La prima è stata fondata nel 2000, in Danimarca. Non era esattamente quello che immaginiamo ora, un’azienda da 4,87 miliardi di sterline. JustEat, in Italia dal 2011, faceva perlopiù da collante tra i ristoratori e i clienti che cominciavano ad ordinare cibo online. Poi l’acquisizione di vari competitor in Spagna, Regno Unito, Canada e anche Italia, a conferma di una strategia orientata all’aggregazione. Ma quanto sappiamo delle piattaforme, oligopolio di un mercato che fino a pochi anni fa era considerato informale, quello delle consegne, è ancora poco.

Le grandi piattaforme che sovrastano il food delivery hanno segnato la nascita e stanno segnando l’evoluzione della gig economy, la cosiddetta “economia dei lavoretti a chiamata”.

Questa trasformazione ci pone davanti ad una nuova idea di impresa, governata attraverso l’estrazione di dati e informazioni grezze dal valore non solo strettamente commerciale ma anche organizzativo e politico. Di questo mercato strategico, così come degli algoritmi proprietari e inaccessibili che governano i processi decisionali alla base del lavoro dei rider, ci sono poche e confuse informazioni omesse dalla sempreverde necessità di proteggere un presunto know-how aziendale.

Foodinho attira l’attenzione del Garante privacy

Dopo anni di presenza sul mercato e agendo senza complete e precise regolamentazioni, qualcosa sembrerebbe stia iniziando a cambiare. A luglio infatti il Garante della privacy sanziona Foodinho s.r.l., la società italiana controllata da GlovoApp23, con una multa di 2,6 milioni di euro. Da quanto evidenziato nell’ispezione, avvenuta nel luglio del 2019 in un procedimento in collaborazione con l’Autorità garante spagnola (AEPD), la società non ha effettuato nessuna valutazione di impatto sul trattamento dei dati dei rider acquisiti attraverso la piattaforma; non richiede il consenso quando raccoglie informazioni circa la geolocalizzazione dei rider (aggiornata ogni 15 secondi); utilizza un processo automatizzato che comprende anche la profilazione dei rider stessi ed è usato per fornire a questi ultimi l’accesso alla prenotazione dei turni di lavoro.

Il primo provvedimento dell’Autorità fa immediatamente centro sul tallone d’Achille delle piattaforme della gig economy. È Foodinho s.r.l. ad essere responsabile del trattamento dei dati personali dei lavoratori, mentre la piattaforma informatica di gestione degli ordini è di proprietà spagnola così come l’algoritmo di assegnazione delle consegne. I “glovers” al momento dell’ispezione del Garante della privacy erano 18.864 in tutta Italia, motivo per cui la sanzione ha raggiunto cifre così alte.

Il trattamento automatizzato dei dati è indubbio e non viene citato nell’informativa che l’azienda fornisce – in maniera poco chiara ed efficace – ai rider: l’algoritmo utilizzato per l’assegnazione degli ordini si chiama Jarvis e, secondo quanto dichiarato dalla stessa azienda durante l’ispezione, «è un algoritmo che utilizza […] la posizione geografica del rider tratta dal GPS del dispositivo; posizione del punto vendita dove ritirare il prodotto da consegnare; indirizzo di consegna; requisiti specifici dell’ordine e altri parametri quali il tipo di veicolo utilizzato dal rider».

I lavoratori della GIG economy in Italia

Non sono chiari i tempi di conservazione dei dati che, secondo quanto emerso dall’ispezione, l’azienda conserverebbe per un arco temporale di 4 anni a prescindere della loro natura e della finalità per la quale vengono raccolti. Nessuna possibilità inoltre di ottenere aiuto o supporto nel lavoro attraverso un intervento umano. Per questo motivo, oltre ad aver sanzionato l’azienda, il Garante ha concesso a Foodinho 60 giorni di tempo per correggere le violazioni relative al trattamento dei dati, e 90 per intervenire a contrasto delle misure algoritmiche che discriminano i lavoratori sulla base di trattamenti automatizzati, profilazione e meccanismi reputazionali.

L’ordinanza di ingiunzione dell’Autorità nei confronti di Foodinho s.r.l. assume valore anche perchè Foodora, ora non più operante in Italia e controllata da Delivery Hero (che controlla a sua volta Glovo), ha subìto lo scorso anno una fuga di dati raccolti sin da quattro anni prima, nel 2016. In quel periodo Foodora era appena arrivata in Italia, a Milano, e l’app fornita ai rider per gestire gli ordini e la consegna dei pasti era in versione .apk (non presente su Google né su App Store). Per entrare nel proprio account, come appreso da IrpiMedia incrociando le testimonianze dei rider, il rider inseriva l’indirizzo email che gli era stato assegnato dall’ufficio risorse umane e poi la password, uguale per tutti, composta dalla sequenza di numeri 12345678.

Nel gennaio 2017, come ha potuto ricostruire IrpiMedia, tutti i rider che presumibilmente stavano lavorando per Foodora ricevono una comunicazione. Oltre all’invito all’evento per festeggiare il nuovo anno, 362 persone hanno ricevuto in copia conoscenza l’elenco di tutti gli indirizzi di posta elettronica che permettevano l’accesso ai profili di altri rider. Una volta entrati nel profilo si potevano ottenere i dati personali dei rider e lo storico delle consegne effettuate ai clienti con i quali erano venuti in contatto, comprensivi di nome, cognome, indirizzo di casa, numero di telefono personale.

Profilati e geolocalizzati 8.000 rider

Nel periodo di ispezione il Garante della privacy ha interpellato anche Deliveroo Italy s.r.l., controllata dalla capogruppo inglese Roofoods LTD e con una flotta al momento dell’ispezione di circa 8.000 rider. Nome diverso ma stessa solfa: per Deliveroo è “Frank” l’algoritmo che assegna gli ordini – attraverso criteri di priorità elaborati in base ai dati raccolti tra i quali geolocalizzazione, mezzo di trasporto e posizione del cliente – all’interno dei turni prenotati dai rider. Anche qui l’attività di profilazione da parte della società sui lavoratori è conclamata, così come accertato anche dalla sentenza 188/2019 del Tribunale Supremo di Madrid. Quest’ultima è una delle molte sentenze pronunciate negli ultimi anni in Spagna, Paese in cui si registra una cospicua quantità di controversie nei confronti delle piattaforme digitali.

Nonostante il sistema di prenotazione dei turni di lavoro adottato da Deliveroo (SSB) sia stato modificato dall’azienda nel novembre 2020, il Garante della privacy sottolinea comunque l’impossibilità di comprendere il funzionamento dell’algoritmo impiegato successivamente (il cosiddetto free login, che permette di lavorare in qualsiasi città d’Italia): i turni sono inevitabilmente determinati sulla base di criteri elaborati attraverso dati raccolti nel tempo.

D’altronde la possibilità di un’assegnazione casuale è molto remota. I processi decisionali automatizzati sono ancora una volta incomprensibili a causa della pressoché totale non trasparenza degli algoritmi utilizzati. Anche in questo caso, la sanzione amministrativa è di 2,5 milioni di euro e le verifiche sull’algoritmo da compiere entro 90 giorni dall’ingiunzione. Al momento dell’uscita di questo articolo i termini per adottare le prescrizioni e per pagare le sanzioni comminate dall’Autorità non sono ancora scaduti. Le aziende non hanno inoltre impugnato le ordinanze di ingiunzione.