GDPR e tracciamento del tempo: cosa devono sapere freelance e piccoli team dell'UE

Risposta rapida

Registrare le ore di solito è compatibile con il GDPR. I problemi iniziano con ciò che uno strumento raccoglie in più e con l'uso che ne fai. Per un tracciamento del tempo conforme al GDPR bastano tre abitudini: scegli una base giuridica prima di iniziare, raccogli solo ciò che serve allo scopo e di' alle persone cosa registri e quando lo cancelli.

Sono informazioni generali, non consulenza legale. Le norme sul lavoro e sulla protezione dei dati cambiano da un Paese UE all'altro: se tracci il tempo di altre persone, rivolgiti all'autorità per la protezione dei dati del tuo Paese.

Come funziona in pratica

Il GDPR si applica quando tratti dati personali di altre persone. Registrare solo le tue ore per le tue fatture è diverso dall'annotare il tempo di un subappaltatore o di un dipendente. Se lavori da solo, gran parte di ciò che segue conta solo quando entrano in gioco il personale di un cliente o i tuoi collaboratori.

Scegli una base giuridica

Ogni trattamento richiede una base giuridica. Il Comitato europeo per la protezione dei dati ne elenca sei: consenso, contratto, obbligo legale, interesse pubblico, interessi vitali e legittimi interessi. Per il tracciamento del tempo, di solito ne bastano due:

• Contratto. Registrare le ore che ti servono per pagare qualcuno o fatturare a un cliente. Il trattamento deve essere davvero necessario per il contratto, ed è bene annotare perché.
• Legittimo interesse. Preventivare progetti o pianificare il carico di lavoro. Serve un bilanciamento documentato: lo scopo è lecito e reale, il tracciamento è necessario per raggiungerlo e prevale su ciò che la persona si aspetterebbe ragionevolmente?

Sul consenso serve prudenza. Secondo la guida dell'EDPB, in linea di principio i dipendenti non possono acconsentire liberamente al trattamento da parte del datore di lavoro, perché possono sentirsi incapaci di rifiutare. Se qualcuno non può dire di no senza conseguenze, quel consenso non è valido.

Raccogli solo ciò che serve

La panoramica dei principi della Commissione indica che i dati devono essere "adeguati, pertinenti e limitati a quanto necessario" rispetto allo scopo. Per un foglio ore significa progetto, cliente, orario di inizio e fine e ore totali. Screenshot, registrazione dei tasti, tracciamento della posizione e dati biometrici sono molto più difficili da giustificare per fatturare o preventivare.

La stessa pagina precisa che lo scopo deve essere specifico. Le ore raccolte per la fatturazione non dovrebbero diventare in silenzio una prova in un procedimento disciplinare senza uno scopo compatibile o una nuova base. Per un esempio di registri usati come prova con uno scopo legittimo, leggi come conservare le prove quando un cliente contesta le tue ore.

Informa e fissa i tempi di conservazione

Le persone devono sapere cosa registri, perché, su quale base e per quanto tempo, in un'informativa concisa e chiara. Restano i loro diritti di accesso, rettifica, cancellazione e opposizione. In un piccolo team basta un paragrafo accurato nel documento di benvenuto.

Sulla conservazione, la guida indica di tenere i dati il minor tempo possibile e di fissare termini per cancellarli o rivederli. Le norme fiscali o del lavoro possono richiedere di conservare i fogli ore più a lungo. Scegli una data. Scrivila. Cancella alla scadenza. Se uno strumento di terzi tratta i dati per te, firma un accordo di trattamento dei dati con il fornitore.

Quando usarlo (e quando evitarlo)

Il semplice tracciamento delle ore funziona bene quando lo scopo è chiaro:

• Fatturare i clienti a partire dalle ore registrate.
• Confrontare le stime con le ore effettive di un progetto.
• Capire se un team di tre persone è sovraccarico, come in tracciare il tempo in un piccolo team senza microgestione.

Rallenta, o lascia perdere, quando il tracciamento diventa sorveglianza. Il monitoraggio ampio dell'attività, i dati di posizione, la biometria o i punteggi di produttività automatici aumentano il rischio. In quei casi vale la pena fare una valutazione d'impatto sulla protezione dei dati (DPIA) prima di attivare qualsiasi cosa. I punteggi automatici che guidano decisioni sul lavoro possono inoltre rientrare nelle norme GDPR sulle decisioni automatizzate: tieni quindi una persona nel processo.

Il tracciamento automatico sta nel mezzo. Può essere utile, ma più registra in background, più devi giustificarlo. Il nostro articolo su fin dove dovrebbe spingersi il tracciamento automatico del tempo affronta il compromesso dal lato dell'accuratezza.

Un test semplice: riusciresti a spiegare il tracciamento alla persona interessata in due frasi, e lo troverebbe ragionevole? Se no, raccogli meno.

Dove si inserisce Pomlo

Pomlo è un time tracker per iOS, Android e web, costruito attorno al tipo di dati che questo articolo considera la scelta sicura: ore per progetto e cliente. Avvio e stop con un tocco mantengono il registro semplice, e i report mostrano dove è andata la settimana, così puoi preventivare progetti e spiegare una fattura senza raccogliere altro che ore.

Alcuni dettagli che contano qui:

• Progetti e clienti ti permettono di organizzare le ore in base a chi fatturi, in linea con la base contrattuale.
• Fatturazione integrata trasforma le ore registrate in una fattura con un tocco.
• Rispetto della privacy: i tuoi dati non vengono venduti né usati per addestrare modelli.

Dovrai comunque scrivere la tua informativa, scegliere la base giuridica e fissare la data di conservazione. Uno strumento non può sceglierle al posto tuo, quindi annotale prima di iniziare. Scarica Pomlo dall'App Store o da Google Play e parti da un semplice registro delle ore.

Domande frequenti

Il GDPR si applica se traccio solo il mio tempo da freelance?

Tracciare solo le tue ore per uso personale in genere non è ciò che il GDPR ha di mira. Si applica quando tratti dati personali di altre persone, come il personale di un cliente o i tuoi subappaltatori. Le norme variano da Paese a Paese: rivolgiti all'autorità nazionale per la protezione dei dati.

Il mio team può acconsentire al tracciamento del tempo?

Il consenso è una base debole per i dipendenti, perché possono sentirsi incapaci di rifiutare. Di solito si adattano meglio il contratto o un legittimo interesse documentato.

Per quanto tempo devo conservare i fogli ore?

Solo per il tempo necessario allo scopo dichiarato, con una data fissa di revisione o cancellazione. Le norme fiscali o del lavoro possono richiedere di più: verifica quali ti riguardano.

Mi serve una DPIA per un time tracker?

Semplici voci di ore e progetti comportano meno rischio. Un monitoraggio ampio dell'attività, la posizione o la biometria aumentano il rischio e rendono consigliabile una DPIA.