3. La disciplina di settore in materia di controlli a distanza
L’art. 4, comma 1, l. 20 maggio 1970, n. 300, come modificato dal d.lgs. 14 settembre 2015, n.
151, individua tassativamente le finalità (ovvero quelle organizzative, produttive, di sicurezza del
lavoro e di tutela del patrimonio aziendale) per le quali gli strumenti, dai quali derivi anche la
possibilità di controllo a distanza dell’attività dei lavoratori, possono essere impiegati nel contesto
lavorativo, stabilendo precise garanzie procedurali (accordo sindacale o autorizzazione pubblica).
Le predette garanzie non trovano invece applicazione “agli strumenti di registrazione degli accessi
e delle presenze”, così come “agli strumenti utilizzati dal lavoratore per rendere la prestazione
lavorativa” (art. 4, comma 2, l. n. 300/1970). Tale disposizione introduce un’eccezione, rispetto al
più restrittivo regime previsto dal comma 1, e deve, pertanto, essere oggetto di stretta
interpretazione, considerate le responsabilità anche sul piano penale che possono derivare dalla
violazione del predetto quadro normativo. Per scelta espressa del legislatore, solo gli strumenti
preordinati, anche in ragione delle caratteristiche tecniche di configurazione, alla “registrazione
degli accessi e delle presenze” e allo “svolgimento della prestazione” non soggiacciono quindi ai
limiti e alle garanzie di cui al primo comma, in quanto funzionali a consentire l’assolvimento degli
obblighi che discendono direttamente dal contratto di lavoro, vale a dire, la presenza in servizio e
l’esecuzione della prestazione lavorativa.
Alla luce delle disposizioni richiamate, affinché sia ritenuto applicabile il comma 2 dell’art. 4 della
L. n. 300/1970, l’attività di raccolta e conservazione dei soli metadati/log necessari ad assicurare il
funzionamento delle infrastrutture del sistema della posta elettronica, all’esito di valutazioni
tecniche e nel rispetto del principio di responsabilizzazione, si ritiene che possa essere effettuata,
di norma, per un periodo limitato a pochi giorni; a titolo orientativo, tale conservazione non
dovrebbe comunque superare i 21 giorni. Sempre nell’ambito della predetta finalità (assicurare il
funzionamento delle infrastrutture del sistema della posta elettronica), a cui risulta applicabile il
comma 2 dell’art. 4 della L. n. 300/1970, l’eventuale conservazione per un termine ancora più
ampio potrà essere effettuata, solo in presenza di particolari condizioni che ne rendano necessaria
l’estensione, comprovando adeguatamente, in applicazione del principio di accountability previsto
dall’art. 5, par. 2, del Regolamento, le specificità della realtà tecnica e organizzativa del titolare.
Spetta in ogni caso al titolare adottare tutte le misure tecniche ed organizzative per assicurare il
rispetto del principio di limitazione della finalità, l’accessibilità selettiva da parte dei soli soggetti
autorizzati e adeguatamente istruiti e la tracciatura degli accessi effettuati.
Diversamente, la generalizzata raccolta e la conservazione dei log di posta elettronica, per un
lasso di tempo più esteso, potendo comportare un indiretto controllo a distanza dell’attività dei
lavoratori, richiede l’esperimento delle garanzie previste dall’art. 4, comma 1, della predetta L. n.
300/1970 (v., da ultimo, provv. 1° dicembre 2022, n. 409, doc. web n. 9833530). Resta fermo che
anche tale conservazione dovrà avvenire nel rispetto del principio di limitazione della
conservazione (v. successivo punto 4.2)