Source: https://www.laleggepertutti.it/176020_il-datore-di-lavoro-puo-leggere-le-mail-dei-dipendenti
Timestamp: 2019-07-24 08:22:36+00:00
Document Index: 22432963

Matched Legal Cases: ['art. 13', 'art. 2087', 'art. 2', 'art. 47', 'art. 3', 'art. 11', 'art. 11', 'art. 4', 'art. 7', 'art. 34', 'art. 13', 'art. 4', 'art. 11', 'art. 4', 'art. 11', 'art. 4', 'art. 8', 'art. 616', 'art. 49', 'art. 11', 'art. 4', 'art. 24', 'art. 24', 'art. 26', 'art. 7']

Il datore di lavoro può leggere le mail dei dipendenti?
> Diritto e Fisco Pubblicato il 21 Settembre 2017
I controlli aziendali sui dipendenti: fin dove il capo può leggere e spiare la posta elettrica dei lavoratori dipendenti?
Se sei solito condividere opinioni e informazioni riservate con i tuoi colleghi di lavoro o con terzi, attraverso l’invio di messaggi di posta elettronica dal computer di lavoro, è molto probabile che ti sia chiesto, almeno una volta, se il datore di lavoro può leggere le mail dei dipendenti. Magari hai allegato un file o una foto di contenuto riservato e personale, hai riportato commenti sulla gestione dell’azienda o hai criticato le scelte dell’ufficio personale su stipendi e mansioni. Se poi le tue considerazioni si sono spinte ai limiti della diffamazione è chiaro che la tua curiosità si trasforma in una vera e propria preoccupazione (le offese al datore possono infatti costare, nei casi più gravi, il licenziamento). Certo: sai bene che gli strumenti tecnologici moderni consentono a chiunque di mettere mano sul tuo computer o semplicemente sulla tastiera, di sapere in tempo reale cosa stai digitando, dove navighi e a chi scrivi le email. Ma, una cosa è la tecnica, un’altra la legge. Se dovessi scoprire la “magagna” ai tuoi danni, cosa potresti fare? Cosa prevede la legge?
Prima di chiarire se il datore di lavoro può leggere le mail dei dipendenti dobbiamo ricordare che, due anni fa, il cosiddetto Job Act ha cambiato, in parte, le regole sui controlli a distanza dei dipendenti: regole che un tempo, per qualsiasi strumento di sorveglianza (telecamere, vigilanti, badge per il controllo presenze, ecc.), richiedevano il previo accordo con i sindacati o con la direzione del lavoro e che oggi, invece, sono diventate meno rigorose. In particolare, la riforma ha toccato proprio i cosiddetti strumenti di proprietà dell’azienda dati in uso ai dipendenti per lo svolgimento delle rispettive mansioni. Tra questi ci sono i cellulari, i tablet e, appunto, i computer con un account email. Anche i gps montati sull’auto di servizio rientrano in questo elenco. In buona sostanza, in base alla riforma, oggi il datore di lavoro può controllare le email dei lavoratori anche se non ne ha mai informato di ciò i sindacati e, quindi, a prescindere dall’autorizzazione degli stessi. Tuttavia, questa possibilità è soggetta a una ferrea condizione: l’azienda deve prima informare i dipendenti della possibilità di controlli sulla posta elettronica, delle finalità e delle modalità con cui i suddetti controlli vengono eseguiti. Il tutto deve essere ben noto al personale tramite affissioni sul luogo di lavoro o con indicazione nel regolamento aziendale o nel contratto di lavoro. Se invece il controllo delle email avviene di nascosto e senza previa informativa non solo è illegittimo – e quindi le prove eventualmente acquisite contro il dipendente sono inutilizzabili ai fini di un’eventuale sanzione disciplinare – ma costituisce anche reato. In termini spiccioli, il dipendente, senza timore di perdere il posto, può denunciare il capo per violazione della privacy.
Leggi: Come controllare i propri dipendenti? Attenzione: la possibilità di un controllo è strettamente limitata alla mail aziendale e, quindi, al computer dato in dotazione dal datore. Se invece il dipendente dovesse portare da casa il proprio tablet o il portatile personale o dovesse usare la propria mail personale sul computer di ufficio, il discorso sarebbe completamente diverso e, in tal caso, qualsiasi tipo di controllo, anche se previamente comunicato, resterebbe sempre vietato e, anzi, punito penalmente.
Sulla questione è intervenuta anche la Corte europea dei diritti dell’Uomo (leggi Controllare la mail dei dipendenti è violazione della privacy) che ha confermato quanto appena detto: il controllo del datore di lavoro sulla mail dei dipendenti è vietato perché viola la privacy a condizione se non è stato previamente comunicato.
Sulla possibilità di un controllo delle email dei dipendenti da parte dell’azienda è intervenuto anche il Garante della Privacy con apposite linee guida del 2007 che alleghiamo qui di seguito. I principi chiariti dall’Authority sono così sintetizzabili. Il datore di lavoro deve:
informare preventivamente i lavoratori in modo chiaro sulle modalità di utilizzo della posta elettronica e su eventuali controlli da lui effettuati. L’informazione varia in base al genere ed alla complessità delle attività svolte o alle dimensioni aziendali; ad esempio l’obbligo può essere adempiuto tramite l’adozione di un disciplinare interno da pubblicizzare adeguatamente (tramite la rete interna, o con affissioni sui luoghi di lavoro) e da aggiornare periodicamente. Il datore di lavoro deve, inoltre, osservare gli obblighi di informazione, concertazione e consultazione delle organizzazioni sindacali;
adottare gli accorgimenti per la conservazione ed il trattamento dei dati ricavabili a seguito dell’utilizzo di tali tecnologie;
adottare misure di tipo organizzativo (ad esempio può mettere a disposizione indirizzi condivisi tra più lavoratori e attribuirne uno diverso al lavoratore per uso privato; in caso di assenza del lavoratore può utilizzare messaggi di risposta automatica; può inserire nei messaggi un avvertimento ai destinatari nel quale sia dichiarata l’eventuale natura non personale del messaggio e sia specificato se le risposte potranno essere conosciute nell’organizzazione di appartenenza del mittente).
L’azienda può controllare l’uso della posta elettronica dei lavoratori solo se sono rispettati i principi di pertinenza e di non eccedenza. In assenza di successive anomalie non è di regola giustificato effettuare controlli su base individuale. Va esclusa l’ammissibilità di controlli prolungati, costanti o indiscriminati. Sono ammessi, invece, dei controlli anonimi che possono concludersi con un avviso generalizzato relativo ad un rilevato utilizzo anomalo degli strumenti aziendali e con l’invito ad attenersi scrupolosamente a compiti assegnati e istruzioni impartite. L’avviso può essere circoscritto a dipendenti appartenenti all’area o al settore in cui è stata rilevata l’anomalia.
1 1. Utilizzo della posta elettronica e della rete Internet nel rapporto di lavoro
1.1 1.1. Premessa
1.2 1.2. Tutela del lavoratore
2 2. Codice in materia di protezione dei dati e discipline di settore
2.1 2.1. Principi generali
2.2 2.2. Discipline di settore
2.3 2.3. Principi del Codice
3 3. Controlli e correttezza nel trattamento
3.1 3.1. Disciplina interna
3.2 3.2. Linee guida
3.3 3.3. Informativa (art. 13 del Codice)
4 4. Apparecchiature preordinate al controllo a distanza
5 5. Programmi che consentono controlli “indiretti”
5.1 5.1.
5.2 5.2. Principio di necessità
6 6. Pertinenza e non eccedenza
6.1 6.1. Graduazione dei controlli
6.2 6.2. Conservazione
7 7. Presupposti di liceità del trattamento: bilanciamento di interessi
7.1 7.1. Datori di lavoro privati
7.2 7.2. Datori di lavoro pubblici
Dall’esame di diversi reclami, segnalazioni e quesiti è emersa l’esigenza di prescrivere ai datori di lavoro alcune misure, necessarie o opportune, per conformare alle disposizioni vigenti il trattamento di dati personali effettuato per verificare il corretto utilizzo nel rapporto di lavoro della posta elettronica e della rete Internet.
a) compete ai datori di lavoro assicurare la funzionalità e il corretto impiego di tali mezzi da parte dei lavoratori, definendone le modalità d’uso nell’organizzazione dell’attività lavorativa, tenendo conto della disciplina in tema di diritti e relazioni sindacali;
b) spetta ad essi adottare idonee misure di sicurezza per assicurare la disponibilità e l’integrità di sistemi informativi e di dati, anche per prevenire utilizzi indebiti che possono essere fonte di responsabilità (artt. 15, 31 ss., 167 e 169 del Codice);
c) emerge l’esigenza di tutelare i lavoratori interessati anche perché l’utilizzazione dei predetti mezzi, già ampiamente diffusi nel contesto lavorativo, è destinata ad un rapido incremento in numerose attività svolte anche fuori della sede lavorativa;
d) l’utilizzo di Internet da parte dei lavoratori può infatti formare oggetto di analisi, profilazione e integrale ricostruzione mediante elaborazione di log file della navigazione web ottenuti, ad esempio, da un proxy server o da un altro strumento di registrazione delle informazioni. I servizi di posta elettronica sono parimenti suscettibili (anche attraverso la tenuta di log file di traffico e-mail e l’archiviazione di messaggi) di controlli che possono giungere fino alla conoscenza da parte del datore di lavoro (titolare del trattamento) del contenuto della corrispondenza;
e) le informazioni così trattate contengono dati personali anche sensibili riguardanti lavoratori o terzi, identificati o identificabili.
Le informazioni di carattere personale trattate possono riguardare, oltre all’attività lavorativa, la sfera personale e la vita privata di lavoratori e di terzi. La linea di confine tra questi ambiti, come affermato dalla Corte europea dei diritti dell’uomo, può essere tracciata a volte solo con difficoltà.
Il luogo di lavoro è una formazione sociale nella quale va assicurata la tutela dei diritti, delle libertà fondamentali e della dignità degli interessati garantendo che, in una cornice di reciproci diritti e doveri, sia assicurata l’esplicazione della personalità del lavoratore e una ragionevole protezione della sua sfera di riservatezza nelle relazioni personali e professionali (artt. 2 e 41, secondo comma, Cost.; art. 2087 cod. civ.; cfr. altresì l’art. 2, comma 5, Codice dell’amministrazione digitale (d.lg. 7 marzo 2005, n. 82), riguardo al diritto ad ottenere che il trattamento dei dati effettuato mediante l’uso di tecnologie telematiche sia conformato al rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell’interessato).
Non a caso, nell’organizzare l’attività lavorativa e gli strumenti utilizzati, diversi datori di lavoro hanno prefigurato modalità d’uso che, tenendo conto del crescente lavoro in rete e di nuove tariffe di traffico forfettarie, assegnano aree di lavoro riservate per appunti strettamente personali, ovvero consentono usi moderati di strumenti per finalità private.
Nell’impartire le seguenti prescrizioni il Garante tiene conto del diritto alla protezione dei dati personali, della necessità che il trattamento sia disciplinato assicurando un elevato livello di tutela delle persone, nonché dei principi di semplificazione, armonizzazione ed efficacia (artt. 1 e 2 del Codice). Le prescrizioni potranno essere aggiornate alla luce dell’esperienza e dell’innovazione tecnologica.
Alcune disposizioni di settore, fatte salve dal Codice, prevedono specifici divieti o limiti, come quelli posti dallo Statuto dei lavoratori sul controllo a distanza (artt. 113, 114 e 184, comma 3, del Codice; artt. 4 e 8 l. 20 maggio 1970, n. 300).
La disciplina di protezione dei dati va coordinata con regole di settore riguardanti il rapporto di lavoro e il connesso utilizzo di tecnologie, nelle quali è fatta salva o richiamata espressamente (art. 47, comma 3, lett. b) Codice dell’amministrazione digitale).
I trattamenti devono rispettare le garanzie in materia di protezione dei dati e svolgersi nell’osservanza di alcuni cogenti principi:
a) il principio di necessità, secondo cui i sistemi informativi e i programmi informatici devono essere configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi in relazione alle finalità perseguite (art. 3 del Codice; par. 5.2);
b) il principio di correttezza, secondo cui le caratteristiche essenziali dei trattamenti devono essere rese note ai lavoratori (art. 11, comma 1, lett. a), del Codice). Le tecnologie dell’informazione (in modo più marcato rispetto ad apparecchiature tradizionali) permettono di svolgere trattamenti ulteriori rispetto a quelli connessi ordinariamente all’attività lavorativa. Ciò, all’insaputa o senza la piena consapevolezza dei lavoratori, considerate anche le potenziali applicazioni di regola non adeguatamente conosciute dagli interessati (v. par. 3);
c) i trattamenti devono essere effettuati per finalità determinate, esplicite e legittime (art. 11, comma 1, lett. b), del Codice: par. 4 e 5), osservando il principio di pertinenza e non eccedenza (par. 6). Il datore di lavoro deve trattare i dati “nella misura meno invasiva possibile”; le attività di monitoraggio devono essere svolte solo da soggetti preposti (par. 8) ed essere “mirate sull’area di rischio, tenendo conto della normativa sulla protezione dei dati e, se pertinente, del principio di segretezza della corrispondenza” (Parere n. 8/2001, cit., punti 5 e 12).
In base al richiamato principio di correttezza, l’eventuale trattamento deve essere ispirato ad un canone di trasparenza, come prevede anche la disciplina di settore (art. 4, secondo comma, Statuto dei lavoratori;allegato VII, par. 3 d.lg. n. 626/1994 e successive integrazioni e modificazioni in materia di “uso di attrezzature munite di videoterminali”, il quale esclude la possibilità del controllo informatico “all’insaputa dei lavoratori”).
Grava quindi sul datore di lavoro l’onere di indicare in ogni caso, chiaramente e in modo particolareggiato, quali siano le modalità di utilizzo degli strumenti messi a disposizione ritenute corrette e se, in che misura e con quali modalità vengano effettuati controlli. Ciò, tenendo conto della pertinente disciplina applicabile in tema di informazione, concertazione e consultazione delle organizzazioni sindacali.
In questo quadro, può risultare opportuno adottare un disciplinare interno redatto in modo chiaro e senza formule generiche, da pubblicizzare adeguatamente (verso i singoli lavoratori, nella rete interna, mediante affissioni sui luoghi di lavoro con modalità analoghe a quelle previste dall’art. 7 dello Statuto dei lavoratori, ecc.) e da sottoporre ad aggiornamento periodico.
se determinati comportamenti non sono tollerati rispetto alla “navigazione” in Internet (ad es., il download di software o di file musicali), oppure alla tenuta di file nella rete interna;
in quale misura è consentito utilizzare anche per ragioni personali servizi di posta elettronica o di rete, anche solo da determinate postazioni di lavoro o caselle oppure ricorrendo a sistemi di webmail, indicandone le modalità e l’arco temporale di utilizzo (ad es., fuori dall’orario di lavoro o durante le pause, o consentendone un uso moderato anche nel tempo di lavoro);
se e quali informazioni sono eventualmente conservate per un periodo più lungo, in forma centralizzata o meno (anche per effetto di copie di back up, della gestione tecnica della rete o di file di log);
se sono utilizzabili modalità di uso personale di mezzi con pagamento o fatturazione a carico dell’interessato;
quali misure sono adottate per particolari realtà lavorative nelle quali debba essere rispettato l’eventuale segreto professionale cui siano tenute specifiche figure professionali;
le prescrizioni interne sulla sicurezza dei dati e dei sistemi (art. 34 del Codice, nonché Allegato B), in particolare regole 4, 9, 10).
All’onere del datore di lavoro di prefigurare e pubblicizzare una policy interna rispetto al corretto uso dei mezzi e agli eventuali controlli, si affianca il dovere di informare comunque gli interessati ai sensi dell’art. 13 del Codice, anche unitamente agli elementi indicati ai punti 3.1. e 3.2..
Le finalità da indicare possono essere connesse a specifiche esigenze organizzative, produttive e di sicurezza del lavoro, quando comportano un trattamento lecito di dati (art. 4, secondo comma, l. n. 300/1970); possono anche riguardare l’esercizio di un diritto in sede giudiziaria.
Devono essere tra l’altro indicate le principali caratteristiche dei trattamenti, nonché il soggetto o l’unità organizzativa ai quali i lavoratori possono rivolgersi per esercitare i propri diritti.
Con riguardo al principio secondo cui occorre perseguire finalità determinate, esplicite e legittime (art. 11, comma 1, lett. b), del Codice), il datore di lavoro può riservarsi di controllare (direttamente o attraverso la propria struttura) l’effettivo adempimento della prestazione lavorativa e, se necessario, il corretto utilizzo degli strumenti di lavoro (cfr. artt. 2086, 2087 e 2104 cod. civ.).
Nell’esercizio di tale prerogativa occorre rispettare la libertà e la dignità dei lavoratori, in particolare per ciò che attiene al divieto di installare “apparecchiature per finalità di controllo a distanza dell’attività dei lavoratori” (art. 4, primo comma, l. n. 300/1970), tra cui sono certamente comprese strumentazioni hardware e software mirate al controllo dell’utente di un sistema di comunicazione elettronica.
Il trattamento dei dati che ne consegue è illecito, a prescindere dall’illiceità dell’installazione stessa. Ciò, anche quando i singoli lavoratori ne siano consapevoli.
In particolare non può ritenersi consentito il trattamento effettuato mediante sistemi hardware e software preordinati al controllo a distanza, grazie ai quali sia possibile ricostruire -a volte anche minuziosamente- l’attività di lavoratori. È il caso, ad esempio:
dell’analisi occulta di computer portatili affidati in uso.
Il controllo a distanza vietato dalla legge riguarda l’attività lavorativa in senso stretto e altre condotte personali poste in essere nel luogo di lavoro. A parte eventuali responsabilità civili e penali, i dati trattati illecitamente non sono utilizzabili (art. 11, comma 2, del Codice).
5. Programmi che consentono controlli “indiretti”
Il datore di lavoro, utilizzando sistemi informativi per esigenze produttive o organizzative (ad es., per rilevare anomalie o per manutenzioni) o, comunque, quando gli stessi si rivelano necessari per la sicurezza sul lavoro, può avvalersi legittimamente, nel rispetto dello Statuto dei lavoratori (art. 4, comma 2), di sistemi che consentono indirettamente un controllo a distanza (c.d. controllo preterintenzionale) e determinano un trattamento di dati personali riferiti o riferibili ai lavoratori. Ciò, anche in presenza di attività di controllo discontinue.
Il trattamento di dati che ne consegue può risultare lecito. Resta ferma la necessità di rispettare le procedure di informazione e di consultazione di lavoratori e sindacati in relazione all’introduzione o alla modifica di sistemi automatizzati per la raccolta e l’utilizzazione dei dati, nonché in caso di introduzione o di modificazione di procedimenti tecnici destinati a controllare i movimenti o la produttività dei lavoratori.
In applicazione del menzionato principio di necessità il datore di lavoro è chiamato a promuovere ogni opportuna misura, organizzativa e tecnologica volta a prevenire il rischio di utilizzi impropri (da preferire rispetto all’adozione di misure “repressive”) e, comunque, a “minimizzare” l’uso di dati riferibili ai lavoratori (artt. 3, 11, comma 1, lett. d) e 22, commi 3 e 5, del Codice; aut. gen. al trattamento dei dati sensibili n. 1/2005, punto 4).
si valuti attentamente l’impatto sui diritti dei lavoratori (prima dell’installazione di apparecchiature suscettibili di consentire il controllo a distanza e dell’eventuale trattamento);
si individui preventivamente (anche per tipologie) a quali lavoratori è accordato l’utilizzo della posta elettronica e l’accesso a Internet;
Il datore di lavoro ha inoltre l’onere di adottare tutte le misure tecnologiche volte a minimizzare l’uso di dati identificativi (c.d. privacy enhancing technologies-PETs). Le misure possono essere differenziate a seconda della tecnologia impiegata (ad es., posta elettronica o navigazione in Internet).
Internet: la navigazione web
Il datore di lavoro, per ridurre il rischio di usi impropri della “navigazione” in Internet (consistenti in attività non correlate alla prestazione lavorativa quali la visione di siti non pertinenti, l’upload o il download di file, l’uso di servizi di rete con finalità ludiche o estranee all’attività), deve adottare opportune misure che possono, così, prevenire controlli successivi sul lavoratore. Tali controlli, leciti o meno a seconda dei casi, possono determinare il trattamento di informazioni personali, anche non pertinenti o idonei a rivelare convinzioni religiose, filosofiche o di altro genere, opinioni politiche, lo stato di salute o la vita sessuale (art. 8 l. n. 300/1970; artt. 26 e 113 del Codice; Provv. 2 febbraio 2006, cit.).
configurazione di sistemi o utilizzo di filtri che prevengano determinate operazioni – reputate inconferenti con l’attività lavorativa – quali l’upload o l’accesso a determinati siti (inseriti in una sorta di black list) e/o il download di file o software aventi particolari caratteristiche (dimensionali o di tipologia di dato);
trattamento di dati in forma anonima o tale da precludere l’immediata identificazione di utenti mediante loro opportune aggregazioni (ad es., con riguardo ai file di log riferiti al traffico web, su base collettiva o per gruppi sufficientemente ampi di lavoratori);
Il contenuto dei messaggi di posta elettronica – come pure i dati esteriori delle comunicazioni e i file allegati – riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente, la cui ratio risiede nel proteggere il nucleo essenziale della dignità umana e il pieno sviluppo della personalità nelle formazioni sociali; un’ulteriore protezione deriva dalle norme penali a tutela dell’inviolabilità dei segreti (artt. 2 e 15 Cost.; Corte cost. 17 luglio 1998, n. 281 e 11 marzo 1993, n. 81; art. 616, quarto comma, c.p.; art. 49 Codice dell’amministrazione digitale).
Tuttavia, con specifico riferimento all’impiego della posta elettronica nel contesto lavorativo e in ragione della veste esteriore attribuita all’indirizzo di posta elettronica nei singoli casi, può risultare dubbio se il lavoratore, in qualità di destinatario o mittente, utilizzi la posta elettronica operando quale espressione dell’organizzazione datoriale o ne faccia un uso personale pur operando in una struttura lavorativa.
Tali incertezze si riverberano sulla qualificazione, in termini di liceità, del comportamento del datore di lavoro che intenda apprendere il contenuto di messaggi inviati all’indirizzo di posta elettronica usato dal lavoratore (posta “in entrata”) o di quelli inviati da quest’ultimo (posta “in uscita”).
É quindi particolarmente opportuno che si adottino accorgimenti anche per prevenire eventuali trattamenti in violazione dei principi di pertinenza e non eccedenza. Si tratta di soluzioni che possono risultare utili per contemperare le esigenze di ordinato svolgimento dell’attività lavorativa con la prevenzione di inutili intrusioni nella sfera personale dei lavoratori, nonché violazioni della disciplina sull’eventuale segretezza della corrispondenza.
il datore di lavoro valuti la possibilità di attribuire al lavoratore un diverso indirizzo destinato ad uso privato del lavoratore;
il datore di lavoro metta a disposizione di ciascun lavoratore apposite funzionalità di sistema, di agevole utilizzo, che consentano di inviare automaticamente, in caso di assenze (ad es., per ferie o attività di lavoro fuori sede), messaggi di risposta contenenti le “coordinate” (anche elettroniche o telefoniche) di un altro soggetto o altre utili modalità di contatto della struttura. É parimenti opportuno prescrivere ai lavoratori di avvalersi di tali modalità, prevenendo così l’apertura della posta elettronica. In caso di eventuali assenze non programmate (ad es., per malattia), qualora il lavoratore non possa attivare la procedura descritta (anche avvalendosi di servizi webmail), il titolare del trattamento, perdurando l’assenza oltre un determinato limite temporale, potrebbe disporre lecitamente, sempre che sia necessario e mediante personale appositamente incaricato (ad es., l’amministratore di sistema oppure, se presente, un incaricato aziendale per la protezione dei dati), l’attivazione di un analogo accorgimento, avvertendo gli interessati;
in previsione della possibilità che, in caso di assenza improvvisa o prolungata e per improrogabili necessità legate all’attività lavorativa, si debba conoscere il contenuto dei messaggi di posta elettronica, l’interessato sia messo in grado di delegare un altro lavoratore (fiduciario) a verificare il contenuto di messaggi e a inoltrare al titolare del trattamento quelli ritenuti rilevanti per lo svolgimento dell’attività lavorativa. A cura del titolare del trattamento, di tale attività dovrebbe essere redatto apposito verbale e informato il lavoratore interessato alla prima occasione utile;
i messaggi di posta elettronica contengano un avvertimento ai destinatari nel quale sia dichiarata l’eventuale natura non personale dei messaggi stessi, precisando se le risposte potranno essere conosciute nell’organizzazione di appartenenza del mittente e con eventuale rinvio alla predetta policy datoriale.
Nell’effettuare controlli sull’uso degli strumenti elettronici deve essere evitata un’interferenza ingiustificata sui diritti e sulle libertà fondamentali di lavoratori, come pure di soggetti esterni che ricevono o inviano comunicazioni elettroniche di natura personale o privata.
L’eventuale controllo è lecito solo se sono rispettati i principi di pertinenza e non eccedenza.
Deve essere per quanto possibile preferito un controllo preliminare su dati aggregati, riferiti all’intera struttura lavorativa o a sue aree.
Il controllo anonimo può concludersi con un avviso generalizzato relativo ad un rilevato utilizzo anomalo degli strumenti aziendali e con l’invito ad attenersi scrupolosamente a compiti assegnati e istruzioni impartite. L’avviso può essere circoscritto a dipendenti afferenti all’area o settore in cui è stata rilevata l’anomalia. In assenza di successive anomalie non è di regola giustificato effettuare controlli su base individuale.
Va esclusa l’ammissibilità di controlli prolungati, costanti o indiscriminati.
I sistemi software devono essere programmati e configurati in modo da cancellare periodicamente ed automaticamente (attraverso procedure di sovraregistrazione come, ad esempio, la cd. rotazione dei log file) i dati personali relativi agli accessi ad Internet e al traffico telematico, la cui conservazione non sia necessaria.
In assenza di particolari esigenze tecniche o di sicurezza, la conservazione temporanea dei dati relativi all’uso degli strumenti elettronici deve essere giustificata da una finalità specifica e comprovata e limitata al tempo necessario – e predeterminato – a raggiungerla (v. art. 11, comma 1, lett. e), del Codice).
– ad esigenze tecniche o di sicurezza del tutto particolari;
– all’indispensabilità del dato rispetto all’esercizio o alla difesa di un diritto in sede giudiziaria;
– all’obbligo di custodire o consegnare i dati per ottemperare ad una specifica richiesta dell’autorità giudiziaria o della polizia giudiziaria.
I datori di lavoro privati e gli enti pubblici economici, se ricorrono i presupposti sopra indicati (v., in particolare, art. 4, secondo comma, dello Statuto), possono effettuare lecitamente il trattamento dei dati personali diversi da quelli sensibili.
a) se ricorrono gli estremi del legittimo esercizio di un diritto in sede giudiziaria (art. 24, comma 1, lett. f) del Codice);
c) anche in assenza del consenso, ma per effetto del presente provvedimento che individua un legittimo interesse al trattamento in applicazione della disciplina sul c.d. bilanciamento di interessi (art. 24, comma 1, lett. g), del Codice).
Per tale bilanciamento si è tenuto conto delle garanzie che lo Statuto prevede per il controllo “indiretto” a distanza presupponendo non il consenso degli interessati, ma un accordo con le rappresentanze sindacali (o, in difetto, l’autorizzazione di un organo periferico dell’amministrazione del lavoro).
L’eventuale trattamento di dati sensibili è consentito con il consenso degli interessati o, senza il consenso, nei casi previsti dal Codice (in particolare, esercizio di un diritto in sede giudiziaria, salvaguardia della vita o incolumità fisica; specifici obblighi di legge anche in caso di indagine giudiziaria: art. 26).
Per quanto riguarda i soggetti pubblici restano fermi i differenti presupposti previsti dal Codice a seconda della natura dei dati, sensibili o meno (artt. 18-22 e 112).
In tutti i casi predetti resta impregiudicata la facoltà del lavoratore di opporsi al trattamento per motivi legittimi (art. 7, comma 4, lett. a), del Codice).