Riservatezza del lavoratore

Secondo la Corte europea dei diritti dell’uomo (CtEDU) la protezione della vita privata si estende anche all’ambito lavorativo in quanto soprattutto in questo contesto si sviluppano relazioni dove si esplica la personalità dell’individuo, come tutelata dagli articoli 2 (i diritti fondamentali dell’individuo sono inviolabili) e 41.2 («L’iniziativa economica privata è libera» ma «Non può svolgersi in contrasto con l’utilità sociale o in modo da recare danno alla salute, all’ambiente, alla sicurezza, alla libertà, alla dignità umana.») della Costituzione.

Considerando che, in aggiunta, la linea di confine tra ambito strettamente privato e attività professionale non sempre si riesce a marcare con chiarezza, la CtEDU ritiene applicabile l’articolo 8 CEDU, posto a tutela della vita privata, anche all’ambito lavorativo¹.

Questa prospettiva riveste particolare rilevanza riguardo al trattamento dei dati effettuato mediante tecnologie informatiche nell’ambito del rapporto di lavoro che deve rispettare diritti e libertà fondamentali nonché la dignità del lavoratore.

La tutela della vita privata anche in ambito lavorativo riveste particolare rilevanza riguardo al trattamento dei dati effettuato mediante tecnologie informatiche nell’ambito del rapporto di lavoro che deve rispettare diritti e libertà fondamentali nonché la dignità del lavoratore²

Il Gruppo dei Garanti europei (WPArt29), nel documento di lavoro wp55 ha precisato che «nella nozione di “corrispondenza” rientrano non soltanto lettere scritte su carta, ma anche altre forme di comunicazione elettronica ricevute sul posto di lavoro o da esso inviate»»³ e che «il principio generale di segretezza della corrispondenza copre le comunicazioni sul posto di lavoro», quindi anche posta elettronica ed i file ad essa allegati⁴.

Per il contenuto delle e-mail è oramai pacifico che esso sia del tutto parificabile al contenuto della corrispondenza postale. «La corrispondenza inviata per via informatica e telematica, comunemente definita posta elettronica, (…) è quindi caratterizzata dalla segretezza al pari della corrispondenza epistolare o telefonica»⁵ tanto che «(…) anche i messaggi di posta inviati a una mailing list costituiscono corrispondenza privata»⁶. La segretezza della corrispondenza telematica è oramai tutelata esplicitamente dal codice dell’amministrazione digitale⁷.

A supporto della natura segreta della corrispondenza telematica, il codice penale non solo equipara l’e-mail alla corrispondenza epistolare ai fini del reato di violazione e sottrazione di corrispondenza⁸ ma vieta anche l’intercettazione fraudolenta – cioè fuori dei casi consentiti dalla legge – di sistemi informatici e telematici⁹. Illecito che si manifesta nella condotta «di colui che si avvalga di mezzi atti ad eludere i meccanismi di sicurezza preordinati ad impedire l’accesso di estranei alle comunicazioni»; sulla base di questo principio la Cassazione ha riconosciuto sussistere il delitto anche nel caso in cui l’autore di questa condotta rivesta la qualità di amministratore di sistema e di responsabile dei servizi informatici, abilitato pertanto ad inserirsi nel sistema; perché tale qualità non consente anche di accedere  «per finalità diverse da quelle per cui l’autorizzazione gli è stata concessa» ¹⁰.

Questo panorama relativo alla corrispondenza elettronica in senso generale subisce alcune significative variazioni interpretative quando tale corrispondenza viene operata da un account di posta aziendale. Visto che l’e-mail aziendale è parificabile a qualsiasi altro strumento di lavoro, può il datore di lavoro accedere ai contenuti delle e-mail professionali, ad esempio per esigenze di continuità del lavoro, in ipotesi di assenza del lavoratore assegnatario della casella di posta? E per le comunicazioni effettuate mediante l’account aziendale per le quali è riconoscibile la natura non professionale? E se il datore ha sospetti che la corrispondenza telematica comprovi l’esistenza di illeciti? E se il datore vuole contrastare eventuali abusi nell’uso personale dell’e-mail, non consentito in azienda, come deve comportarsi?

La Corte europea dei diritti umani, facendo riferimento alla Convenzione Europea per la salvaguardia dei diritti dell’uomo vincolante anche per il nostro Paese¹¹, ha stabilito che in base all’articolo 8 della stessa «il rispetto della vita privata include in certa misura il diritto di stabilire e sviluppare relazioni con altri esseri umani. Non vi è motivo per cui la nozione di “vita privata” vada interpretata nel senso di escludere l’ambito professionale o commerciale, giacché dopo tutto è nel corso della propria vita lavorativa che la maggior parte delle persone ha una possibilità significativa, se non la più significativa, di sviluppare relazioni con il mondo esterno.»¹².

Con riferimento ai trattamenti effettuati sull’account di posta elettronica dopo la cessazione del rapporto di lavoro, sono ritenuti non conformi ai principi di minimizzazione dei dati (art. 5, par. 1, lett. c) del Regolamento) e di limitazione della conservazione (art. 5, par. 1, lett. e) del Regolamento):

• la prevista “presunzione” di appartenenza all’azienda di tutta la corrispondenza presente nell’account di posta aziendale, di tipo individualizzato,
• la prevista possibilità di mantenere attiva per un periodo non precisato la predetta casella in ipotesi non definite bensì individuate (anche di volta in volta) all’esito di un giudizio, definito “insindacabile”, volto a garantire la “funzionalità aziendale”,
• la prospettata sistematica conservazione sul server aziendale per un esteso periodo di tempo, pari a tre anni, di tutte le email inviate e ricevute dagli account aziendali (v. provv. 1.2.2018, n. 53, doc. web n. 8159221, spec. punto 3.2.).
• la prevista possibilità per il superiore gerarchico o qualunque altro dipendente (benché “sentito” l’interessato) di accedere alla casella di posta in relazione ad una indefinita pluralità di scopi.

In costanza di rapporto di lavoro:

• la possibilità per la società di accedere sia ai dati esterni che al contenuto delle caselle email , si ritiene che comporti illecito in violazione dell’art. 4 dello Statuto (controllo a distanza)
• la possibilità di accedere ad informazioni relative all’interessato non rilevanti risulta in violazione dell’art. 8 dello Statuto e dell’art. 10 del Dlgs. n. 276/2003¹⁴.

Un’interessante applicazione pratica del punto di bilanciamento tra diritto di proprietà dell’account di posta e diritto del dipendente alla propria riservatezza in relazione all’uso dello stesso, si è avuto con un caso deciso dal Garante. La questione verteva su alcuni account di posta elettronica, in precedenza assegnati a dipendenti, che erano entrati nella disponibilità di un’azienda acquirente dell’intero compendio fallimentare dell’impresa già proprietaria del dominio web collegato alle caselle di posta. Da un lato, l’azienda subentrante ha fatto notare come gli account erano divenuti di sua proprietà e che il mantenerli attivi era giustificato dall’esigenza di continuità dell’attività commerciale, dall’altro i dipendenti lamentavano che in tal modo la società entrava in possesso di corrispondenza di cui essi erano destinatari, spedita a indirizzi personalizzati (del tipo nome.cognome@azienda.it) che utilizzavano da oltre un decennio per lo svolgimento delle proprie mansioni.

Il Garante, nella specie, ha sottolineato come «l’indirizzo e-mail attribuito al singolo lavoratore per lo svolgimento delle sue mansioni determina una legittima aspettativa di riservatezza sulla corrispondenza, ma non garantisce la confidenzialità dei messaggi inviati e ricevuti tramite lo stesso, poiché l’account ad esso riferibile può essere eccezionalmente nella disponibilità di accesso da parte del datore di lavoro qualora ciò si renda necessario per improrogabili esigenze aziendali». Sulla base di questo principio l’Autorità ha ordinato all’azienda di disattivare «tutti gli account di posta elettronica appartenenti al dominio (…), attribuiti a soggetti che non fanno parte dell’attuale organizzazione imprenditoriale della società» e nel frattempo di predisporre un sistema per informare tutti i mittenti di comunicazioni inviate ai citati account di posta, della imminente disattivazione degli stessi; invitandoli al contempo all’inoltro della corrispondenza di lavoro ad un indirizzo di posta elettronica alternativo¹⁵.

Analoga fattispecie ha riguardato il caso di un lavoratore licenziato per aver utilizzato la posta elettronica per comunicazioni con altri lavoratori non attinenti all’attività lavorativa. La società era venuta a conoscenza della trasmissione delle predette comunicazioni tramite numerose lamentele ricevute dagli stessi destinatari delle comunicazioni. In considerazione del fatto che non vi era stata un’attività di controllo della casella postale da parte dell’azienda, l’Autorità ha ritenuto che l’operato della società fosse legittimo dal punto di vista della protezione dei dati per cui non sussistevano elementi atti a giustificare un suo intervento¹⁶.

L’accesso al contenuto delle e-mail professionali da parte del datore di lavoro può trovare una giustificazione legittima nella necessità di continuità lavorativa in caso di prolungata ed inattesa assenza del lavoratore dal servizio (ad es. per malattia), in presenza delle cautele evidenziate di seguito. Anche in tal caso, tuttavia, le modalità dell’accesso possono influire sul tasso di invasività dell’intervento e, in ultima analisi, sulla valutazione di legittimità della presa cognizione dei contenuti della corrispondenza elettronica da parte del datore. L’uso abituale sia di Internet sia della posta elettronica nonché l’obiettiva incertezza circa l’uso personale o professionale dell’e-mail aziendale, «in ragione della veste esteriore attribuita all’indirizzo di posta elettronica nei singoli casi», in fase sia di trasmissione che di ricezione, può determinare una legittima aspettativa di confidenzialità da parte del lavoratore o di terzi con cui il dipendente è in contatto. La esplicitazione di una policy al riguardo risponde, pertanto, agli obblighi di correttezza e di trasparenza¹⁷ individuando misure che, con piccoli correttivi, risultano applicabili per il controllo sia dei tracciati log sia dei contenuti delle e-mail. Il Garante ha fornito una serie di indicazioni¹⁸ in merito al contenuto del disciplinare o policy da divulgare all’interno dell’azienda e che di seguito sono sintetizzati:

• Regole d’uso: specificare se determinati comportamenti sono vietati e se ed in quale misura è consentito utilizzare anche per ragioni personali servizi di posta elettronica aziendale o ricorrendo a sistemi di webmail, indicandone le modalità e l’arco temporale di utilizzo (ad es., fuori dall’orario di lavoro o durante le pause, o consentendone un uso moderato anche nel tempo di lavoro); se sono utilizzabili postazioni specifiche ad uso personale, e se a pagamento o meno; soluzioni per garantire la continuità del lavoro in caso di assenza del dipendente (ad es. sistemi di risposta automatica);
• Informazioni tecniche: in merito alle eventuali informazioni memorizzate temporaneamente (ad es., le componenti di file di log) e chi (anche all’esterno) vi può accedere legittimamente; se e quali informazioni sono eventualmente conservate per un periodo più lungo, in forma centralizzata o meno (anche per effetto di copie di back up, della gestione tecnica della rete o di file di log ); le prescrizioni interne per la sicurezza dei dati e dei sistemi;
• Controlli e sanzioni: se, e in quale misura, il datore di lavoro si riserva di effettuare controlli, indicando le ragioni legittime (anche per verifiche sulla funzionalità e sicurezza del sistema) e le relative modalità (precisando se, in caso di abusi singoli o reiterati, vengono effettuati controlli nominativi o su singoli dispositivi e postazioni); adozione di eventuali sanzioni disciplinari in caso di constatati abusi.

Nel caso in cui l’accesso datoriale ai contenuti delle e-mail professionali dei dipendenti assuma le caratteristiche di un controllo difensivo “preventivo”¹⁹ e ciò sia giustificato da esigenze organizzative o produttive, sarà ad esso applicabile il comma 1 dell’articolo 4 dello Statuto; in quanto tale controllo, avvenendo per mezzo di sistemi informativi, viene attuato tramite “apparecchiature”. Ne consegue che, in situazioni in cui il datore voglia riservarsi il diritto di controllare “a campione” i contenuti delle e-mail professionali – adottando cautele rispettose della libertà e dignità dei lavoratori – dovrebbe preliminarmente sottostare alla procedura di garanzia prevista dallo Statuto.

Infine, nel diverso caso di accesso ai contenuti delle e-mail professionali per una finalità “difensiva”, cioè di contrasto ad abusi o illeciti della cui commissione si ha un fondato sospetto, l’esclusione dei controlli “difensivi” dall’ambito di applicazione dell’art. 4 St. non elimina le garanzie che Costituzione, Statuto dei lavoratori e Codice privacy riconoscono all’individuo. Per questo motivo anche in queste ipotesi occorre:

• Avere chiara la panoramica sulle norme.
• Analizzare la realtà aziendale e le relative esigenze – premesse essenziali di qualsiasi attività di controllo.
• Rispettare proporzionalità – nel senso della commisurazione del controllo rispetto alla gravità dell’abuso sospettato – e non eccedenza²⁰, in quanto i legittimi interessi dell’azienda non bastano a giustificare qualsiasi intrusione nella sfera privata del dipendente, quindi:
• Procedere al controllo dei contenuti delle e-mail
  • solo se esso risulta essenziale per il contrasto all’abuso o all’illecito commesso o in corso di concretizzazione oppure si può procedere con metodi di sorveglianza tradizionale e meno invasivi (ad esempio, ricorrendo ad addetti alla vigilanza o con altri tipi di controllo umano),
  • effettuando il controllo con gradualità, ad esempio, prima su dati di traffico delle comunicazioni intercorse dalla casella di posta dei dipendenti sospettati e successivamente, proseguendo con controlli più circoscritti e dettagliati²¹.
  • adottando modalità di controllo limitate alle specifiche esigenze: ad esempio, circoscrivendo il monitoraggio alla sola corrispondenza da cui si potrebbe evincere l’abuso;
  • riducendo al minimo la raccolta dei dati (limitandosi a quelli che comprovano l’irregolarità).
• Soddisfare previamente i limiti imposti dallo Statuto: ad esempio, non è possibile la lettura e la registrazione sistematica dei messaggi di posta elettronica²², né utilizzare la “finalità difensiva” per eludere il divieto né per aggirare l’obbligo della “procedura multilivello” dell’art. 4 St., e nemmeno si possono effettuare – tramite la classificazione delle pagine web filtrate, categorizzazioni di profili individuali dei lavoratori, in base alle rispettive scelte fatte online883
• Soddisfare i presupposti giuridici per il trattamento dei tracciati di navigazione²³.
• Operare alla “luce del sole”, cioè:
  • attraverso la diffusione di informative generali e preventive sull’uso delle strutture aziendali, sulle modalità dei possibili controlli e sulle conseguenze delle violazioni, indicando le categorie di soggetti autorizzati ad effettuare le operazioni di monitoraggio e ad accedere alle risultanze
  • specificando le informazioni che vengono conservate ed il relativo periodo di conservazione
  • fornendo un’informativa individualizzata sulle categorie di dati che sono raccolte tramite queste operazioni, le finalità perseguite, le modalità tramite cui i dipendenti possono esercitare i propri diritti sulla protezione dei dati.
• Definire i ruoli di protezione dei dati delle persone autorizzate ad eseguire le attività di monitoraggio e ad accedere alle relative registrazioni
• Determinare la durata massima di conservazione delle registrazioni dei tracciati log che «deve essere giustificata da una finalità specifica e comprovata e limitata al tempo necessario – e predeterminato – a raggiungerla»²⁴; mentre a nulla rileva ai fini della legittimità della conservazione dei tracciati, che l’azienda, eventualmente, non si avvale di tali dati a fini disciplinari²⁵.
• Stabilire le modalità atte a garantire l’esercizio dei diritti di protezione dei dati in merito a questo monitoraggio.

Solo queste prerogative rendono legittimo il controllo effettuato all’insaputa dell’indagato.

Si ricorda che il controllo del contenuto delle e-mail coinvolge la riservatezza di più soggetti: del trasmittente e ricevente esterno all’azienda, oltre che del lavoratore.

Il controllo che giunge a rivelare il contenuto delle comunicazioni elettroniche personali del dipendente è particolarmente invasivo. Per questo, è necessario che l’accesso:

• sia previsto come possibilità all’interno dell’informativa generale preventivamente diffusa (il caso che legittima la conoscenza dei contenuti deve essere circostanziato);
• sia indispensabile, ad esempio al fine di determinare la cessazione dell’anomalia in concreto riscontrata (valutando preventivamente l’alternativa di fermarsi alla sola analisi del tracciamento dei log).

L’accesso ai “dati interni” delle e-mail a contenuto chiaramente personale trova giustificazione solo per finalità “difensive”, mentre i relativi tracciati di comunicazione sono legittimamente assoggettabili ai normali controlli di sicurezza e di manutenzione dei sistemi informatici²⁶. In questo senso, tuttavia, occorre che vengano rispettate le misure previste per il tracciamento delle attività svolte dagli amministratori di sistema²⁷, specie quando costoro abbiano possibilità di accedere alle cartelle di sistema in cui venga archiviata “in chiaro” la corrispondenza elettronica generata dall’account aziendale o diretta verso di esso.

Secondo il documento di lavoro del Gruppo dei Garanti dell’art. 29, wp 55, tra tali casi si registrano quelli della ricerca di virus informatici nonchè il controllo per il contrasto ad illeciti penali che possono coinvolgere l’azienda in responsabilità oppure in quanto vittima dell’attività criminale in questione. In tutte le altre ipotesi prevale il principio della segretezza della corrispondenza elettronica.