secondo la politica approvata in materia di indagine sugli incidenti.
Diagnostica del dispositivo	Conservare separatamente, ove possibile, dalle informazioni di identità dei lavoratori.
tendenze aggregate in materia di sicurezza	Conservare più a lungo solo dopo un'efficace de-identificazione.
Assegnazione del badge visitatore	Scadenza dopo la visita e un breve periodo di riconciliazione

Non esiste un periodo di conservazione universale che si adatti a ogni situazione. Le norme in materia di sicurezza sul lavoro, i requisiti per l'indagine sugli incidenti, gli obblighi assicurativi e le leggi nazionali sul lavoro variano. L'articolo 88 del GDPR consente specificamente agli Stati membri dell'UE di introdurre norme più dettagliate in materia di trattamento dei dati dei dipendenti. ⁽¹⁾

Il punto fondamentale è scegliere e documentare ciascun periodo prima dell'inizio della raccolta dati. La cancellazione dovrebbe poi avvenire automaticamente. Una politica che prevede di "cancellare dopo 30 giorni" ha poco valore se non esiste un processo che rimuova effettivamente i record dal database principale, dalle esportazioni e dai backup.

Come utilizzare i dati di tracciamento dei lavoratori senza identificare i dipendenti

I sistemi di comunicazione tra lavoratori connessi possono rivelare schemi utili senza identificare i singoli individui. I team addetti alla sicurezza potrebbero voler sapere:

• Quali zone pericolose generano il maggior numero di allarmi?
• Quando si verificano eventi di sovraffollamento o di permanenza oltre il termine consentito
• Quanto tempo ci vuole per contare le persone evacuate
• Se determinate aree presentano una copertura di posizionamento debole

Queste domande richiedono in genere l'analisi delle tendenze, non dei singoli spostamenti. L'aggregazione dei dati riduce il rischio per la privacy, ma non lo elimina automaticamente. Un report che mostri che "un lavoratore" ha trascorso 47 minuti in una stanza ad accesso limitato potrebbe comunque identificare quella persona. È necessario impostare dimensioni minime per i gruppi, escludere i gruppi molto piccoli, rimuovere i timestamp non necessari e verificare se le combinazioni di turno, ruolo e posizione possano rivelare l'identità di un individuo.

La pseudonimizzazione e l'anonimizzazione sono concetti diversi. Sostituire il nome di un dipendente con un numero di dispositivo è pseudonimizzazione se l'organizzazione è in grado di ricollegare il numero alla persona. I dati rimangono comunque soggetti alle normative sulla protezione dei dati.

Come gestire il tracciamento dei visitatori e i badge temporanei

I badge per i visitatori creano un problema di privacy minore, ma facilmente trascurabile. Gli ospiti potrebbero non partecipare al briefing per i lavoratori, non comprendere la terminologia del sito o non aspettarsi che i loro spostamenti vengano registrati.

Utilizzate un identificativo temporaneo per i visitatori e mantenete la mappatura delle identità nella reception o nel sistema di controllo accessi. Spiegate la funzione del badge al momento del rilascio, soprattutto se genera avvisi di ingresso nelle aree riservate. L'accesso dovrebbe scadere automaticamente al termine della visita.

Non riutilizzare il record di assegnazione del visitatore precedente quando si consegna il badge a una nuova persona. Il dispositivo fisico può essere riutilizzato, ma è necessario prima chiudere l'associazione dell'identità e i dati di sessione.

Per molti siti, il tracciamento dei visitatori può rimanere strettamente basato sugli eventi: ingresso confermato, avviso di zona riservata, raduno di emergenza, e restituzione del badge. Un percorso storico dettagliato di solito aggiunge poco valore.

Cosa devono sapere i lavoratori sul tracciamento della posizione

Un'affermazione vaga come "il tracciamento viene utilizzato per motivi di sicurezza e operativi" non contribuisce a creare fiducia. Inoltre, lascia troppo spazio all'interpretazione.

I lavoratori dovrebbero ricevere risposte in linguaggio semplice a quattro domande:

1. Quali eventi e dati di geolocalizzazione raccoglie il dispositivo?
2. Chi può visualizzare informazioni in tempo reale e dati storici?
3. Per quanto tempo viene conservato ciascun tipo di documento?
4. I dati possono essere utilizzati per decisioni relative alle prestazioni o a provvedimenti disciplinari?

La comunicazione dovrebbe avvenire prima del progetto pilota, non dopo che i lavoratori hanno notato nuove problematiche. sensori sui loro elmetti.

Anche la consultazione è importante. Rappresentanti per la sicurezza, sindacati, consigli di fabbrica, risorse umane, sicurezza informatica e responsabile della protezione dei dati possono individuare problemi che il team tecnico non riesce a rilevare. Ad esempio, la segnalazione continua del GNSS potrebbe proseguire durante la pausa pranzo al di fuori dello stabilimento. La soluzione potrebbe invece prevedere la sospensione del tracciamento collegato all'identità al di fuori dell'orario di lavoro, l'utilizzo di una procedura di aggancio a fine turno o la limitazione della segnalazione al solo luogo di lavoro.

Non si deve presumere che il consenso dei dipendenti risolva il problema. Le linee guida dell'UE riconoscono lo squilibrio tra datori di lavoro e dipendenti, che spesso rende il consenso sul luogo di lavoro inadatto come base giuridica primaria. (3)(4) L'organizzazione deve individuare una base giuridica appropriata e dimostrare che il monitoraggio rimane necessario e proporzionato.

Come verificare l'accesso ai dati di localizzazione dei lavoratori

Se la piattaforma registra i dati dei lavoratori, dovrebbe registrare anche il modo in cui gli amministratori utilizzano la piattaforma.

I registri di controllo dovrebbero registrare:

• Chi ha visualizzato i dati di geolocalizzazione precisa?
• Quale record del lavoratore o del dispositivo hanno aperto
• Quando hanno esportato, modificato o eliminato informazioni
• Sia che l'accesso sia correlato a un allarme, a un'indagine o a un'attività di supporto approvata.

Esaminate attentamente questi registri. Non raccoglieteli solo per compilare una lista di controllo.

Le azioni sensibili possono richiedere un codice motivo, un numero di ticket o un ID incidente. Alcune implementazioni potrebbero inoltre beneficiare dell'approvazione di due persone prima dell'esportazione di una cronologia di movimenti estesa.

Ricorda che i log di controllo contengono dati personali degli amministratori. Limita l'accesso e la conservazione di tali dati in base allo scopo per cui sono stati documentati.

Come testare la privacy del tracciamento dei lavoratori prima dell'implementazione

Un test tecnico preliminare verifica se il sistema è in grado di localizzare un lavoratore. Un test sulla privacy verifica se il sistema si comporta correttamente quando nessuno è in pericolo.

Prima di andare online, testa scenari come:

• Un supervisore tenta di controllare un dipendente senza che sia attivo alcun allarme.
• Un amministratore esporta più cronologia di quanto consentito dal suo ruolo.
• Un badge per visitatori rimane associato al suo precedente possessore.
• Un operaio lascia il cantiere indossando ancora il dispositivo.

Una valutazione d'impatto sulla protezione dei dati (DPA) offre un metodo strutturato per esaminare questi rischi. Il Comitato europeo per la protezione dei dati (EDPB) raccomanda di applicare la protezione dei dati fin dalla progettazione durante l'intero ciclo di vita del trattamento, dalla selezione della tecnologia e delle impostazioni predefinite fino alla cancellazione e all'archiviazione definitiva. ⁽²⁾

Eseguite questo lavoro finché le opzioni di configurazione sono ancora aperte. La privacy diventa molto più costosa una volta che dashboard, integrazioni e aspettative di gestione si sono già consolidate attorno a dati non soggetti a restrizioni.

Il monitoraggio dei lavoratori può migliorare la sicurezza senza una sorveglianza continua?

Il monitoraggio dei lavoratori connessi può proteggere le persone senza documentare ogni movimento all'infinito.

Iniziate con un obiettivo di sicurezza ben definito. Mantenete una visibilità generale sulle attività di routine. Rivelate la posizione precisa solo in caso di emergenze specifiche. Separate i ruoli operativi, limitate la conservazione dei dati, aggregate i dati analitici, spiegate chiaramente il sistema e verificate gli accessi.

Questa tecnologia può supportare sia la sicurezza che la sorveglianza. La privacy fin dalla progettazione è ciò che determina quale sistema effettivamente implementare.

Riferimenti

1. Regolamento (UE) 2016/679, compresi gli articoli 5, 25, 35 e 88
2. Comitato europeo per la protezione dei dati: Linee guida 4/2019 sulla protezione dei dati fin dalla progettazione e per impostazione predefinita.
3. Gruppo di lavoro Articolo 29: Parere 2/2017 sul trattamento dei dati sul luogo di lavoro
4. Commissione europea: quando è valido il consenso?