Controlli a distanza su computer e email

Di Avv. Tamara Valentini

Controlli a distanza su computer e email: quadro normativo, limiti e obblighi per il datore di lavoro

Capire come funzionano i controlli a distanza su computer e email dei lavoratori è oggi più importante che mai: la digitalizzazione del lavoro ha moltiplicato le occasioni in cui il datore di lavoro può tecnicamente monitorare l’attività informatica dei dipendenti, ma il quadro giuridico pone limiti precisi e invalicabili. La tensione tra potere direttivo del datore di lavoro e diritto alla riservatezza del lavoratore si risolve attraverso un sistema di garanzie procedurali e sostanziali che ogni impresa deve conoscere e rispettare per evitare conseguenze disciplinari, civili e penali. Questo articolo analizza il perimetro normativo vigente, le condizioni di legittimità dei controlli informatici sui dipendenti e le ricadute pratiche per chi gestisce risorse umane.

Il fondamento normativo: art. 4 dello Statuto dei Lavoratori e GDPR

Il riferimento legislativo centrale in materia di controlli a distanza su computer e email è l’art. 4 della Legge n. 300/1970 (Statuto dei Lavoratori), profondamente riformato dal Jobs Act. La norma distingue tre categorie di strumenti: quelli installati per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale — che richiedono accordo sindacale o autorizzazione dell’Ispettorato del Lavoro —; gli strumenti di lavoro assegnati al dipendente per rendere la prestazione (computer, smartphone, tablet), che non necessitano di preventiva autorizzazione; e gli impianti di controllo vietati in quanto finalizzati esclusivamente a sorvegliare l’attività del lavoratore.

A questo impianto si sovrappone il Regolamento UE 2016/679 (GDPR), direttamente applicabile, che impone al titolare del trattamento — il datore di lavoro — di fondare ogni raccolta e utilizzo di dati personali su una base giuridica legittima, di rispettare i principi di minimizzazione e limitazione della finalità, e di garantire la trasparenza nei confronti degli interessati. Il combinato disposto tra art. 4 Stat. Lav. e GDPR definisce il perimetro entro cui i controlli informatici sui dipendenti sono ammissibili.

La riforma dell’art. 4 e i controlli sulle email aziendali

La riforma dell’articolo 4 dello Statuto dei Lavoratori ha modificato la normativa sui controlli a distanza su computer e email dei lavoratori, rendendo necessaria l’introduzione di un codice di condotta aziendale dedicato proprio all’utilizzo della rete e della posta elettronica. Il Jobs Act non ha stravolto la materia nella sua sostanza, perché la nuova normativa regola principalmente il momento dell’installazione degli impianti di controllo, mentre non tocca il principio — sancito dal Codice della privacy e ora rafforzato dal GDPR — secondo il quale le indagini condotte sulla posta elettronica e sull’uso di internet sono lecite solo se è stato preventivamente adottato e diffuso un codice disciplinare interno ad hoc, tramite il quale sono portate a conoscenza dei lavoratori le regole aziendali.

Un aspetto cruciale introdotto dalla riforma è la utilizzabilità delle informazioni raccolte: il nuovo art. 4, comma 3, consente al datore di lavoro di utilizzare le informazioni acquisite tramite strumenti di lavoro — inclusi i log di navigazione e i metadati delle email — a tutti i fini connessi al rapporto di lavoro, compresi quelli disciplinari, ma solo a condizione che il lavoratore sia stato previamente informato delle modalità d’uso degli strumenti e del trattamento dei dati.

Il codice di condotta aziendale: contenuto e funzione

Il codice di condotta — che dovrebbe essere affisso con le modalità previste dall’articolo 7 dello Statuto dei lavoratori o con strumenti equivalenti — serve a far venire meno l’aspettativa di segretezza della email aziendale e di internet, e a chiarire che l’utilizzo di questi strumenti deve essere strettamente funzionale all’esecuzione della prestazione di lavoro. In assenza di tale documento, qualsiasi controllo sul computer o sulla posta elettronica del dipendente rischia di essere considerato illegittimo, indipendentemente dalla condotta tenuta dal lavoratore.

Il codice di condotta deve, in particolare, specificare i seguenti aspetti:

• l’uso che i lavoratori possono fare del computer aziendale in loro dotazione;
• i limiti entro i quali è consentito o tollerato un uso privato del computer in dotazione;
• i limiti di utilizzo da parte del dipendente della posta aziendale, e in particolare la possibilità o meno di un suo utilizzo per scopi privati;
• i siti internet la cui consultazione è vietata, perché considerati non correlati con la prestazione lavorativa;
• le conseguenze disciplinari applicabili in caso di uso contrario alla policy interna della posta elettronica e di internet.

Dal punto di vista pratico, la policy aziendale sull’uso degli strumenti informatici deve essere redatta in modo chiaro, accessibile e aggiornata periodicamente per tenere conto dell’evoluzione tecnologica e normativa. La sua mancanza o inadeguatezza espone il datore di lavoro al rischio di vedere annullati i provvedimenti disciplinari fondati su controlli informatici, anche quando la condotta del dipendente sia oggettivamente illecita.

→ Leggi anche: Diritto alla riservatezza del lavoratore: i limiti legali al controllo via email, GPS e telecamere in azienda

L’informativa privacy: condizione di legittimità dei controlli

La diffusione del codice di condotta non basta a legittimare i controlli a distanza su computer e email: il datore di lavoro deve rispettare l’ulteriore obbligo di informare i lavoratori sulle finalità e sulle modalità con le quali i loro dati saranno trattati. Nel regime GDPR, tale obbligo è disciplinato dall’art. 13 del Regolamento, che ha sostituito il corrispondente articolo del previgente Codice della privacy, ampliandone il contenuto minimo obbligatorio.

L’informativa costituisce la condizione di legittimità per poter raccogliere e trattare i dati personali dei dipendenti tramite strumenti telematici. La centralità di questo documento è stata rafforzata dalla nuova stesura dell’articolo 4 dello Statuto dei lavoratori, che subordina l’utilizzabilità delle informazioni raccolte alla preventiva consegna dell’informativa. In assenza di un’informativa adeguata, le prove raccolte attraverso il monitoraggio informatico rischiano di essere inutilizzabili in sede disciplinare e giudiziaria.

I limiti ai controlli: proporzionalità e non sistematicità

Anche dopo aver compiuto questi adempimenti, il datore di lavoro non può effettuare controlli indiscriminati sulle email aziendali e sull’uso di internet. I controlli possono essere svolti solo se sono giustificati da una finalità lecita — quale ad esempio la tutela di un diritto esercitabile in via giudiziaria o la repressione di una condotta illecita del dipendente. Inoltre, non possono essere effettuati controlli prolungati, costanti o indiscriminati; devono essere preferiti, quando possibile, controlli anonimi e su dati aggregati; le indagini devono essere circoscritte a specifiche aree di lavoro; infine, devono essere cancellati periodicamente e automaticamente i dati relativi agli accessi a internet e al traffico telematico.

Il principio di proporzionalità — cardine tanto del GDPR quanto della giurisprudenza della Corte Europea dei Diritti dell’Uomo (si veda il caso Bărbulescu c. Romania) — impone che il controllo sia adeguato, pertinente e limitato a quanto necessario rispetto alle finalità perseguite. Un monitoraggio sistematico e continuativo dell’intera corrispondenza elettronica aziendale, anche se tecnicamente possibile, è incompatibile con questo principio.

Cosa è vietato: i controlli illeciti secondo il Garante

Il Garante della privacy ha reso concreti questi principi generali tramite diverse prescrizioni, individuando le forme di controllo ammissibili e quelle invece vietate. Sono state definite illecite:

• la registrazione massiva di tutte le email in uscita;
• il monitoraggio costante dei siti internet visitati;
• la copia di tutti i file salvati dal dipendente tramite la porta USB.

Queste attività possono essere svolte solo in presenza di motivi specifici e gli accertamenti non devono essere sistematici, indiscriminati e preventivi. La violazione di questi criteri ha conseguenze importanti: oltre ai risvolti penali, il datore di lavoro non può legittimamente usare le informazioni raccolte in violazione delle regole.

Cosa è consentito: controlli mirati e occasionali

Rientrano invece nell’area della liceità i controlli mirati, occasionali e proporzionati: la verifica degli accessi a specifici siti in risposta a un sospetto fondato, l’analisi dei metadati delle email (mittente, destinatario, oggetto, data) in presenza di indizi di condotta illecita, il filtraggio automatico dei contenuti tramite sistemi antivirus o antispam. In questi casi, la legittimità del controllo dipende dalla previa adozione della policy aziendale, dalla consegna dell’informativa e dalla sussistenza di una causa giustificatrice specifica.

Controlli a distanza e lavoro da remoto: le specificità dello smart working

La diffusione del lavoro agile ha amplificato le questioni legate ai controlli a distanza su computer e email, introducendo scenari inediti rispetto al tradizionale contesto di ufficio. Quando il dipendente opera da casa o da luoghi esterni alla sede aziendale, il datore di lavoro mantiene il potere di controllo sugli strumenti informatici forniti, ma deve fare i conti con un perimetro di riservatezza ancora più sensibile: l’ambiente domestico gode di una tutela rafforzata, e qualsiasi forma di monitoraggio che si estenda oltre gli strumenti di lavoro assegnati — ad esempio attraverso l’attivazione della webcam o l’accesso ai dispositivi personali del lavoratore — è radicalmente vietata.

L’accordo individuale di smart working, obbligatorio ai sensi della Legge n. 81/2017, deve contenere una specifica sezione dedicata alle forme di controllo tecnologico ammesse durante la prestazione da remoto, alle modalità di esercizio del potere direttivo e alle misure di protezione dei dati. In assenza di questa regolamentazione, il datore di lavoro non può invocare i dati raccolti tramite strumenti di monitoraggio remoto a fini disciplinari.

→ Leggi anche: Diritto alla disconnessione e violazione della privacy: come i datori rispondono del controllo oltre l'orario

La giurisprudenza: come i tribunali applicano le regole

I tribunali italiani hanno progressivamente affinato i criteri di valutazione dei controlli informatici sui lavoratori. L’orientamento prevalente distingue tra controlli difensivi in senso stretto — finalizzati a proteggere il patrimonio aziendale da condotte illecite del dipendente, sottratti all’ambito applicativo dell’art. 4 — e controlli sull’attività lavorativa, soggetti invece all’intera disciplina garantistica. La Corte di Cassazione ha chiarito che anche i controlli difensivi, per essere utilizzabili in sede disciplinare, devono rispettare le condizioni di trasparenza e proporzionalità imposte dal GDPR.

Un licenziamento fondato su prove ottenute attraverso un monitoraggio sistematico delle email, in assenza di policy aziendale e informativa, è destinato a essere annullato dal giudice del lavoro, con conseguente reintegrazione o indennizzo a favore del dipendente. Questa è la ragione per cui la corretta strutturazione dei presidi documentali — policy, informativa, accordo sindacale ove necessario — non è un adempimento burocratico, ma una condizione sostanziale di efficacia dell’azione datoriale.

Checklist operativa per il datore di lavoro

Per garantire la legittimità dei controlli a distanza su computer e email, il datore di lavoro dovrebbe verificare di aver adempiuto ai seguenti passaggi:

1. Adottare e diffondere una policy aziendale sull’uso degli strumenti informatici, affissa secondo le modalità dell’art. 7 Stat. Lav. o equivalenti.
2. Consegnare l’informativa privacy ai sensi dell’art. 13 GDPR, specificando finalità, modalità e durata del trattamento dei dati raccolti tramite strumenti informatici.
3. Verificare se è necessario l’accordo sindacale o l’autorizzazione dell’Ispettorato del Lavoro per l’installazione di specifici sistemi di monitoraggio.
4. Configurare i sistemi informatici in modo da limitare la raccolta dei dati al minimo necessario, prevedendo la cancellazione automatica dei log entro termini definiti.
5. Evitare controlli sistematici e indiscriminati, attivando verifiche mirate solo in presenza di fondati sospetti e per finalità specifiche.
6. Documentare ogni controllo effettuato, registrando la motivazione, la data, l’ambito e i risultati, per poter dimostrare la proporzionalità dell’intervento in caso di contestazione.
7. Aggiornare periodicamente policy e informativa per recepire le evoluzioni normative, le linee guida del Garante e le nuove tecnologie adottate in azienda.

FAQ sui controlli a distanza su computer e email

Il datore di lavoro può leggere le email aziendali del dipendente?

Sì, ma solo a determinate condizioni: deve esistere una policy aziendale che escluda l’aspettativa di riservatezza sulla posta elettronica aziendale, il dipendente deve essere stato informato tramite apposita informativa privacy, e il controllo deve essere giustificato da una finalità lecita e proporzionata. Un accesso sistematico e indiscriminato alla casella email è illecito.

I log di navigazione internet possono essere usati come prova disciplinare?

Sì, a condizione che siano stati raccolti nel rispetto dell’art. 4 Stat. Lav. e del GDPR, che il dipendente fosse stato previamente informato e che il controllo non fosse sistematico. I log devono essere conservati per il tempo strettamente necessario e poi cancellati automaticamente.

Cosa succede se il datore di lavoro effettua controlli illeciti?

Le prove raccolte in violazione delle regole sono inutilizzabili in sede disciplinare e giudiziaria. Il datore di lavoro può inoltre essere soggetto a sanzioni amministrative del Garante della privacy (fino a 20 milioni di euro o al 4% del fatturato annuo globale ai sensi del GDPR) e, in alcuni casi, a responsabilità penale ai sensi dell’art. 615-bis c.p. (interferenze illecite nella vita privata).

Il dipendente può usare la email aziendale per scopi personali?

Dipende dalla policy aziendale. Se questa vieta l’uso personale della posta elettronica aziendale, il dipendente non può invocare aspettative di riservatezza su quella corrispondenza. Se la policy consente un uso personale limitato, il datore di lavoro deve astenersi dall’accedere ai messaggi di natura privata, pena la violazione della riservatezza del lavoratore.

È necessario l’accordo sindacale per installare un sistema di monitoraggio delle email?

Dipende dalla natura del sistema. Se il monitoraggio avviene tramite gli strumenti di lavoro ordinariamente assegnati al dipendente (es. il client di posta aziendale), non è richiesto l’accordo sindacale. Se invece vengono installati sistemi aggiuntivi di sorveglianza — come software di data loss prevention o sistemi di archiviazione massiva delle comunicazioni — è necessario l’accordo con le rappresentanze sindacali o, in mancanza, l’autorizzazione dell’Ispettorato Nazionale del Lavoro.

I controlli a distanza su computer si applicano anche allo smart working?

Sì. Le stesse regole previste dall’art. 4 Stat. Lav. e dal GDPR si applicano integralmente al lavoro agile. Il datore di lavoro può monitorare gli strumenti informatici aziendali assegnati al lavoratore da remoto, ma non può estendere il controllo ai dispositivi personali né all’ambiente domestico. L’accordo individuale di smart working deve disciplinare espressamente le modalità di controllo tecnologico ammesse.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.