Il Garante per la protezione dei dati personali è intervenuto con un provvedimento dedicato all'uso dei dispositivi indossabili in ambito aziendale, sempre più diffusi per finalità di sicurezza, tracciabilità dei tempi, monitoraggio dei parametri biologici e gestione dell'accesso.
L'Autorità ha richiamato i principi generali del Regolamento (UE) 2016/679 (GDPR) e del Codice Privacy, ponendo particolare attenzione al principio di minimizzazione e alla necessità di una base giuridica adeguata per il trattamento dei dati raccolti tramite wearable. È stato sottolineato che la mera esigenza di efficienza non è sufficiente a giustificare il trattamento di dati particolari (categorie speciali ex art. 9 GDPR), in particolare quelli biometrici e quelli relativi alla salute.
Per i dispositivi che integrino funzioni di geolocalizzazione, rilevazione della frequenza cardiaca, conteggio dei passi o monitoraggio di altri parametri fisiologici, il Garante ha richiesto l'effettuazione di una valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 GDPR, con specifica analisi delle misure tecniche e organizzative idonee a tutelare il diritto alla riservatezza dei lavoratori.
È stato confermato il collegamento con l'art. 4 dello Statuto dei Lavoratori, quando l'uso del dispositivo possa comportare anche il controllo a distanza dell'attività lavorativa, con conseguente necessità di accordo sindacale o autorizzazione dell'Ispettorato del Lavoro. Le imprese sono richiamate alla trasparenza informativa, alla limitazione dei tempi di conservazione e all'individuazione di soggetti autorizzati al trattamento, anche con riferimento alle terze parti che forniscono le piattaforme di gestione dei dispositivi.