Messaggi standard per la sospensione dell’account senza informativa sul reclamo per ottenerne il ripristino; gestione automatizzata dei turni e del sistema di merito senza possibilità di ottenere il controllo umano; riconoscimento biometrico per verifica dell’identità dei riders e cessione a società terze dei dati dei lavoratori ad account spento: la gestione dei riders ancora nell’occhio del ciclone, con una sanzione monstre.
Vediamo, punto per punto, le contestazioni e perché il provvedimento Foodinho sarà da monito anche per il futuro.
Il comunicato stampa dell’Autorità Garante per il trattamento dei dati personali
Dopo aver emanato un’ordinanza per una ingiunzione da 5 milioni di euro a Foodinho, il Garante privacy ha comunicato, la notizia nei seguenti termini.
“L’Autorità, anche a seguito delle ispezioni effettuate con il Nucleo speciale della GdF, ha accertato che la piattaforma utilizzata dalla società, quando disattiva o blocca l’account, invia automaticamente un unico messaggio standard, che però non informa della possibilità di contestare la decisione e chiedere il ripristino dell’account.
Attraverso l’accesso diretto ai sistemi, il Garante ha poi verificato che la società effettua anche altri trattamenti automatizzati dei dati dei rider, ad esempio, attraverso il cosiddetto sistema di eccellenza (punteggio che consente di prenotare con priorità il turno di lavoro) e il sistema di assegnazione degli ordini all’interno del turno. Tutto ciò senza aver adottato le misure previste dal Gdpr per l’utilizzo di sistemi automatizzati, in particolare il diritto dei rider di ottenere l’intervento umano, di esprimere la propria opinione e contestare la decisione assunta attraverso il sistema.
Dagli accertamenti è anche emerso che Foodinho, senza informare gli interessati, invia i dati personali dei rider, compresa la posizione geografica, a società terze. I dati sulla geolocalizzazione, in particolare, sono inviati anche quando il rider non lavora, l’app è in background e, fino ad agosto 2023, anche quando l’app non era attiva”.
Vediamo ora nel dettaglio l’ordinanza ingiunzione del Garante, che consta di 68 pagine; l’obiettivo del pezzo è riportare i passi più significativi, spiegando perché questo provvedimento è un utile vademecum sul come non operare, non impostare le policies aziendali e non comportarsi in caso di istruttoria del Garante
La competenza dell’Autorità Garante per il trattamento dei dati personali italiana
La prima contestazione riguardava l’incompetenza del Garante territoriale, perché Glovo SA, la controllante di Foodinho srl, ha sede in Spagna.
Il Garante, sul punto, nel ribadire l’orientamento – pacifico – sui trattamenti nazionali e transfrontalieri, ha rigettato l’eccezione; merita riportare una parte del provvedimento.
“Il trattamenti oggetto dell’attività di controllo avviata dall’Autorità sono infatti stati effettuati in esecuzione di contratti stipulati dalla società italiana (contratti che hanno pertanto definito il quadro di riferimento per le finalità e le modalità dei trattamenti stessi), il che esclude la loro possibile natura transfrontaliera, come invece erroneamente prospettato dalla Società.
Al caso di specie si applica, pertanto, l’art. 55, paragrafo 1, del Regolamento che stabilisce la competenza delle Autorità di controllo nazionali a esercitare i poteri e ad assolvere i compiti a essa attribuiti dal Regolamento in relazione ai trattamenti effettuati sul territorio nazionale dal soggetto ivi stabilito, per i quali lo stesso agisca in qualità di autonomo titolare (v. anche il considerando 122 del Regolamento).
Inoltre, la partecipazione di Foodinho s.r.l. a un gruppo societario del quale fa parte anche la controllante società spagnola GlovoApp23 SL non comporta il venire meno della competenza del Garante, ai sensi del Regolamento Ue 2016/679, per quanto riguarda i trattamenti effettuati dalla società italiana su interessati che lavorano in Italia, né implica il venir meno della soggettività giuridica di Foodinho, come autonomo centro di imputazione”.
La prima violazione contestata ed accertata: rider licenziato dopo il decesso
La prima violazione è quella attinente all’episodio di licenziamento del rider deceduto in un incidente stradale, “licenziato”, in seguito al decesso, con il seguente messaggio di disconnessione dell’account.
“Nel merito, all’esito dell’attività istruttoria, è stato accertato che la Società, in data 3/10/2022, ha inviato, sull’account di [S.G.], un messaggio avente il seguente contenuto: “Importante: account disattivato. Gentile [S.G.], Glovo intende offrire un’esperienza ottimale ai propri corrieri, partner e clienti. Per mantenere una piattaforma sana ed equa talvolta è necessario prendere dei provvedimenti quando uno di questi utenti non si comporta in modo corretto. Siamo spiacenti di doverti informare che il tuo account è stato disattivato per il mancato rispetto di Termini e Condizioni. Se avrai ancora dei pagamenti in sospeso alla fine del prossimo periodo di fatturazione riceverai i dettagli dell’ultimo ordine per la fatturazione. Se hai bisogno di contattarci per qualsiasi motivo, utilizza il modulo disponibile nel sito dei corrieri” (v. screenshot su Repubblica, cronaca di Firenze, 4/10/2022)”.
La grossolanità dell’errore nel trattamento è a tal punto evidente da rendere superfluo ogni commento.
Il Garante, quindi, ha correttamente liquidato la questione della violazione contestata nei termini che seguono.
“Considerato, infine, che il trattamento effettuato, mediante l’invio del messaggio standard sopra riportato, in base alla configurazione del sistema, avviene automaticamente e indipendentemente dalle possibili concrete casistiche, risulta che la Società non ha attuato i principi di protezione dei dati, fin dalla progettazione e per impostazione predefinita. La corretta osservanza di tali principi comporta infatti per il titolare del trattamento l’attuazione di misure volte, tra l’altro, a “offrire trasparenza per quanto riguarda le funzioni e il trattamento dei dati personali” e “consentire all’interessato di controllare il trattamento dei dati” (v. cons. 78 del Regolamento).
Il datore di lavoro deve, pertanto, adottare misure volte ad assicurare il rispetto dei principi della protezione dei dati fin dalla progettazione del trattamento e per impostazione predefinita (art. 25 del Regolamento) durante l’intero ciclo di vita dei dati, “incorporan[d]o nel trattamento le misure e le garanzie adeguate ad assicurare l’efficacia dei principi di protezione dei dati, dei diritti e delle libertà degli interessati” e facendo in modo che “[venga] effettuato per impostazione predefinita solo il trattamento strettamente necessario per conseguire la specifica e lecita finalità”, anche con riguardo al periodo di conservazione dei dati, “in tutte le fasi della progettazione delle attività di trattamento, compresi gli appalti, le gare di appalto, l’esternalizzazione, lo sviluppo, il supporto, la manutenzione, il collaudo, la conservazione, la cancellazione ecc.” (“Linee guida 4/2019 sull’articolo 25 – Protezione dei dati fin dalla progettazione e per impostazione predefinita”, adottate dall’EDPB il 20/10/2020)”.
Un sistema operativo che by default operi in questo modo è evidentemente mal progettato e difetta dei requisiti minimi della privacy by design, così come l’assoluta mancanza di controllo umano sui sistemi automatizzato determina la violazione tout court delle norme del GDPR.
Questo, ovviamente, al netto del danno d’immagine giustamente ricaduto sulla piattaforma, una volta “scoperto “ come funziona il sistema in un’occasione, purtroppo, tragica.
La violazione dell’obbligo di informativa (art. 13 del Regolamento)
Per non farsi mancare nulla, Foodinho ha fornito agli interessati informative troppo complesse e stratificate, del tuto inidonee a soddisfare i requisiti previsti dall’articolo 13 del GDPR.
Così, sul punto, il Garante privacy.
“Dall’esame dei documenti predisposti dalla Società emerge, invece, l’assenza di un coerente “approccio stratificato”, nonché la totale mancanza di un reale coordinamento contenutistico tra i vari documenti informativi con la conseguente impossibilità, per gli interessati, di avere un quadro chiaro (e aderente alla realtà) della varietà di trattamenti che la Società effettua sui dati degli stessi raccolti nell’ambito del rapporto di lavoro.
Non solo, quindi, dall’esame dei singoli documenti così come dall’esame congiunto degli stessi, emerge che la Società non ha realizzato l’esigenza di fornire agli interessati le necessarie informazioni complete, ma risulta anche evidente come non sia riuscita a realizzare neppure l’esigenza di fornire le predette informazioni in una forma concisa, trasparente, intelligibile e facilmente accessibile (cfr. Linee guida cit., punto 34)”.
Violazione degli articoli 5 (paragrafo 1), 13 e 14 del GDPR
Altra violazione documentale, evitabile con un lavoro di consulenza accurato ed una progettazione del sistema by design adeguata.
“Il documento contenente l’informativa, non datato, consegnato dalla Società durante l’ispezione del 13 e 14 dicembre 2022, tratto dal sito della stessa (https://glovoapp.com/it/legal/privacy-couriers/) (All. 7 del verbale del 14/12/2022), che risulta di uguale contenuto rispetto all’informativa allegata alle copie di contratti standard forniti in sede di prima ispezione (All. 2 al verbale del 13/12/2022) deve considerarsi redatto in violazione degli artt. 5, par. 1, lett. a) (principio di trasparenza e principio di correttezza), 12 e 13 del Regolamento: le informazioni contenute nel predetto documento non risultano infatti fornite “in forma concisa, trasparente, intelligibile e facilmente accessibile” né attraverso le stesse risultano fornite “tutte le informazioni di cui agli articoli 13 e 14”.
Nell’informativa in esame, in particolare, non vengono individuate per intero le categorie di dati dei rider che la Società tratta, tanto che il punto 2 al suo interno, dedicato ai “dati raccolti”, introduce gli stessi con un’enunciazione esemplificativa (“di seguito, elenchiamo un esempio di dati che raccogliamo e le relative finalità del trattamento”); non vengono indicati, tra gli altri, i dati sulla gestione degli ordini, né i dati relativi a chat ed e-mail scambiate tra i rider e gli operatori del customer care, dati, che invece, da quanto emerso in sede di ispezione, la Società tratta”.
Violazione dell’art. 28 del Gdpr
Tra le chicche del provvedimento – e degli errori marchiani attribuibili a Foodinho – rientra la qualificazione dei riders come responsabili del trattamento ai sensi dell’articolo 28 del GDPR: per intenderci, la nomina che ordinariamente viene inviata a commercialisti e consulenti del lavoro, quando trattano i dati dei clienti del cliente.
“All’interno del documento “Termini e condizioni di utilizzo della piattaforma Glovo per i corrieri”, tratto dal sito della stessa, che indica come data di ultimo aggiornamento il 29 aprile 2022, consegnato dalla Società durante l’ispezione del 13 e 14 dicembre 2022, è presente anche la designazione del rider a responsabile del trattamento, in relazione ai dati riferiti ai clienti e agli ordini.
Alla luce delle concrete caratteristiche dei trattamenti riferiti all’assegnazione e all’esecuzione degli ordini, tale qualificazione non risulta tuttavia conforme a quanto stabilito dall’art. 28 del Regolamento (doc. cit., “Allegato 1 – Contratto di ordine di trattamento”, p. 21).
In particolare, la Società prevede (anche nella versione aggiornata del documento) che il rider, in qualità di responsabile del trattamento, dovrebbe, tra l’altro, tenere un registro delle attività di trattamento, assistere il titolare nella predisposizione della valutazione di impatto e, se del caso, nella presentazione dell’istanza di consultazione preliminare all’Autorità (tramite le seguenti istruzioni impartite ai responsabili/rider: “avere, per iscritto, una registrazione delle attività di trattamento svolte per conto del soggetto responsabile” (nella versione aggiornata, l’espressione “soggetto responsabile” è stata sostituita da “titolare”), “supportare il soggetto responsabile nello svolgimento delle valutazioni d’impatto sulla protezione dei dati e, se del caso, assisterlo nello svolgimento di consultazioni preliminari con l’autorità di controllo, ove appropriato” (nella versione aggiornata, l’espressione “soggetto responsabile” è stata sostituita da “titolare”), “garantire che i dipendenti della sua organizzazione per il trattamento dei dati personali si impegnino a rispettare la riservatezza delle informazioni personali elaborate per conto del soggetto responsabile” (nella versione aggiornata è stato precisato “espressamente e per iscritto”), “fornire agli interessati informazioni riguardanti il trattamento dei loro dati effettuato nell’ambito del trattamento, al momento della raccolta dei dati”, v. All. 4, memorie difensive 11/12/2023).
In proposito, pur prendendo atto che, a seguito della notifica delle violazioni da parte dell’Autorità, la Società ha provveduto a correggere l’errata qualificazione in termini di “responsabile del trattamento” attribuita sia alla Società stessa che al rider, si rileva che sono rimaste identiche le istruzioni impartite ai rider in qualità di responsabili del trattamento da parte della Società (v. memorie difensive 11/12/2023, p. 17)”.
E’ solo il caso di sottolineare che cambiare qualifica ma mantenere le stesse istruzioni operative è un’operazione di maquillage priva di efficacia pratica ed è una di quelle condotte operative che porta il Garante a comminare sanzioni più elevate.
Il cosiddetto “sistema di eccellenza” e il sistema di assegnazione degli ordini all’interno del turno
Il garante riassume bene le modalità operative con cui erano assegnati gli ordini, ed è opportuno riportarne il sunto.
“I trattamenti automatizzati sono effettuati dalla Società, in primo luogo, attraverso l’operatività del cosiddetto sistema di eccellenza e del sistema di assegnazione degli ordini, così come allo stato risultano configurati.
Il punteggio di eccellenza opera prendendo in considerazione quattro parametri, che hanno un peso diverso, in base alle diverse città in cui i rider svolgono la propria attività, negli ultimi 28 giorni di utilizzo della piattaforma, anche non consecutivi (c.d. periodo di riferimento). Il punteggio complessivo “ha un peso progressivo e crescente nel Periodo di riferimento (es. la prestazione più recente ha un punteggio più rilevante rispetto a quella di 28 giorni fa)”.
I parametri presi in considerazione dal sistema sono i seguenti: parametro “contributo” (indicato come “Sum Seniority Normalised”) che si riferisce al numero di ordini consegnati nel periodo di riferimento; parametro “no show” (“Sum No Show Normalised”) relativo al numero di volte in cui il rider ha prenotato uno slot, ma poi non ha effettuato il check-in (ciò tenuto conto che il rider può effettuare il check-in a partire dai 25 minuti prima dell’orario di inizio dello slot fino ai 10 minuti successivi; inoltre, la prenotazione può essere disdetta fino a un minuto prima dell’orario di inizio); parametro “customer rating” (“Sum Customer Rating Normalised”), relativo ai feedback ricevuti dal cliente; infine il parametro “slot ad alta domanda” (“Sum High Demand Normalised”) prende in considerazione il tempo in cui il rider effettua la prestazione nell’ambito di slot ad alta domanda che si verificano settimanalmente (trattasi di turni nel corso dei quali si registra normalmente un maggiore afflusso di ordini e ammontano a sei ore a settimana, che generalmente corrispondono a tre ore a cena il sabato e tre ore a cena la domenica).
Il punteggio assegnato automaticamente a ciascun rider, in base all’operatività dei parametri elaborati dalla piattaforma, consente di prenotare con priorità i turni di consegna (slot) stabiliti dalla Società e messi a disposizione, attraverso la piattaforma, due volte a settimana (lunedì e giovedì alle 16.00).
Il rider che ottiene un punteggio più alto accede, con priorità rispetto agli altri, alla assegnazione del turno di lavoro e ai relativi ordini, tenuto conto che alcuni turni consentono di ricevere un numero di ordini più alto (c.d. slot ad alta domanda).
Diversamente da quanto sostenuto dalla Società, i rider non possono liberamente prenotare, tra gli slot proposti, il turno di lavoro prescelto. All’esito dell’esame della documentazione presente in atti, emerge infatti che esistono slot saturati, cioè turni di consegna prenotati al 100%, nei quali la disponibilità da parte dei rider supera la richiesta della Società, il che rende impossibile l’accesso a determinati turni a coloro che ottengono un punteggio inferiore, nell’ambito del sistema di eccellenza, con conseguente riduzione delle occasioni di lavoro, maggiormente disponibili nei turni “ad alta domanda”.
Qui la violazione atteneva all’assenza di tutele per il lavoratore in termini di controllo umano: non c’era possibilità di reclamo con controllo umano sui risultati del processo decisionale automatizzato, in aperta violazione dell’articolo 22 del GDPR.
Altra violazione: i dati biometrici utilizzati senza idonea base giuridica
Tra le violazioni più significative quella relativa al “Trattamento di dati biometrici, in assenza delle condizioni di liceità previste dall’ordinamento (art. 5, par. 1, lett. a), 9, par. 2, lett. b, del Regolamento; art. 2-septies del Codice)”.
Il Garante riassume efficacemente la problematica.
“Con riferimento al trattamento dei dati biometrici (in particolare mediante riconoscimento facciale) dei rider, la Società ha precisato di avere iniziato il trattamento, in data 23 novembre 2020, “nell’ambito dei primi test relativi alla procedura di autenticazione” e di avere “smesso di utilizzare tale procedura di autenticazione e, di conseguenza, di raccogliere e trattare dati biometrici dei Corrieri a partire dal luglio 2022” (v. nota 27/12/2022, lett. s).
La Società ha successivamente precisato che il trattamento, interrotto a causa di “bug interni” in conseguenza dei quali si potevano realizzare “potenziali blocchi ingiustificati dei profili dei Corrieri”, è ripreso in alcune città, come Milano, “al fine di individuare eventuali malfunzionamenti” (v. nota 16/3/2023, lett. q); in particolare a inizio febbraio 2023 il test è stato attivato sul 3,28% dei Corrieri attivi in Italia, il 20 febbraio è stata estesa al 18,33% dei Corrieri attivi, il 27 febbraio è stato attivato su una percentuale minore pari al 15,55%, il 13 marzo il test è stato esteso al 32,61%””.
La lezione da trarre è che i dati biometrici dei lavoratori andrebbero trattati solo per l’aumento della sicurezza sul lavoro con studi chiari e puntuali a sostegno dell’impiego della biometria.
In questo caso Foodinho fa, ancora una volta, da “cavia” per altri titolari che vogliano comprendere bene cosa non fare; così il Garante.
“Con riguardo al caso di specie, si evidenzia che, allo stato, l’ordinamento vigente non consente il trattamento di dati biometrici dei lavoratori per finalità di identificazione degli stessi (effettuato dopo il primo riconoscimento e successivamente in modo casuale) al fine di scongiurare sostituzioni di persona nell’adempimento della prestazione, posto che tale trattamento non trova il proprio fondamento in una disposizione normativa che abbia le caratteristiche richieste dalla disciplina di protezione dei dati, anche in termini di proporzionalità dell’intervento regolatorio rispetto alle finalità che si intendono perseguire”.
Cessione dei dati a terze parti e geolocalizzazione dei rider e monitoraggio dei dipendenti
Per comodità espositiva è opportuno trattare queste tre violazioni – tutte gravi – in maniera unitaria.
Secondo il Garante Foodinho inviava i dati dei riders a soggetti terzi in violazione del GDPR e allo stesso modo operava geolocalizzazione illecita.
Effettuava, inoltre, controllo sull’attività dei rider in violazione degli articoli 5, paragrafo 1, lett. a) e 88 del Regolamento e dell’articolo 114 del Codice privacy.
Quest’ultima violazione è grave quanto banale; merita riportare il contenuto del provvedimento.
“All’esito degli accertamenti ispettivi, è emerso che la Società si avvale di prestazioni lavorative di rider che svolgono il servizio di consegna a domicilio di cibo e altri beni sulla base di un contratto standard predisposto dalla Società stessa. Lo schema di contratto, quanto alla durata, prevede che alla scadenza “il contratto si intenderà automaticamente rinnovato di anno in anno per un periodo di 12 mesi” (v. All. 2, verbale 16/12/2022).
Ai rider è attribuito un account per accedere alla piattaforma digitale attraverso la quale l’attività di consegna è organizzata e gestita.
Risulta accertato che, per lo svolgimento dell’attività dei rider, la Società, attraverso la piattaforma, raccoglie e memorizza sistematicamente la posizione geografica del corriere secondo le tempistiche di Google Maps (assai ravvicinate), anche quando il rider non è attivo nello slot.
Inoltre la Società raccoglie il dato di geolocalizzazione, anche quando l’app è in background e, fino al mese di agosto 2023, anche quando l’app non era attiva, in occasione dell’invio a terze parti che operano in qualità di responsabili per conto della Società stessa (v. par. 4.11. del presente provvedimento).
Nei sistemi dei responsabili del trattamento, i dati relativi alla posizione geografica del rider sono pertanto a disposizione del titolare che ha la concreta possibilità di utilizzarli. Ciò consente alla Società di trattare il dato relativo alla geolocalizzazione, anche quando il rider non sta svolgendo la propria attività lavorativa.
Sempre in occasione dell’invio a terze parti, la Società tratta, tra gli altri dati, anche quello relativo al comportamento dei rider nell’utilizzo dell’app.
Attraverso la piattaforma, inoltre, la Società raccoglie e memorizza sistematicamente un’ampia gamma di dati relativi all’esecuzione dell’ordine, tra cui le mappe dei percorsi effettuati, il tempo stimato e il tempo effettivo di consegna, lo storico degli ordini effettuati, rifiutati e riassegnati. Inoltre la stessa Società ha dichiarato di effettuare il “monitoraggio” degli account assegnati ai rider “finalizzato a rilevare potenziali utilizzi impropri della piattaforma”.
Sempre attraverso la piattaforma, è effettuata la profilazione del rider attraverso l’operatività del “punteggio di eccellenza”, preordinato ad assegnare priorità nella scelta dei turni di lavoro (slot).
Come già illustrato nel paragrafo dedicato all’analisi dei trattamenti automatizzati effettuati dalla Società i parametri che compongono il sistema di eccellenza sono volti ad assegnare maggior punteggio al rider che effettua un maggior numero di consegne (“Sum Seniority Normalised”), che prenota un maggior numero di slot ad alta domanda (“Sum High Demand Normalised”), che effettua il check in nello slot prenotato nei termini previsti (“Sum No Show Normalised”) e che non ottiene un cattivo feedback dai clienti (“Sum Customer Rating Normalised”).
Il sistema del “punteggio di eccellenza” è dunque configurato in modo tale da assegnare maggiori occasioni di lavoro a coloro che effettuano un maggior numero di consegne e dunque a incoraggiare la continuità nell’offerta della prestazione lavorativa tanto che, a conferma di ciò, il sistema riduce le occasioni di lavoro ai rider che non accettano la prestazione offerta (v. par. 4.5. del presente provvedimento).
Dunque non solo la Società assegna ai rider i turni di lavoro, ma l’assegnazione privilegia coloro che offrono maggiore disponibilità ad effettuare le consegne e in concreto ne effettuano un maggior numero.
La Società inoltre valuta la prestazione, attraverso l’operatività dei feedback dei clienti, ed effettua il blocco e la disconnessione dalla piattaforma, al verificarsi di occorrenze predeterminate, interrompendo la possibilità di effettuare la prestazione di lavoro da parte del rider, anche attraverso l’effettuazione di attività di “monitoraggio” da parte degli operatori del Team Ops, “finalizzato a rilevare potenziali utilizzi impropri della Piattaforma Glovo” (tra queste occorrenze è emerso che gli operatori hanno disconnesso dalla piattaforma anche a seguito di “bad rating” sulla prestazione del rider: All. 5, verbale ispettivo 28/2/2023, file result.csv). Alcune di queste occorrenze comportano invece automaticamente la disconnessione o il blocco dalla piattaforma o dallo slot prenotato (v. par. 4.5. del presente provvedimento)”.
Conclusioni
Il provvedimento Foodinho è un manuale di quasi tutte le possibili violazioni che una piattaforma può commettere nella gestione del personale; a occhio e croce manca solo la compliance per la sicurezza informatica per essere “al completo”.
Violazione degli obblighi di informativa, della privacy by design nelle T&C, erronea individuazione dei responsabili ex articolo 28 GDPR, violazione del principio di minimizzazione, geolocazlizzazione e rating illeciti dei lavoratori, trattamenti automatizzati senza controllo umano ai sensi dell’articolo 22 del GDPR: individuare le violazioni mancanti può essere un ottimo esercizio per i professionisti del settore.
Il provvedimento in esame si colloca, quindi, tra le milestones che aziende ed operatori devono avere bene a mente quando impostano un sistema di gestione della privacy con riferimento ai trattamento dei dipendenti.
Inutile dire che è un provvedimento “esemplare”, che commina una sanzione molto elevata anche per il clamore mediatico determinato dal caso che ha portato all’istruttoria: ed è anche giusto così.
Sia da monito per le piattaforme che fanno dello sfruttamento la propria parola d’ordine, per quanto camuffata da “collaborazione”.
