Il Garante Privacy sanziona Glovo per 2,6 milioni di Euro per l’utilizzo di un algoritmo discriminatorio

Lo scorso 10 giugno 2021, l’Autorità garante per la protezione dei dati personali (il “Garante Privacy” o l’“Autorità”) ha irrogato una sanzione pecuniaria pari a 2,6 milioni di Euro alla società Foodinho S.r.l. (la “Società” o “Foodinho”), controllata da GlovoApp23, per aver trattato in modo illecito dati personali dei rider anche attraverso l’utilizzo di un algoritmo discriminatorio.

La complessa attività istruttoria ha riguardato la società italiana Foodinho, presso la quale sono state riscontrate numerose violazioni della normativa privacy, dello statuto dei lavoratori e della recente normativa a tutela di chi lavora con le piattaforme digitali. Con il provvedimento sanzionatorio, l’Autorità ha previsto che la Società, oltre a dover modificare il trattamento dei dati dei propri rider, effettuato tramite l’utilizzo di una piattaforma digitale, dovrà altresì verificare che gli algoritmi di prenotazione e assegnazione degli ordini di cibo e prodotti non producano forme di discriminazione.

Ai fini della qualificazione dei ruoli privacy, è emerso che il titolare del trattamento dei rider (c.d. glovers) è Foodinho mentre la piattaforma informatica di gestione degli ordini è sviluppata da GlovoApp23, che ne ha la proprietà (la “Piattafroma Glovo”). Foodinho e GlovoApp23 hanno sottoscritto un data processing agreement, in cui la Società, per questa tipologia di trattamento, ha nominato GlovoApp23 come responsabile esterno del trattamento.

L’Autorità ha rilevato una serie operazioni di trattamento non conformi alla normativa in materia di protezione dei dati personali – in particolare al Regolamento (UE) 2016/679 (“Regolamento” o “GDPR”) – e, la commissione da parte della Società di una serie di gravi illeciti, in particolare riguardo agli algoritmi utilizzati per la gestione dei lavoratori. In particolare, la Società:

1. non ha fornito adeguata informativa ai lavoratori in merito al trattamento dei loro dati personali, con particolare riferimento a (i) le concrete modalità di trattamento dei dati relativi alla posizione geografica; (ii) la tipologia dei dati raccolti (dati relativi alle comunicazioni e le valutazioni espresse sul rider); (iii) il funzionamento del sistema e (iv) le informazioni significative sulla logica del trattamento basato su un processo decisionale automatizzato cui sono sottoposti i rider, nonché sull’importanza e le conseguenze previste di tale trattamento per l’interessato (in violazione di quanto previsto dall’art. 5(1) lett. a) e dall’art. 13del GDPR);
2. non ha provveduto a definire un quadro chiaro e coerente in merito ai tempi di conservazione dei dati, in particolare non individuando tempi di conservazione congrui in relazione a ciascuno degli scopi in concreto perseguiti con il trattamento delle diverse tipologie di dati personali (in violazione di quanto previsto dall’art. 5(1) lett. e) del GDPR);
3. non ha effettuato una valutazione d’impatto sulla protezione dei dati personali, in violazione dell’art. 35 del GDPR, in quanto la Società non ha ritenuto di doverla predisporre. Tuttavia, il Garante Privacy, richiamando l’art. 35 del GDPR nonché le Linee Guida WP in materia di valutazione di impatto sulla protezione dei dati del 2017 (le “Linee Guida”) e il provvedimento del Garante Privacy dell’ 11 ottobre 2018, n.467 ha precisato che l’attività di trattamento svolta da Foodinho, “in quanto caratterizzata dall’utilizzo innovativo di una piattaforma digitale, dalla raccolta e memorizzazione di una molteplicità di dati personali relativi alla gestione degli ordini compresa la localizzazione geografica e delle comunicazioni avvenute tramite chat e email nonché della possibilità di accedere al contenuto di telefonate tra i rider e il customer care, dalla effettuazione di attività di profilazione e trattamenti automatizzati nei confronti di un numero rilevante di interessati “vulnerabili” (in quanto parti di un rapporto di lavoro; v. Linee Guida cit., cap. III, B, n. 7), presenta un rischio elevato per i diritti e le libertà delle persone fisiche con conseguente necessità di effettuare, prima dell’inizio del trattamento, una valutazione di impatto ai sensi dell’art. 35 del Regolamento”. Inoltre, viene rilevato come dall’utilizzo della Piattaforma Glovo possano derivare rischi peri diritti e le libertà delle persone in quanto relativi alla “valutazione di aspetti personali, in particolare mediante l’analisi o la previsione di aspetti riguardanti il rendimento professionale, [ …], l’affidabilità o il comportamento, l’ubicazione o gli spostamenti, al fine di creare o utilizzare profili personali; se sono trattati dati di persone fisiche vulnerabili […]; se il trattamento riguarda una notevole quantità di dati personali e un vasto numero di interessati” nonché “se il trattamento può creare discriminazioni”;
4. attraverso il sistema complessivamente utilizzato per l’operatività della Piattaforma Glovo, ha effettuato trattamenti automatizzati, compresa la profilazione, nell’ambito del c.d. “sistema d’eccellenza” che attribuisce a ciascun rider, attraverso l’operatività di specifici e predeterminati parametri, un punteggio che consente di accedere prioritariamente al “sistema di selezione delle fasce orarie (slots)” stabilite dalla Società.

In contrasto con quanto sostenuto dalla Società, il Garante Privacy ha precisato che la necessaria impostazione dei parametri in base ai quali opera il funzionamento dell’algoritmo non fa venir meno, in sé, l’assunzione di decisioni basate unicamente su un trattamento automatizzato. Infatti, l’assegnazione de punteggi, derivante dalla sola applicazione della formula matematica alla base del calcolo, penalizza i rider che non accettano tempestivamente l’ordine, lo rifiutano o non lo portano a termine. “Attraverso il punteggio la società valuta pertanto l’operato del rider e produce, in tal modo, un effetto significativo sulla sua persona proponendo o negando l’accesso alle fasce orarie e la relativa possibilità di effettuare la prestazione oggetto del contratto”. Il Garante Privacy ha affermato, pertanto, che al caso concreto risulta applicabile una delle esenzioni previste dall’art. 22 del GDPR rispetto al diritto di non essere sottoposti a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o che incida in modo significativo sull’interessato e che, in particolare, risulta che il trattamento è necessario per l’esecuzione di un contratto stipulato tra le parti. Tuttavia, la Società:

1. non ha assicurato garanzie sull’esattezza e la correttezza dei risultati dei sistemi algoritmici utilizzati per la valutazione dei rider;
2. non ha garantito procedure per tutelare il diritto di ottenere l’intervento umano, esprimere la propria opinione e contestare le decisioni adottate mediante l’utilizzo degli algoritmi in questione, compresa l’esclusione di una parte dei rider dalle occasioni di lavoro;

• non ha adottato misure appropriate per evitare usi impropri o discriminatori dei meccanismi reputazionali basati sui feedback.

1970. pur effettuando attraverso una pluralità di strumenti tecnologici (la Piattaforma Glovo, la app e i canali utilizzati dal customer care) trattamenti di dati che consentono un’attività di minuzioso controllo sulla prestazione lavorativa svolta dai rider, ha omesso di applicare quanto in proposito stabilito dal richiamato art. 4, comma 1, l. 300/1970.

Il Garante ha, pertanto, prescritto alla Società di individuare misure per tutelare i diritti e le libertà dei rider a fronte di decisioni automatizzate, compresa la profilazione. Inoltre, ha imposto a Foodinho di verificare l’esattezza e la pertinenza dei dati utilizzati dal sistema (chat, e-mail e telefonate intercorse tra i rider e il customer care, geolocalizzazione ogni 15 secondi e visualizzazione su mappa del percorso, tempi di consegna stimati ed effettivi, dettagli sulla gestione dell’ordine in corso e di quelli già effettuati, feedback di clienti e partner, livello della batteria rimanente del dispositivo etc.). Ciò anche allo scopo di minimizzare il rischio di errori e di distorsioni che potrebbero, ad esempio, portare alla limitazione delle consegne assegnate a ciascun rider o all’esclusione stessa dalla Piattaforma Glovo.

L’Autorità ha, pertanto, irrogato una sanzione alla Società per un importo pari a 2,6 milioni di Euro, tenendo altresì conto, inter alia, della limitata collaborazione offerta dalla Società nel corso dell’istruttoria e dell’elevato numero di rider coinvolti in Italia, circa 19.000 al tempo dell’ispezione. Inoltre, il Garante Privacy ha altresì prescritto alla Società di individuare misure che impediscano utilizzi impropri o discriminatori dei meccanismi reputazionali basati sul feedback dei clienti e dei partner commerciali.

Il Garante Privacy ha concesso a Foodinho 60 giorni di tempo per avviare le misure necessarie per correggere le gravi violazioni rilevate e ulteriori 90 giorni per completare gli interventi sugli algoritmi.

La società spagnola GlovoApp23 è invece oggetto di un autonomo procedimento condotto dall’Autorità garante spagnola (Agencia Española de Protección de Datos “AEPD”), con la collaborazione del Garante Privacy italiano. Le due autorità hanno infatti attivato, per la prima volta, una operazione congiunta di cooperazione europea, ai sensi dell’articolo 61 del GDPR, con per verificare il funzionamento della Piattaforma Glovo di proprietà della capogruppo GlovoApp23.

La decisione del Garante Privacy è la prima riguardante i rider e fa seguito a un primo ciclo ispettivo sulle modalità di gestione dei lavoratori di alcune delle principali società di food delivery che operano in Italia.

Si ricorda che anche il Tribunale di Bologna si era pronunciato nei confronti di un’altra società operante nel settore, Deliveroo, sempre per l’utilizzo di algoritmi discriminatori. Tale sentenza, oltre a rappresentare una conquista per i diritti dei lavoratori e le lavoratrici nell’ambito della nuova economia digitale, ha rappresentato anche un importante intervento giurisprudenziale per cominciare a considerare effettivamente la portata, i limiti e le conseguenze delle decisioni automatizzate. Un approfondimento sul tema è disponibile qui.