I wearable raccolgono dati eterogenei: posizione, movimenti, tempi di permanenza nelle aree, parametri fisiologici. Alcuni di questi, come frequenza cardiaca o temperatura corporea, sono dati relativi alla salute e rientrano nelle categorie particolari dell'art. 9 del GDPR, il cui trattamento è ammesso solo in presenza di specifiche condizioni.
L'architettura del sistema va progettata secondo il principio della protezione dei dati fin dalla progettazione. Alcune scelte concrete riducono molto l'impatto: elaborare i dati direttamente sul dispositivo e trasmettere solo l'allarme; non conservare lo storico individuale dei parametri fisiologici, ma solo eventi di allarme e statistiche aggregate per reparto; separare l'identità del lavoratore dai dati tramite codici, con accesso alla corrispondenza limitato a chi deve intervenire in emergenza; affidare al medico competente, e non ai capi reparto, l'eventuale accesso a dati sanitari individuali.
Il dispositivo può configurare uno strumento da cui deriva la possibilità di controllo a distanza dell'attività. Se serve esclusivamente a garantire la sicurezza, la finalità è legittima ma richiede comunque accordo sindacale o autorizzazione dell'Ispettorato. Il comma 2 dell'art. 4 dello Statuto, che esonera gli strumenti utilizzati per rendere la prestazione, non si applica in modo automatico a un sensore di prossimità o a un braccialetto fisiologico. Servono poi la valutazione d'impatto, l'informativa specifica e un regolamento interno che vieti l'uso dei dati per finalità disciplinari o di valutazione delle prestazioni.