Citation: BGE 139 II 7 E. 5.5.4

Comunque sia, anche volendo per ipotesi qualificare la fattispecie alla luce dell'art. 26 cpv. 2 OLL 3, il risultato non cambierebbe. Infatti, anche se si considerasse - come pretende sostanzialmente il consorzio ricorrente che di fatto si richiama a motivi di sicurezza e in particolare alla natura paramilitare dell'attività svolta, oltre che all'interesse (di per sé legittimo) di controllare le prestazioni del proprio dipendente e di impedire situazioni di abuso - che la sorveglianza del comportamento costituiva unicamente uno scopo secondario o fosse solo un effetto dell'impiego del programma spia, l'illiceità della misura risulterebbe dall'esame della sua (mancata) proporzionalità. Questi programmi spia consentono certamente di raggiungere lo scopo (di per sé, giova sottolinearlo, legittimo) di lotta agli abusi e di controllo del rendimento lavorativo e rispondono pertanto al principio di idoneità. Non è invece chiaro - né il BGE 139 II 7 S. 21 ricorrente lo spiega minimamente - in quale misura il controllo della navigazione privata in Internet possa essere dettato da non meglio precisati motivi di sicurezza legati al carattere paramilitare del datore di lavoro. Del resto, non passa inosservato il carattere contraddittorio della tesi del consorzio il quale, da un lato, si richiama a interessi di sicurezza paramilitare ma, dall'altro, non ha esitato ad affidare l'analisi del disco fisso del personal computer aziendale dell'opponente e la redazione della perizia tecnica a una ditta estera. Ad ogni modo, l'impiego dello spyware non si concilierebbe manifestamente con il requisito di necessità. Quest'ultimo impone che tra i vari mezzi idonei a disposizione la scelta ricada su quello meno incisivo e meno pregiudizievole per gli interessi in causa (v. DTF 130 II 425 consid. 5.2 pag. 438). Ora, di tutta evidenza la lotta agli abusi e il legittimo interesse del datore di lavoro al controllo che le sue istruzioni - espresse nella direttiva del 5 marzo 2009, firmata per accettazione dall'opponente il 1° aprile 2009 - concernenti l'uso degli strumenti informatici e di telecomunicazione fossero rispettate non imponevano di certo una sorveglianza invasiva e continua come quella messa in atto con l'installazione clandestina dell'applicazione Spector Pro. Questi obiettivi potevano essere conseguiti con provvedimenti meno invasivi, quali il blocco preventivo mediante firewalls di determinati siti Internet indesiderati (come prescrive del resto la stessa direttiva del 5 marzo 2009 al suo punto 4: "[...] il Consorzio adotta in primo luogo misure di tipo tecnico [applicazione di filtri e simili] che impediscono guasti e abusi") e, laddove non sufficiente, l'analisi delle registrazioni a giornale degli accessi a Internet e del traffico e-mail. Come osserva l'IFPDT, il datore di lavoro deve in effetti in primo luogo concentrare i propri sforzi sulla prevenzione tecnica. Invece di sorvegliare i dipendenti dovrebbe predisporre misure tecniche di protezione che limitino la navigazione vietata e salvaguardino l'azienda da danni tecnici. Solo se in questo modo non riesce ad evitare un abuso, il datore di lavoro potrà, previo avvertimento nel regolamento relativo alla sorveglianza, procedere ad analisi nominative delle registrazioni a giornale (logfile; Guida, pag. 4; più in dettaglio sulla procedura [personalizzata o impersonale, in forma anonima o con pseudonimi] da seguire, a seconda che vi si sia o meno un [sospetto di] abuso cfr. Guida pag. 20 segg.). Ciò che non impone invece - contrariamente a quanto pretende il ricorrente - l'installazione di uno spyware. Va pertanto pienamente condivisa la valutazione dei giudici di prime cure secondo cui per verificare il fondamento del sospetto nutrito dal consorzio BGE 139 II 7 S. 22 sul conto del proprio funzionario sarebbe bastato procedere a un'analisi dei logfiles disponibili - relativi di regola ai soli dati marginali ("chi [indirizzo-IP oppure, per le e-mail professionali, indirizzo del mittente e del destinatario], cosa [indirizzo completo del sito Internet visionato, Uniform Ressource Locator, URL, rispettivamente oggetto del messaggio di posta elettronica], quando [data e ora della consultazione, rispettivamente della comunicazione]") ma non anche ai contenuti del traffico informatico (v. HOLENSTEIN, op. cit., pag. 94 seg.; Guida IFPDT, pagg. 11, 24 e 34) - e confrontarlo in seguito con le risultanze per richiamarlo all'ordine (in questo senso, fra i tanti BEAT RUDIN, Was darf die Chefin, was die Angestellte?, Arbeits- und datenschutzrechtliche Schranken der technischen Überwachung der internet-Nutzung am Arbeitsplatz, digma 1/2001 pag. 4 segg.; HOLENSTEIN, op. cit., pag. 110 segg.; WOLFER, op. cit., pagg. 178, 189 e 192; ORDOLLI, op. cit., pag. 218 seg.; MAURER-LAMBROU/STEINER, op. cit., n. 29 ad art. 4 LPD; COSTA, op. cit., pag. 3 segg.; PÄRLI, op. cit., pag. 47; PORTMANN, op. cit., n. 50 ad art. 328b CO).