Controlli indiscriminati su email e smartphone aziendali: il divieto del Garante della Privacy
Il tema dei controlli indiscriminati su email e smartphone aziendali rappresenta uno dei nodi più delicati nel rapporto tra potere direttivo del datore di lavoro e tutela della privacy dei dipendenti. Il Garante della Privacy, con il provvedimento doc. web n. 5958296, ha stabilito in modo netto che il datore di lavoro non può procedere a controlli indiscriminati sulle email e sui dati personali contenuti negli smartphone aziendali in dotazione al personale. Si tratta di un principio che conserva piena validità nel quadro normativo attuale, rafforzato dal Regolamento Generale sulla Protezione dei Dati (GDPR) e dalle Linee Guida del Garante, e che ogni datore di lavoro è tenuto a conoscere e rispettare.
Il quadro normativo di riferimento: Statuto dei Lavoratori, GDPR e controlli a distanza
Per comprendere la portata del divieto del Garante, è necessario collocare il provvedimento all’interno del sistema normativo che regola i controlli sui lavoratori. L’art. 4 dello Statuto dei Lavoratori (L. n. 300/1970), nella versione riformata dal D.Lgs. n. 151/2015, consente l’utilizzo di strumenti tecnologici dai quali possa derivare anche la possibilità di controllo a distanza dell’attività dei lavoratori, ma subordina tale utilizzo al rispetto di precisi presupposti: accordo sindacale oppure autorizzazione dell’Ispettorato del Lavoro, adeguata informativa ai dipendenti, e utilizzo dei dati raccolti esclusivamente per finalità organizzative, produttive, di sicurezza del lavoro o per l’esercizio del potere disciplinare.
Il GDPR (Reg. UE 2016/679), applicabile in Italia, aggiunge ulteriori vincoli: il trattamento dei dati personali dei lavoratori deve essere fondato su una base giuridica legittima, rispettare i principi di minimizzazione, proporzionalità e limitazione della conservazione, e garantire la trasparenza attraverso un’informativa chiara e completa. Il combinato disposto di queste norme rende illegittimo qualsiasi sistema di monitoraggio massivo, prolungato e indiscriminato della corrispondenza elettronica e dei dispositivi mobili aziendali.
Il caso esaminato dal Garante: le irregolarità riscontrate
La vicenda che ha dato origine al provvedimento nasce dal reclamo di un dipendente che si era rivolto al Garante lamentando un illegittimo trattamento effettuato da una multinazionale, la quale avrebbe acquisito informazioni anche private contenute nella e-mail e nel telefono aziendale, sia durante il rapporto professionale sia dopo il suo licenziamento.
Dai riscontri effettuati dall’Autorità sono effettivamente emerse numerose irregolarità. La società, ad esempio, non aveva adeguatamente informato i lavoratori sulle modalità e finalità di utilizzo degli strumenti elettronici in dotazione, né su quelle relative al trattamento dei dati. Aveva poi configurato il sistema di posta elettronica in modo da conservare copia di tutta la corrispondenza per ben dieci anni, un tempo non proporzionato allo scopo della raccolta. Esisteva anche una procedura che consentiva alla società di accedere al contenuto dei messaggi che, in linea con la policy aziendale, potevano avere anche carattere privato.
È inoltre emerso che la società continuava a mantenere attive le caselle e-mail fino a sei mesi dopo la cessazione del contratto, senza però dare agli ex dipendenti la possibilità di consultarle o, comunque, senza informare i mittenti che le lettere non sarebbero state visionate dai legittimi destinatari ma da altri soggetti.
Nel corso dell’istruttoria è stato accertato inoltre che il titolare poteva accedere da remoto – non solo per attività di manutenzione – alle informazioni contenute negli smartphone in dotazione ai dipendenti (anche privatissime e non attinenti allo svolgimento dell’attività lavorativa), di copiarle o cancellarle, di comunicarle a terzi, violando i principi di liceità, necessità, pertinenza e non eccedenza del trattamento.
→ Leggi anche: Diritto alla riservatezza del lavoratore: i limiti legali al controllo via email, GPS e telecamere in azienda
Il divieto del Garante: contenuto e conseguenze
Nel disporre il divieto di controlli indiscriminati su email e smartphone aziendali, il Garante ha vietato alla multinazionale l’ulteriore utilizzo dei dati personali trattati in violazione di legge (doc. web n. 5958296). La società potrà solo conservarli per la tutela dei diritti in sede giudiziaria.
L’Autorità ha affermato che il datore di lavoro, pur avendo la facoltà di verificare l’esatto adempimento della prestazione professionale e il corretto utilizzo degli strumenti di lavoro da parte dei dipendenti, deve in ogni caso salvaguardarne la libertà e la dignità, attenendosi ai limiti previsti dalla normativa. La disciplina di settore in materia di controlli a distanza, inoltre, non consente di effettuare attività idonee a realizzare, anche indirettamente, il controllo massivo, prolungato e indiscriminato dell’attività del lavoratore.
Il Garante ha disposto altresì l’apertura di un autonomo procedimento per verificare l’applicazione di eventuali sanzioni amministrative, che nel quadro del GDPR possono raggiungere importi molto significativi.
Cosa può fare il datore di lavoro: i limiti leciti del controllo
Il divieto di controlli indiscriminati non equivale a un divieto assoluto di qualsiasi forma di monitoraggio. Il datore di lavoro può legittimamente:
- adottare policy aziendali sull’uso degli strumenti informatici, purché portate a conoscenza dei lavoratori in modo chiaro e dettagliato;
- configurare sistemi di filtraggio della posta elettronica per finalità di sicurezza informatica, nel rispetto del principio di proporzionalità;
- effettuare controlli mirati e documentati in presenza di fondati sospetti di illeciti, sempre nel rispetto delle garanzie procedurali previste dalla legge;
- conservare i log di accesso ai sistemi aziendali per il tempo strettamente necessario e proporzionato alle finalità dichiarate.
Ciò che rimane in ogni caso vietato è il monitoraggio sistematico e continuativo del contenuto delle comunicazioni elettroniche, l’accesso indiscriminato ai dati personali presenti sui dispositivi mobili, e la conservazione dei dati per periodi sproporzionati rispetto alle finalità perseguite.
L’obbligo di informativa: un requisito imprescindibile
Uno degli elementi centrali del provvedimento del Garante riguarda l’obbligo di trasparenza. I lavoratori devono essere sempre informati in modo chiaro e dettagliato sulle modalità di utilizzo degli strumenti aziendali e sulle eventuali verifiche che il datore di lavoro intende effettuare. L’informativa deve specificare: quali dati vengono raccolti, per quali finalità, per quanto tempo vengono conservati, chi vi ha accesso e quali sono i diritti dell’interessato.
L’assenza o l’inadeguatezza dell’informativa costituisce di per sé una violazione del GDPR e rende illecito qualsiasi trattamento dei dati raccolti, anche qualora il monitoraggio fosse stato condotto con modalità tecnicamente proporzionate.
Implicazioni pratiche per aziende e lavoratori
Per le aziende, il provvedimento del Garante sui controlli indiscriminati su email e smartphone aziendali impone una revisione delle policy interne, dei contratti con i fornitori di servizi IT e delle procedure di gestione dei dispositivi mobili. In particolare, è necessario verificare che i sistemi di Mobile Device Management (MDM) adottati non consentano accessi non autorizzati a dati personali dei dipendenti e che le politiche di retention dei dati siano allineate ai principi del GDPR.
→ Leggi anche: Responsabilità del datore per violazione della privacy del lavoratore: il bilanciamento tra controllo e diritti fondamentali
Per i lavoratori, il provvedimento conferma che la riservatezza delle comunicazioni elettroniche è tutelata anche nell’ambito del rapporto di lavoro. In caso di violazione, il dipendente può rivolgersi al Garante della Privacy presentando un reclamo, oppure agire in sede giudiziaria per il risarcimento del danno subito.
FAQ: Controlli su email e smartphone aziendali
Il datore di lavoro può leggere le email aziendali dei dipendenti?
No, non in modo indiscriminato. Il datore di lavoro non può accedere sistematicamente al contenuto delle email aziendali dei dipendenti senza una base giuridica legittima, senza aver fornito un’adeguata informativa e senza rispettare i principi di proporzionalità e minimizzazione previsti dal GDPR e dall’art. 4 dello Statuto dei Lavoratori.
Per quanto tempo possono essere conservate le email aziendali?
Il periodo di conservazione deve essere proporzionato alle finalità dichiarate. Il Garante ha ritenuto illecita la conservazione sistematica di tutta la corrispondenza per dieci anni, considerandola sproporzionata. La durata deve essere definita nella policy aziendale e nell’informativa, e deve essere giustificata da concrete esigenze organizzative o legali.
Cosa succede alle email aziendali dopo la cessazione del rapporto di lavoro?
Il datore di lavoro non può mantenere attiva la casella email di un ex dipendente a tempo indeterminato senza informare i mittenti che i messaggi non saranno letti dal legittimo destinatario. È necessario predisporre un messaggio automatico di risposta che informi i corrispondenti della cessazione del rapporto e indichi un contatto alternativo, procedendo poi alla disattivazione della casella entro un termine ragionevole.
Il datore di lavoro può accedere da remoto agli smartphone aziendali dei dipendenti?
L’accesso da remoto ai dispositivi mobili aziendali è lecito solo per finalità di manutenzione tecnica o sicurezza informatica, nei limiti strettamente necessari e previa adeguata informativa. È invece vietato accedere a dati personali non pertinenti all’attività lavorativa, copiarli, cancellarli o comunicarli a terzi senza una base giuridica legittima.
Quali sanzioni rischia il datore di lavoro che effettua controlli illeciti?
Le sanzioni possono essere sia amministrative, fino a 20 milioni di euro o al 4% del fatturato annuo globale ai sensi del GDPR, sia penali ai sensi dello Statuto dei Lavoratori. Il Garante può inoltre vietare il trattamento dei dati raccolti illecitamente, rendendo inutilizzabili le informazioni acquisite anche in eventuali procedimenti disciplinari o giudiziari.
(Fonte: Garante Privacy)
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
