Controllo indiscriminato email aziendale, il no del Garante: quadro normativo e conseguenze pratiche
Il controllo indiscriminato della email aziendale e della navigazione web dei dipendenti da parte del datore di lavoro contrasta con le norme dello Statuto dei diritti dei lavoratori e con quelle del Codice della Privacy. Capire dove si colloca il confine tra legittima tutela degli interessi aziendali e sorveglianza illecita è oggi più urgente che mai: le tecnologie di monitoraggio sono sempre più pervasive, e i rischi sanzionatori per i datori di lavoro che le adottano senza le dovute cautele sono tutt’altro che teorici.
Il caso: l’università sotto la lente del Garante
È quanto deciso dal Garante con il doc-web-n-5408460 che ha vietato a un’università il monitoraggio massivo delle attività in Internet dei propri dipendenti.
Il caso, come si legge nel comunicato del Garante, era sorto proprio per la denuncia del personale tecnico-amministrativo e docente, che lamentava la violazione della propria privacy e il controllo a distanza posto in essere dall’Ateneo.
Nel corso dell’istruttoria, l’amministrazione ha respinto le accuse, sostenendo che l’attività di monitoraggio delle comunicazioni elettroniche era attivata saltuariamente, e solo in caso di rilevamento di software maligno e di violazioni del diritto d’autore o di indagini della magistratura. L’Università aveva inoltre aggiunto che non venivano trattati dati personali dei dipendenti che si connettevano alla rete. L’istruttoria del Garante ha invece evidenziato che i dati raccolti erano chiaramente riconducibili ai singoli utenti, anche grazie al tracciamento puntuale degli indirizzi IP (indirizzo Internet) e dei MAC Address (identificativo hardware) dei PC assegnati ai dipendenti.
L’infrastruttura adottata dall’Ateneo, diversamente da quanto affermato, consentiva la verifica costante e indiscriminata degli accessi degli utenti alla rete e all’e-mail, utilizzando sistemi e software che non possono essere considerati, in base alla normativa, “strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa”. Tali software, infatti, non erano necessari per lo svolgimento della predetta attività ed operavano, peraltro, in background, con modalità non percepibili dall’utente. È stato così violato lo Statuto dei lavoratori — anche nella versione modificata dal cosiddetto “Jobs Act” — che in caso di controllo a distanza prevede l’adozione di specifiche garanzie per il lavoratore.
Il quadro normativo: Statuto dei lavoratori, GDPR e Codice della Privacy
Il divieto di controllo indiscriminato della email aziendale affonda le radici in un sistema normativo stratificato. L’art. 4 dello Statuto dei lavoratori (L. 300/1970), nella formulazione riformata dal Jobs Act, distingue nettamente tra strumenti di lavoro — il cui utilizzo può essere monitorato nei limiti della proporzionalità — e impianti audiovisivi o altri strumenti di controllo a distanza, per i quali è richiesto un accordo sindacale o, in alternativa, l’autorizzazione dell’Ispettorato del Lavoro.
→ Leggi anche: Diritto alla riservatezza del lavoratore: i limiti legali al controllo via email, GPS e telecamere in azienda
A questo si sovrappone il Regolamento UE 2016/679 (GDPR), applicabile in Italia attraverso il D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018. Il GDPR impone che qualsiasi trattamento di dati personali — inclusa la raccolta di log di navigazione e metadati delle email — rispetti i principi di liceità, limitazione delle finalità, minimizzazione dei dati e proporzionalità. Il datore di lavoro che attiva un sistema di monitoraggio massivo senza una base giuridica adeguata e senza un’informativa trasparente viola simultaneamente più disposizioni del Regolamento, esponendosi a sanzioni che possono raggiungere il 4% del fatturato globale annuo.
Le Linee Guida del Garante sul trattamento dei dati dei lavoratori, aggiornate anche alla luce dell’evoluzione tecnologica, ribadiscono che il controllo della posta elettronica aziendale è ammissibile solo se proporzionato, previamente comunicato e limitato alle finalità dichiarate: sicurezza informatica, tutela del patrimonio aziendale, adempimento di obblighi di legge.
Perché il controllo indiscriminato è illecito: i principi cardine
Nel provvedimento il Garante ha rimarcato che l’Università avrebbe dovuto privilegiare misure graduali che rendessero assolutamente residuali i controlli più invasivi, legittimati solo in caso di individuazione di specifiche anomalie, come la rilevata presenza di virus. In ogni caso, si sarebbero dovute prima adottare misure meno limitative per i diritti dei lavoratori.
Questo principio di gradualità e proporzionalità è il cuore della valutazione del Garante. Un sistema che registra in modo continuativo e indiscriminato ogni accesso alla rete, ogni email inviata o ricevuta, ogni sito visitato — senza che il dipendente ne sia consapevole — non supera il test di proporzionalità, indipendentemente dalla finalità dichiarata. La sorveglianza massiva, per sua natura, eccede sempre ciò che è strettamente necessario.
L’Autorità ha infine riscontrato che l’Università non aveva fornito agli utilizzatori della rete un’idonea informativa privacy: la mera comunicazione al personale del Regolamento relativo al corretto utilizzo degli strumenti elettronici non è sufficiente a integrare un’informativa conforme alla legge, violando così il principio di liceità alla base del trattamento dei dati personali. L’Autorità ha quindi dichiarato illecito il trattamento dei dati personali così raccolti e ne ha vietato l’ulteriore uso, imponendo comunque la loro conservazione per consentirne l’eventuale acquisizione da parte della magistratura.
Cosa può fare il datore di lavoro: i controlli leciti
Il no del Garante al controllo indiscriminato della email aziendale non equivale a un divieto assoluto di qualsiasi forma di monitoraggio. Permette di individuare, invece, uno spazio di legittimità entro cui il datore di lavoro può agire senza incorrere in sanzioni. Le condizioni essenziali sono le seguenti:
→ Leggi anche: Responsabilità del datore per violazione della privacy del lavoratore: il bilanciamento tra controllo e diritti fondamentali
- Informativa preventiva e trasparente: i dipendenti devono essere informati, in modo chiaro e specifico, delle modalità, delle finalità e dei limiti del monitoraggio, prima che questo abbia inizio.
- Base giuridica adeguata: il trattamento deve fondarsi su una delle basi previste dall’art. 6 GDPR — tipicamente il legittimo interesse del titolare, bilanciato con i diritti del lavoratore — oppure su un accordo sindacale ex art. 4 Statuto dei lavoratori.
- Proporzionalità e minimizzazione: il sistema di monitoraggio deve raccogliere solo i dati strettamente necessari alla finalità perseguita. I log di navigazione, ad esempio, possono essere conservati per un periodo limitato e non devono consentire la profilazione sistematica del lavoratore.
- Misure tecniche preventive: prima di attivare controlli individuali, il datore di lavoro deve adottare misure organizzative e tecniche (filtri di rete, blocchi automatici, policy di utilizzo) che riducano il rischio alla fonte, rendendo il controllo individuale una misura residuale.
- Accordo sindacale o autorizzazione ispettiva: per i sistemi che vanno oltre la mera funzionalità dello strumento di lavoro, è necessario il preventivo accordo con le rappresentanze sindacali aziendali o, in mancanza, l’autorizzazione dell’Ispettorato Nazionale del Lavoro.
Le conseguenze per il lavoratore: tutele e rimedi
Il dipendente che subisce un controllo indiscriminato della propria email aziendale dispone di un ventaglio di tutele. Sul piano amministrativo, può presentare un reclamo al Garante per la protezione dei dati personali, che ha il potere di vietare il trattamento, imporre misure correttive e irrogare sanzioni pecuniarie al datore di lavoro. Sul piano giuslavoristico, le prove eventualmente acquisite mediante un monitoraggio illecito sono inutilizzabili nel procedimento disciplinare o nel giudizio civile, con conseguente nullità del licenziamento fondato su di esse — come chiarito da una consolidata giurisprudenza della Corte di Cassazione. Sul piano penale, infine, il controllo occulto e sistematico delle comunicazioni dei lavoratori può integrare il reato di cui all’art. 617 c.p. (intercettazione illecita di comunicazioni).
FAQ: controllo email aziendale e privacy dei lavoratori
Il datore di lavoro può leggere le email aziendali dei dipendenti?
Solo in presenza di una base giuridica adeguata, previa informativa al dipendente e nel rispetto del principio di proporzionalità. Il controllo sistematico e indiscriminato è vietato dal Garante e contrasta con lo Statuto dei lavoratori e il GDPR.
L’indirizzo IP del dipendente è un dato personale?
Sì. Come chiarito dal Garante nel provvedimento in esame, l’indirizzo IP e il MAC Address del dispositivo assegnato al dipendente sono dati personali a tutti gli effetti, in quanto consentono di risalire all’identità dell’utente. Il loro trattamento è soggetto alle disposizioni del GDPR.
Un regolamento aziendale sull’uso degli strumenti informatici sostituisce l’informativa privacy?
No. Il Garante ha chiarito che la comunicazione di un regolamento interno non equivale a un’informativa privacy conforme alla legge. L’informativa deve essere specifica, comprensibile e deve indicare in modo esplicito le modalità e le finalità del monitoraggio.
Le prove raccolte con un controllo illecito possono essere usate in un procedimento disciplinare?
No. La giurisprudenza della Corte di Cassazione è consolidata nel ritenere inutilizzabili le prove acquisite in violazione dell’art. 4 dello Statuto dei lavoratori e delle norme sulla privacy. Un licenziamento fondato su tali prove è esposto al rischio di nullità.
Cosa rischia il datore di lavoro che effettua un controllo indiscriminato?
Rischia sanzioni amministrative del Garante fino al 4% del fatturato globale annuo (GDPR), sanzioni penali per violazione dell’art. 4 Statuto dei lavoratori, l’inutilizzabilità delle prove raccolte e l’eventuale risarcimento del danno al lavoratore.
(Fonte: Garante della Privacy)
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
