L'articolo 41 della Costituzione prevede la libertà di iniziativa economica del datore di lavoro, purchè esercitata nel rispetto della libertà e dignità umana. Quindi, il datore di lavoro detta le regole per l'esecuzione e la disciplina del lavoro, che i lavoratori sono tenuti a rispettare pena l'irrogazione di sanzioni disciplinari. Di conseguenza il datore di lavoro ha il potere di controllare che l'attività lavorativa dei dipendenti sia eseguita conformemente alle direttive da lui impartite.
Tale potere ha però dei limiti. I limiti al potere di controllo del datore di lavoro derivano dal contrapposto diritto dei lavoratori al rispetto della loro riservatezza (anche in considerazione del fatto che parte significativa delle loro relazioni si sviluppano in quell’ambiente), della dignità personale, della libertà di espressione e di comunicazione. Da qui l'esigenza del contemperamento dei diritti contrapposti, e quindi della regolamentazione dei poteri del datore di lavoro, la cui disciplina è principalmente prevista dallo Statuto dei Lavoratori.
La normativa prevede un rigoroso divieto dei controlli lesivi dei diritti inviolabili e il tendenziale sfavore per ogni tipo di controllo occulto, divieto attenuato però in presenza di determinate condizioni.
Con la modernizzazione delle tecniche lavorative e lo sviluppo tecnologico, è ormai possibile l'implementazione di controlli a distanza, estremamente penetranti, nei confronti dei lavoratori, e che possono spingersi fino alla verifica dell’adeguatezza della stessa prestazione lavorativa. Si è reso quindi necessario aggiornare le regole volte alla tutela del lavoratore, contemperando nel frattempo il diritto del datore di lavoro alla tutela dei beni aziendali.
Principi da rispettare
Il datore di lavoro nell'effettuare i controlli sui lavoratori è obbligato a rispettare i principi in materia di tutela dei dati personali:
- principio di necessità: il controllo deve risultare necessario o indispensabile rispetto ad uno scopo determinato ed avere il carattere dell’eccezionalità, limitato nel tempo e nell'oggetto, mirato e mai massivo;
- principio di finalità: il controllo deve essere finalizzato a garantire la sicurezza o la continuità aziendale, o a prevenire e reprimere illeciti;
- principio di trasparenza: il datore di lavoro deve informare preventivamente i dipendenti sui limiti di utilizzo degli strumenti e delle sanzioni previste nel caso di violazione di tali limiti;
- principio di proporzionalità: il datore di lavoro deve adottare forme di controllo strettamente proporzionate e non eccedenti lo scopo della verifica;
- principio di sicurezza: i dati raccolti devono essere protetti in modo adeguato.
Quindi, nel trattare dati dei dipendenti, il datore di lavoro deve tenere ben presenti i diritti fondamentali dei lavoratori, e individuare correttamente la base giuridica di tale trattamento:
- adempimento di obblighi derivanti da un contratto di lavoro;
- adempimento di obblighi previsti dalla legge;
- legittimo interesse del datore di lavoro (nel qual caso occorre valutare preventivamente se il trattamento è necessario e proporzionato per il perseguimento di una legittima finalità, redigendo eventualmente la valutazione di impatto, e il datore è sempre tenuto ad assicurare ai dipendenti il diritto di opporsi al trattamento).
Regolamentazione europea
L'art. 88 del Regolamento europeo stabilisce una riserva di legge a favore degli Stati nazionali, i quali possono emanare regole particolari atte a garantire la protezione dei diritti e delle libertà dei dipendenti durante i trattamenti dei dati personali nel contesto del rapporto di lavoro. Questo può avvenire tramite accordi collettivi o disposizioni legislative. Il GDPR prevede, quindi, che le attività di controllo del lavoratore siano svolte in un contesto di trasparenza e di adeguata protezione dei dati personali.
Il controllo del datore di lavoro, e in genere il trattamento di dati del lavoratore, può, infatti, avvenire in una molteplicità di fasi: valutazione candidati e assunzione, valutazione delle prestazioni lavorative, pianificazione ed organizzazione della prestazione lavorativa, salute e sicurezza dell'ambiente di lavoro, protezione dei beni del dipendente, conclusione del rapporto di lavoro.
Regolamentazione nazionale
In Italia la regolamentazione in materia è dettata dal D. Lgs n. 151 del 14 settembre del 2015 (Jobs Act) che ha riscritto l’art. 4 dello Statuto dei Lavoratori, la quale ovviamente va coordinata con la normativa in materia di protezione dei dati personali. La revisione della disciplina dei controlli sui lavoratori ha tenuto conto dell'evoluzione tecnologica e delle esigenze produttive e organizzative dell'impresa.
1) Con la riforma è stato eliminato il divieto generale di utilizzo di impianti e strumenti audiovisivi dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori (es. videosorveglianza). Tali strumenti, però, possono essere impiegati solo se sussistono specifiche garanzie procedurali:
- sussistono determinare finalità (esigenze organizzative e produttive, sicurezza sul lavoro e tutela del patrimonio aziendale);
- sono stati installati col previo accordo collettivo stipulato con le rappresentanze sindacali o, in mancanza, previa autorizzazione amministrativa dell’Ispettorato del lavoro (INL, Direzione territoriale del lavoro, qui il modulo per la richiesta di autorizzazione all'installazione di impianti di videosorveglianza).
Tali accordi non possono essere sostituiti dal consenso dei lavoratori (Corte di cassazione, sez. III penale, sentenza 17 gennaio 2020, n. 1733) dato lo squilibrio esistente tra datore e lavoratore.
2) Il secondo comma dell'articolo 4 prevede che le garanzie non si applicano agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa (es. smartphone, tablet, personal computer), e agli strumenti di registrazione degli accessi e delle presenze. In tali casi l'installazione non richiede alcun accordo sindacale. L’eccezione è limitata agli strumenti che “immediatamente servono al lavoratore per adempiere alle mansioni assegnate”. Come si può notare la distinzione sta nel fatto che lo strumento sia qualificabile come strumento per rendere la prestazione lavorativa. In tal senso l'INL con la circolare 7 novembre 2016, n. 2, ha precisato che possono essere considerati strumenti di lavoro “gli apparecchi, dispositivi, apparati e congegni che costituiscono il mezzo indispensabile al lavoratore per adempiere la prestazione lavorativa dedotta in contratto, e che per tale finalità siano stati posti in uso e messi a sua disposizione”. Il Ministero del Lavoro, con nota del 18 giugno 2015, ha stabilito che nel momento in cui lo strumento viene modificato (ad esempio, con l’aggiunta di software di localizzazione), non si considera più rientrante nella categoria. La definizione è comunque foriera di dubbi. Ad esempio, il GPS installato sull’auto aziendale potrebbe essere considerato servente rispetto alle mansioni assegnate (nel caso in cui il datore di lavoro utilizza il GPS per stabilire quale team è più vicino al luogo dove occorre l’intervento) ma nel contempo potrebbe essere utilizzato per controllare il lavoratore stesso (dal GPS si può ricavare che il team è fuori zona senza giustificazione).
3) Infine, il comma 3 stabilisce che le informazioni raccolte tramite gli strumenti di cui al comma 1 e 2, sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che al lavoratore sia data adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli (in tale ottica l'identità degli eventuali amministratori di sistema deve essere portata a conoscenza dei lavoratori, se trattano dati dei lavoratori). Ovviamente per “fini” si intendono ricompresi anche i fini tipicamente disciplinari.
In assenza di accordo sindacale o autorizzazione amministrativa, l'installazione di impianti di videosorveglianza costituisce reato, sulla base della disposizione incriminatrice di cui all'art. 15 del d. lgs. 101/2018, integrata dalla violazione dell'art. 4, comma 1, l. 300/1970). La Cassazione ha però precisato che la presenza di lavoratori nel luogo ripreso dagli impianti di videosorveglianza è requisito imprescindibile per la configurabilità del reato in contestazione. Inoltre non c'è violazione della disciplina suddetta quando l'impianto da cui derivi la possibilità di controllo a distanza dell'attività dei lavoratori sia utilizzato esclusivamente per consentire l'accertamento di gravi condotte illecite degli stessi.
In caso di modifica della titolarità dell'impresa non è necessario procedere ad una nuova autorizzazione, ma è sufficiente una comunicazione dei nuovi assetti proprietari, purché ovviamente l'impianto di sorveglianza non sia stato modificato nella struttura o nella finalità (INL nota 1881 del 15 febbraio 2019). L'utilizzo di sistemi di monitoraggio in assenza dell'accordo sindacale configura un vero e proprio reato (artt. 4 e 38 D.Lgs 300 del 1970).
Al fine di ridurre gli oneri burocratici, per le imprese con più sedi dislocate sul territorio oggi è possibile ricorrere alle associazioni sindacali comparativamente più rappresentative, e in seconda battuta al Ministero del Lavoro, invece di dover trovare accordi con ogni singola rappresentanza sindacale. E' importante tenere presente che l'accordo sindacale o l'autorizzazione amministrativa devono precedere l'installazione dell'impianto, non solo la messa in funzione (Cass. Penale n. 4331/2014), per cui se l'impianto è installato prima dell'accordo si è in violazione delle norme (art. 38 L. 300/1970), anche nel caso in cui i dipendenti siano stati correttamente informati. Il divieto di installazione di telecamere in assenza di accordo vale, quindi, anche per le telecamere "finte", montate al solo scopo dissuasivo e che non registrano dati.
Il Ministero del Lavoro ha chiarito che, in base al principio di trasparenza, occorre informare i lavoratori circa l'esistenza e le modalità d'uso degli strumenti di controllo, con riferimento alla finalità e alle modalità del trattamento dei dati, alla natura obbligatoria e facoltativa del conferimento dei dati, alle conseguenze di un eventuale rifiuto, ai soggetti cui tali dati possono essere comunicati e ai responsabili aziendali del trattamento dei dati, nonchè dei diritti dei lavoratori. In caso contrario i dati non possono essere utilizzati a nessun fine.
Nuovi obblighi sono stati introdotti dal "decreto trasparenza" entrato in vigore il 13 agosto del 2022. In particolare obblighi informativi relativi all'utilizzo di sistemi di monitoraggio automatizzati, obblighi informativa verso le rappresentanze sindacali e obbligo di valutazione di impatto del trattamento.
Mail aziendale e metadati/log
Secondo la Corte Europea dei Diritti dell’Uomo (sentenza 5 settembre 2017) il controllo delle email dei dipendenti (le email aziendali) è sempre un’illegittima intrusione nella privacy e una violazione del diritto alla vita privata e alla corrispondenza. Tuttavia se il dipendente è informato del possibile controllo e con alcuni vincoli, l’azienda può accedere e leggere la posta elettronica aziendale dei suoi lavoratori. Occorre però rispettare i seguenti requisiti:
- il lavoratore deve essere avvisato prima del controllo;
- la possibilità di accedere alla posta elettronica aziendale deve essere previsto nel contratto di lavoro o riportato sul regolamento aziendale;
- deve essere specificato come e perché si può eseguire il controllo della posta elettronica aziendale;
- il controllo delle email non può superare i limiti imposti dalla finalità del trattamento;
- possono essere lette solo le mail attinenti l’attività aziendale e non quelle con account aziendale ma di natura privata;
- il datore deve consentire la “tracciabilità dei controlli”, in modo da rendere chiaro quanti e quali email sono state monitorate, per quanto tempo, e quante persone h avuto accesso ai risultati della sorveglianza.
In tema di mail e metadati il recente provvedimento del Garante (6 giugno 2024) fa chiarezza su alcuni punti. Il contenuto dei messaggi di posta elettronica, come anche i dati delle comunicazioni e i file allegati, riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente (artt. 2 e 15 Cost.). Questo vuol dire che, anche nel contesto lavorativo pubblico e privato, sussiste una legittima aspettativa di riservatezza in relazione ai messaggi oggetto di corrispondenza.
Per cui l'impiego di programmi per la gestione dei messaggi di posta elettronica, dando luogo ad un trattamento di dati personali riferibili ai dipendenti dell'azienda, deve essere necessariamente compiuto in presenza di un idoneo presupposto di liceità. In particolare dovrà sempre essere verificata la sussistenza dei presupposti di liceità di cui all'art. 4 dello Statuto dei Lavoratori (richiamato dall'art. 114 del Codice Privacy), nonché il rispetto delle diposizioni che vietano al datore di lavoro di acquisire e comunque trattare informazioni non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore o comunque afferenti alla sua sfera privata (art. 8 della l. 20 maggio 1970, n. 300 e art. 10 d.lgs. 10 settembre 2003, n. 276, cui fa rinvio l’art. 113 del Codice). Gli artt. 113 e 114 del Codice sono infatti considerati, nell’ordinamento italiano, disposizioni più specifiche e di maggiore garanzia di cui all’art. 88 del Regolamento.
Il datore di lavoro, inoltre, dovrà fornire l'adeguata informazione ai dipendenti, e verificare la necessità di una valutazione del rischio in presenza di trattamenti particolari.
L’art. 4, comma 1, l. 20 maggio 1970, n. 300, individua tassativamente le finalità (ovvero quelle organizzative, produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale) per le quali gli strumenti, dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere impiegati nel contesto lavorativo, stabilendo precise garanzie procedurali (accordo sindacale o autorizzazione pubblica). Come già detto queste garanzie non trovano applicazione “agli strumenti di registrazione degli accessi e delle presenze”, così come “agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa”.
Il provvedimento del Garante sopra richiamato, quindi, stabilisce che affinché sia applicabile il comma 2 (e quindi non occorra l'accordo sindacale) all’attività di raccolta e conservazione dei soli metadati/log necessari ad assicurare il funzionamento delle infrastrutture del sistema della posta elettronica, questa attività deve essere limitata a pochi giorni, orientativamente non dovrebbe superare i 21 giorni. L’eventuale conservazione per un termine ancora più ampio potrà essere effettuata solo in presenza di particolari condizioni che ne rendano necessaria l’estensione, comprovando adeguatamente le specificità della realtà tecnica e organizzativa del titolare. Spetta in ogni caso al titolare adottare tutte le misure tecniche ed organizzative per assicurare il rispetto del principio di limitazione della finalità, l’accessibilità selettiva da parte dei soli soggetti autorizzati e adeguatamente istruiti e la tracciatura degli accessi effettuati.
Una attività per un tempo superiore potrebbe, invece, essere considerata un controllo a distanza dell'attività dei lavoratori, e quindi richiedere le garanzie procedurali di cui al comma 1 dell'art. 4.
Il provvedimento ha anche precisato che i metadati sono le informazioni registrate automaticamente dai sistemi di posta elettronica, indipendentemente dalla percezione e dalla volontà dell’utilizzatore. Che non vanno confusi con le informazioni contenute nei messaggi di posta elettronica o nell’“envelope”. “Le informazioni contenute nell’envelope, ancorché corrispondenti a metadati registrati automaticamente nei log dei servizi di posta, sono inscindibili dal messaggio di cui fanno parte integrante e che rimane sotto l’esclusivo controllo dell’utente (sia esso il mittente o il destinatario dei messaggi)”.
Il Garante ha anche precisato (provv. 13 luglio 2016) che il controllo non può essere indiscriminato e massivo, bensì graduale in modo che i controlli più invasivi siano utilizzati solo in caso di individuazione di specifiche anomali, come la rilevata presenza di virus. Inoltre è sempre necessario fornire ai dipendenti un'idonea informativa privacy.
Dati sanitari
Il datore di lavoro può trattare dati sanitari e in genere dati ex art. 9 GDPR, ma dovrà osservare particolari cautele per queste categorie di dati. Il lavoratore, ad esempio, in caso di assenza per malattia, consegnerà al datore di lavoro un attestato con la sola indicazione del periodo di durata presunta dell'infermità, e un certificato di diagnosi da consegnare all'INPS se il lavoratore ha diritto ad indennità. Qualora dovessero essere presentati certificati medici, il datore resta obbligato ad adottare misure volte a prevenire la ricezione dei dati ulteriori.
Lavoro a domicilio e BYOD
Oggi è sempre più frequente che almeno parte del lavoro venga svolto a domicilio (smartworking), cosa che però può rappresentare un rischio addizionale per il datore di lavoro.
Questa modalità di lavoro spesso si accompagna all'uso autorizzato dei propri dispositivi da parte del dipendente (BYOD=bring your own device), In questi casi il rischio è aumentato, perché il datore di lavoro deve autorizzare l'accesso alla rete informativa aziendale, e il dipendente può archiviare dati aziendali sul proprio dispositivo. Ciò comporta il rischio che in caso di licenziamento del dipendente sia più complicato recuperare i dati contenuti sul dispositivo, come pure il rischio di perdita dei dati in caso di smarrimento o furto del dispositivo. Non solo, potrebbero sorgere problemi anche nel caso di malfunzionamenti del dispositivo, se il dipendente lo porta in riparazione presso un'azienda che, in teoria, potrebbe estrarre i dati aziendali dal dispositivo.
Linee guida
Le linee guida del Garante per posta elettronica ed Internet precisano gli elementi oggetto dell'informativa preventiva. Il provvedimento in materia di videosorveglianza detta le regole per tali sistemi, obbligando il datore di lavoro all'adeguata segnalazione dei luoghi videosorvegliati, alla conservazione limitata dei dati (di regola 24 ore), nonchè a permette l'accesso ai dati ai lavoratori.
Utilizzo delle riprese in giudizio
La Corte di Cassazione (sentenza n. 4367/2018) ha stabilito che sono utilizzabili in sede giudiziale le riprese effettuate con telecamere all'interno del luogo di lavoro. Le immagini servono al datore di lavoro per esercitare un controllo sul patrimonio aziendale messo a rischio da possibili comportamenti infedeli dei dipendenti, e le norme dello Statuto dei lavoratori poste a presidio della loro riservatezza non fanno divieto dei cosiddetti controlli difensivi del patrimonio aziendale. Per cui non esiste alcun divieto di utilizzo di tali riprese quali prove in un processo penale.
Lavoratori domestici
L'Ispettorato Nazionale del Lavoro (circolare dell'8 febbraio 2017) ha chiarito che i limiti e i divieti di cui all'art. 4 dello Statuto dei lavoratori non si applicano al lavoro domestico, per cui un privato che installa telecamere all'interno della sua casa non avrà dette limitazioni nel caso si avvalga di lavoratori come colf, badanti, ecc... Ovviamente dovrà sempre fornire l'inforamtiva e informare della presenza delle telecamere.
Casi pratici
Il WP29 ha individuato una serie di trattamenti basati sui legittimi interessi, che possono presentare rischi:
1) Trattamento dei dati dei candidati pubblicati sui social network.
Un problema noto riguarda la possibilità di utilizzare, ai fini dell'assunzione di lavoratori, informazioni pubbliche, quali quelle estratte dai profili dei social network. L'accesso, e quindi l'estrazione di dati dai profili deve comunque essere giustificato da una base legale, i dati possono essere trattati solo se i profili sono utilizzati per finalità lavorative, inoltre il candidato deve essere informato del controllo anche tramite indicazione nell'annuncio di lavoro.
2) Trattamento dei dati dei lavoratori pubblicati sui social network.
Tale controllo potrebbe rendersi utile, ad esempio, se il datore di lavoro ha inserito clausole di non concorrenza precisando che effettuerà controlli sul rispetto delle dette clausole anche accedendo ai profili social. I dati possono essere trattati solo se i profili sono utilizzati per finalità lavorative e se non vi sono altre modalità per la finalità del trattamento.
3) Mobile Device Management: occorre una valutazione di impatto al fine di verificare la necessità del trattamento rispetto alla finalità, e i dipendenti devono essere adeguatamente informati del controllo;
4) Wearable Devices: i dati raccolti da strumenti di monitoraggio dell'attività fisica della persona possono essere trattati solo dagli interessati ed eventualmente dal fornitore del servizio, ma non da parte del datore di lavoro;
5) Rilevazione della presenza dei lavoratori: alcuni strumenti possono comportare l'indiretto monitoraggio della presenza e dell'attività dei lavoratori sul luogo di lavoro, tali trattamenti sono legittimi in quanto finalizzati a tutelare la perdita o la sottrazione di informazioni aziendali riservate, occorre però adeguata informativa;
6) Trattamenti di dati mediante sistemi di videosorveglianza: il video monitoraggio dei lavoratori è considerato illecito in quanto sproporzionato rispetto alla tutela dei diritti degli interessati, quindi un sistema di videosorveglianza può essere utilizzato solo per la salvaguardia del patrimonio aziendale, per la sicurezza dei lavoratori e per esigenze organizzative. Ovviamente occorre l'accordo sindacale.
7) Geolocalizzazione dei veicoli: Il trattamento dei dati di geolocalizzazione dei veicoli aziendali è legittimo per la tutela della sicurezza dei veicoli e dei lavoratori, o anche per la pianificazione in tempo reale dell'attività lavorativa. Illecita è la geolocalizzazione nel caso in cui i veicoli aziendali possano essere usati anche per finalità private. Il dipendente deve poter disabilitare il monitoraggio nel momento in cui svolge un'attività di natura personale con l'auto aziendale (questo nell'ambito di un servizio di comodato previsto da molti contratti di lavoro). Quindi è utile applicare un'informativa all'intero del veicolo, ben leggibile, che ricordi al dipendente l'esistenza del dispositivo di monitoraggio e le modalità di blocco temporaneo. Occorre l'accordo sindacale.
8) Trasferimento dei dati personali dei lavoratori a terzi: il trasferimento dei dati agli utenti finali è ammesso solo se fondato su un legittimo interesse del titolare, nel caso in cui siano comunicati tra società del medesimo gruppo si richiamano i principi previsti dal GDPR.
---------------------
Contattami per una consulenza su questo argomento.
