Dietro il tesserino: come gli audit sul posto di lavoro stanno fallendo nel difendere la privacy dei dipendenti nell’era della gestione algoritmica

Era un audit di routine-finché non lo è più stato. Quando le autorità italiane sono scese in un hub logistico Amazon nel febbraio 2026, hanno scoperto un ecosistema digitale in cui i dati dei lavoratori non venivano solo tracciati; venivano sezionati, valutati con punteggi e archiviati per un decennio. In un’epoca in cui ogni passaggio del badge, assenza e crisi familiare alimenta gli algoritmi affamati della “people analytics”, la domanda non è più se, ma quanto in profondità i nostri luoghi di lavoro siano diventati macchine di sorveglianza.

Lo standard SA8000:2026 è chiaro: la privacy dei lavoratori è un diritto universale, non condizionato dalla legge locale. Gli auditor devono indagare non solo la conformità normativa, ma l’adesione a principi fondamentali-minimizzazione, necessità e dignità. Ciò significa esaminare come le aziende raccolgono, conservano e utilizzano i dati personali: dalle politiche HR e le tutele IT alla consapevolezza dei lavoratori sui propri diritti e all’esistenza di canali di reclamo reali e accessibili.

Ma cosa accade quando l’audit scopre un’infrastruttura digitale costruita per una sorveglianza perpetua? Nello stabilimento Amazon di Passo Corese, un’unica piattaforma HR integrava registri delle assenze, dati sanitari, iscrizione sindacale e perfino dettagli sulle famiglie dei lavoratori. Strumenti algoritmici come il “Bradford Factor” attribuivano punteggi ai dipendenti per assenze brevi e frequenti, mentre i manager annotavano campi di testo libero con note profondamente personali-spesso non correlate alle prestazioni lavorative. I dati erano accessibili attraverso più livelli manageriali e conservati per anni dopo la cessazione del rapporto di lavoro.

L’intervento del garante della privacy è stato innescato dalle segnalazioni dei lavoratori e confermato da ispezioni in loco: il design stesso della piattaforma incoraggiava una raccolta di dati eccessiva e invasiva. La sorveglianza andava oltre il desktop-telecamere vicino ai bagni e alle aree di riposo consentivano non solo il monitoraggio individuale, ma la mappatura dei comportamenti collettivi, riecheggiando le famigerate tattiche delle “heat map” usate da Amazon negli Stati Uniti per prevedere e prevenire l’attività sindacale.

Non si tratta di un episodio isolato. La CNIL francese ha multato Amazon per l’uso di scanner che tracciavano ogni secondo dell’attività dei lavoratori in magazzino, segnalando “tempo inattivo” e micro-pause. Piattaforme di consegna come Glovo e Deliveroo sono sottoposte a controllo giudiziario per sistemi algoritmici che scambiano l’efficienza con l’erosione dei diritti fondamentali. Il modello è inconfondibile: quando l’efficienza viene ottimizzata attraverso la raccolta massiva di dati, il lavoratore smette di essere una persona-diventando invece un insieme di variabili in una dashboard aziendale.

Il diritto europeo offre ancora resistenza. Il GDPR e le norme sul lavoro fissano confini netti: possono essere trattati solo i dati strettamente necessari al rapporto di lavoro, con forti limitazioni su informazioni sanitarie e sindacali. Conservare dati sensibili per un decennio, o usarli per costruire “gemelli digitali” dei dipendenti, oltrepassa la linea che separa la gestione dalla profilazione. Gli auditor, un tempo meri verificatori di scartoffie, oggi sono chiamati a essere agenti di cambiamento culturale-sfidando le organizzazioni a scegliere la sostanza al posto della forma, e la dignità al posto dei dati.

La vera prova che ci attende: audit e regolazione riusciranno a tenere il passo con l’avanzata incessante degli algoritmi sul posto di lavoro? O le metriche dell’efficienza continueranno a erodere la stessa nozione di privacy e di persona al lavoro? Nella contesa tra potere digitale e dignità umana, solo uno è un diritto costituzionale.

WIKICROOK

• SA8000: SA8000 è uno standard globale che promuove pratiche di lavoro eque, diritti umani e condizioni di lavoro sicure nelle organizzazioni di tutti i settori.
• GDPR: il GDPR è una rigorosa legge dell’UE e del Regno Unito che protegge i dati personali, imponendo alle aziende di gestire le informazioni in modo responsabile o affrontare pesanti sanzioni.
• People Analytics: la people analytics utilizza dati e algoritmi per analizzare il comportamento della forza lavoro, aiutando le organizzazioni a gestire i rischi e migliorare la cybersicurezza attraverso insight azionabili.
• Bradford Factor: il Bradford Factor attribuisce un punteggio alle assenze dei dipendenti, dando maggiore peso ai permessi frequenti e di breve durata rispetto alle assenze prolungate. Aiuta a identificare schemi di presenza e potenziali rischi.
• Conservazione dei dati: la conservazione dei dati è la pratica di archiviare informazioni degli utenti, come nomi e indirizzi IP, per un periodo determinato al fine di soddisfare requisiti legali o aziendali.