IL CONTROLLO DEI LAVORATORI: STATO DELL’ARTE ALLA LUCE DELLE PRONUNCE DEL GARANTE E DELLA RECENTE GIURISPRUDENZA

avv. Monica Gobbato - dott.ssa Sara Tagliabue

È notorio che le nuove tecnologie abbiamo modificato sostanzialmente la vita di tutti i giorni e quindi, nello specifico, anche il modo di lavorare. L’avvento di nuovi strumenti tecnologici sul luogo di lavoro ha sollevato degli interrogativi di interesse giuridico. In particolare sempre più spesso ci si chiede come sia possibile far conciliare l’uso dei nuovi strumenti informatici da una parte, e il diritto alla privacy ed ogni altro diritto del lavoratore, dall’altra. Se infatti è assolutamente legittimo che il datore di lavoro impieghi, nello svolgimento dell’attività lavorativa, gli strumenti che ritiene più opportuni e che gli offrano maggiori possibilità di profitto, è anche vero che questo non può andare a discapito dei propri lavoratori. La giurisprudenza ci mostra come siano sempre più frequenti i casi in cui il lavoratore ricorra alla magistratura per ottenere l’annullamento del proprio licenziamento ritenendo che questo sia stato determinato da una lesione di un proprio diritto alla riservatezza. Anche se non si tratta di una vera e propria novità. Già nel 1970 il legislatore, emanando la legge n. 300, meglio conosciuta come lo Statuto dei lavoratori, aveva intuito il potere invasivo che strumenti tecnologici come le telecamere potevano avere sulla tranquillità del lavoratore nello svolgimento delle proprie mansioni. E difatti l’articolo 4 della legge citata stabilisce che:

“È vietato l’uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dei lavoratori.

Gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi al possibilità di controllo a distanza dell’attività dei lavoratori, possono essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con al commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede l’ispettorato del lavoro, dettando ove occorra, le modalità per l’uso di tali impianti”.

All’epoca della redazione del testo di legge chiaramente il legislatore intendeva riferirsi principalmente all’uso delle telecamere sul luogo di lavoro, poste dal datore di lavoro all’unico scopo di controllare costantemente lo svolgimento dell’attività lavorativa. Ma da allora molte cose sono cambiate e sui luoghi di lavoro sono comparsi computer, internet, posta elettronica, strumenti che permettono di effettuare un controllo sul lavoratore, spesso senza che neanche lui stesso sappia di esserne sottoposto. Di recente sul sito www.punto-informatico.it è comparso un articolo che riporta alcuni dati di una ricerca condotta da FORRESTER RESEARCH, secondo la quale negli USA e in Gran Bretagna lo spionaggio intraziendale a danno dei dipendenti è una realtà diffusissima. Infatti su un campione di 1406 aziende, con più di mille dipendenti, il 38% degli imprenditore ha ammesso di aver assunto personale specializzato per controllare il comportamento dei propri lavoratori on-line. Sempre secondo la FORRESTER REASEARCH, questo è dovuto al timore che informazioni delicate riguardanti l’attività lavorativa possano circolare liberamente su internet causando danni all’azienda. In Italia forse la situazione non è così allarmante, ma a livello legislativo c’è ancora una forte confusione e il susseguirsi di numerose sentenze che sembrano a volte prendere una direzione, a volte quella opposta, ne sono l’evidente dimostrazione.

Prima di procedere ad una breve disamina dell’orientamento seguito dalla giurisprudenza in questi ultimi anni, dobbiamo anzitutto ricordare che il Codice della Privacy (D.Lgs. 196/2003), all’art. 114, ribadisce che, nell’ambito della controllo a distanza sul posto di lavoro, resta valido quanto stabilito dal già citato art. 4 Statuto dei lavoratori.

Procedendo con l’analisi delle principali pronunce, la prima sentenza degna di nota in materia risale al 2000.

Suprema Corte di Cassazione, Sentenza 17 giugno 2000 n. 8250.

Nella fattispecie la Corte aveva sentenziato l’inutilizzabilità come prova di fotogrammi ottenuti attraverso l’installazione di videocamere sul luogo di lavoro allo scopo di verificare il comportamento fraudolento del lavoratore, perché tali registrazioni erano state effettuate all’insaputa di quest’ultimo e quindi in violazione dell’art. 4 dello Statuto. Nel caso in esame, “l’installazione, da parte della ricorrente, della telecamera a circuito chiuso, nella misura in cui risulta finalizzata a controllare a distanza anche l’attività dei dipendenti, è da ritenersi illecita, inficiando lo stesso valore probatorio del fonogramma conseguito in sua violazione.

Ma anche a volere, in ipotesi, far confluire la fattispecie concreta in quella astrattamente prevista dal secondo comma dell’art. 4 cit., così come sembrerebbe pretendere la ricorrente, egualmente l’installazione della telecamera sarebbe vietata, in quanto non preceduta dall’iter descritto da detto comma”.

Corte di Cassazione, sezione Lavoro, Sentenza 3 aprile 2002, n. 4746.

Due anni dopo, nel 2002, sempre la Corte di Cassazione, sezione lavoro, con la sentenza n. 4746 introduceva un concetto nuovo: quello della legittimità dei c.d. “controlli difensivi”.

Con tale pronuncia la giurisprudenza invertiva la rotta. In precedenza stabiliva infatti il divieto di ogni tipo di controllo sulle attività del lavoratore, comprensiva cioè della prestazione lavorativa e di tutti i comportamenti connessi, ora invece considerava leciti i c.d. “controlli difensivi”, ossia quelli che attengono all’attività lavorativa, ma che sono diretti ad accertare eventuali condotte illecite del lavoratore. Si legge nel dispositivo: “Ai fini dell'operatività del divieto di utilizzo di apparecchiature per il controllo a distanza dell'attività dei lavoratori previsto dall'art. 4 l. n. 300 citata, è necessario che il controllo riguardi (direttamente o indirettamente) l'attività lavorativa, mentre devono ritenersi certamente fuori dell'ambito di applicazione della norma i controlli diretti ad accertare condotte illecite del lavoratore (cd. controlli difensivi), quali, ad esempio, i sistemi di controllo dell'accesso ad aree riservate, o, appunto, gli apparecchi di rilevazione di telefonate ingiustificate”.

Posta Elettronica: Tribunale di Milano, 10 maggio 2002

E’ risaputo che un controllo sul lavoratore può essere effettuato in altri modi, oltre che attraverso le telecamere ed internet ma anche mediante la posta elettronica. Relativamente a quest’ultima, la prima pronuncia italiana in materia è quella del Tribunale di Milano, datata 10 maggio 2002. Nella fattispecie il GIP ha ordinato l’archiviazione del caso di una donna che lamentava l’illegittimità del proprio licenziamento, in quanto determinato dalla lettura del contenuto della propria casella di posta elettronica aziendale, da parte del datore di lavoro, durante un periodo di assenza dall’attività lavorativa. Il giudice ha motivato l’archiviazione stabilendo che la casella di posta elettronica aziendale debba essere considerato un semplice strumento di lavoro aziendale a disposizione dell’utente-lavoratore al solo fine di consentire al medesimo di svolgere la propria funzione aziendale e che, come tutti gli altri strumenti di lavoro forniti dal datore di lavoro, rimane nella completa e totale disponibilità del medesimo senza alcun tipo di limitazione. Difatti secondo il giudice “la personalità dell’indirizzo non significa necessariamente privatezza del medesimo dal momento che, salve le ipotesi in cui la qualifica del lavoratore lo consenta o addirittura lo imponga in considerazione dell’impossibilità o del divieto di compiere qualsiasi tipo di controllo/intromissioni da parte di altri lavoratori che rivestano funzioni o qualifiche sovraordinate, l’indirizzo aziendale, proprio perché tale, può essere nella disponibilità di accesso e lettura ad parte di persone diverse dall’utilizzatore consuetudinario a prescindere dalla identità o diversità di qualifica o funzione”.

Posta Elettronica - Giudice di Pace di Bari - 7 giugno 2005.

Più recentemente, nello stesso ambito, si è pronunciato il Giudice di Pace di Bari (7 giugno 2005), il quale ha sanzionato, per violazione della riservatezza della corrispondenza informatica ai sensi dell’art. 616 cod. pen., una giornalista colpevole di aver letto il contenuto delle e-mail di un proprio collega durante la sua assenza considerando che “la posta elettronica dei colleghi in quanto personale, ancorché inserita nel computer aziendale attribuito dall’editore e utilizzato per fini di lavoro, debba considerarsi INACCESSIBILE ancorché non utilmente protetta nel sistema informatico, come dovrebbe essere; a meno che non vi sia l’autorizzazione dell’interessato, che è il solo a sapere se la casella contiene o meno informazioni riservate”.

Controllo da parte del datore di lavoro – Navigazione Internet.

In relazione alla navigazione su internet e al controllo che di questo viene fatto dal datore di lavoro, meritano di essere segnalate tre distinte sentenze.

La prima delle tre sentenze risale al 2001 ed è della sezione lavoro del Tribunale di Milano. Quest’ultimo riconosceva la legittimità del licenziamento a danno di un’impiegata di cui la società datrice di lavoro riusciva a dimostrare il comportamento scorretto avendo effettuato un controllo sulla sua navigazione in internet durante l’orario di lavoro. Secondo il Tribunale la condotta della lavoratrice “non solo aveva provocato costi aziendali non necessari, ma soprattutto vista la sua entità, aveva integrato gli estremi di un rilevante inadempimento degli obblighi contrattuali di lavoro, in quanto per le ore in cui avveniva il collegamento Internet la lavoratrice non aveva effettuato la prestazione per la quale era retribuita”.

La seconda sentenza è della Corte d’Appello di Milano, più precisamente si tratta della sentenza del 30 settembre 2005, la quale sembra sconvolgere quanto invece stabilito dalla pronuncia del 2001. Difatti la sentenza dichiara l’illegittimità di due licenziamenti disciplinari, a distanza di tre mesi l’uno dall’altro, a danno di una dipendente di un’industria

farmaceutica, alla quale era stato contestato un utilizzo illegittimo degli strumenti informatici aziendali per connettersi ad internet ed utilizzare la propria posta elettronica.

La Corte non ha contestato il né fatto che il comportamento della lavoratrice dovesse essere considerato a tutti gli effetti come lesivo delle disposizioni contrattuali, né tanto meno che il datore di lavoro non fosse legittimato ad effettuare controlli sull’attività del lavoratore. Ciò che viene addebitato alla società è il fatto di aver effettuato tali controlli

prescindendo da quanto previsto dall’art. 4 dello Statuto dei Lavoratori. Perciò i dati acquisiti in violazione di tale norma sono inutilizzabili, come del resto già stabilito dalla precedente sentenza della Corte di Cassazione già citata.Difatti la società si era avvalsa dell’uso di un software che era in grado di acquisire e memorizzare per due mesi tutti i collegamenti ad internet del singolo lavoratore, con ricostruzione dei siti visitati, dei tempi di accesso etc.

Secondo la Corte tale meccanismo ha consentito alla società di effettuare un trattamento di dati sensibili, in quanto si poteva ricavare da collegamenti internet extra lavorativi anche indicazioni sulle opinioni politiche, religiose, o sindacali del singolo lavoratore. Per tali ragioni, l’installazione di tali metodi di controllo poteva avvenire soltanto nel rispetto della regola fondamentale stabilita dall’art. 4 dello Statuto dei lavoratori.

L’ultima sentenza in ordine di tempo è del Tribunale di Perugia del 19 maggio 2006. Tale pronuncia conferma quanto previsto da giudice di 1° grado con sentenza 20 febbraio 2006 e cioè l’illegittimità del licenziamento, non perché ci fosse stata violazione dell’art. 4 dello statuto, ma perché esso viene considerato dal giudice come misura eccessiva a seguito della verifica di un comportamento scorretto del dipendente per l’abuso di internet sul luogo di lavoro, posto che tale atteggiamento non è stato in grado di determinare un calo di rendimento del lavoratore o un danno diretto al suo datore di lavoro. Già il giudice di 1° grado aveva stabilito che “è evidente che la società convenuta non ha utilizzato le apparecchiature per controllare l’attività del prestatore a distanza. Ciò che essa si proponeva di accertare con quel controllo era, in realtà, soltanto il corretto uso da parte del dipendente dei mezzi informatici posti a sua disposizione esclusivamente per finalità professionali”. Inoltre occorre considerare che in questo episodio il controllo dei dati relativi alla navigazione in internet effettuata dal personal computer in uso al lavoratore, fosse pienamente conforme alla previsione dell’art. 4 statuto dei lavoratori, in quanto in data 7 aprile 2004 la società e il competente organismo di rappresentanza sindacale avevano firmato un accordo in base al quale tutti gli accessi dalle singole postazioni verso indirizzi internet potessero essere mantenuti in un apposito log di sistema, ed è appunto attingendo ai dati in esso presenti che la società ha potuto ricostruire tutti i contatti con i siti Internet stabiliti dal lavoratore.

Garante per la Protezione dei Dati Personali – 2 febbraio 2006

Altro caso è stato esaminato dall’Autorità Garante per la Privacy che si espressa nel merito di una questione simile con il provvedimento del 2 febbraio 2006. Il Garante, ritenendo fondato il ricorso, si è schierato dalla parte del lavoratore il quale chiedeva il blocco e la cancellazione, così come prevede l’art. 7 del Codice della Privacy, dei dati relativi alla navigazione in internet da lui effettuata durante il periodo in cui ha prestato lavoro alla reception di una casa di cura e da questa utilizzati come prova per il suo legittimo licenziamento. Il ricorrente si appellava all’art. 7 del Codice della Privacy ritenendo che l’analisi della propria navigazione in internet ledesse il proprio diritto alla riservatezza in quanto i dati da essa ricavati potevano essere considerati a tutti gli effetti come dati sensibili, poiché erano in grado di rivelare le sue convinzioni religiose, politiche, sindacali, nonché le proprie abitudini sessuali (difatti la maggior parte di siti da lui visitati erano di carattere pornografico).

In particolare il Garante decideva:

“Per ciò che concerne il merito va rilevato che la società, per dimostrare un comportamento illecito nel quadro del rapporto di lavoro, ha esperito dettagliati accertamenti in assenza di una previa informativa all'interessato relativa al trattamento dei dati personali, nonché in difformità dall'art. 11 del Codice nella parte in cui prevede che i dati siano trattati in modo lecito e secondo correttezza, nel rispetto dei principi di pertinenza e non eccedenza rispetto alle finalità perseguite.

Dalla documentazione in atti si evince che la raccolta da parte del datore di lavoro dei dati relativi alle navigazioni in Internet è avvenuta mediante accesso al terminale in uso all'interessato (con copia della cartella relativa a tutte le operazioni poste in essere su tale computer durante le sessioni di lavoro avviate con la sua password, come si desume dalla stringa riportata in apice all'elenco dei file prodotti dalla resistente anziché mediante accesso a file di backup della cui esistenza il personale della società è informato mediante il "manuale della qualità " accessibile agli stessi sul proprio terminale.

A parte la circostanza che l'interessato non era stato, quindi, informato previamente dell'eventualità di tali controlli e del tipo di trattamento che sarebbe stato effettuato, va rilevato sotto altro profilo che non risulta che il ricorrente avesse necessità di accedere ad Internet per svolgere le proprie prestazioni. La resistente avrebbe potuto quindi dimostrare l'illiceità del suo comportamento in rapporto al corretto uso degli strumenti affidati sul luogo di lavoro limitandosi a provare in altro modo l'esistenza di accessi indebiti alla rete e i relativi tempi di collegamento. La società ha invece operato un trattamento diffuso di numerose altre informazioni indicative anche degli specifici "contenuti" degli accessi dei singoli siti web visitati nel corso delle varie navigazioni, operando -in modo peraltro non trasparente- un trattamento di dati eccedente rispetto alle finalità perseguite.

La raccolta di tali informazioni ha comportato, altresì, il trattamento di alcuni dati sensibili idonei a rivelare convinzioni religiose, opinioni sindacali, nonché gusti attinenti alla vita sessuale (ciò, stante l'elevato numero di informazioni valutate in rapporto ad un lungo arco di tempo, gli specifici contenuti risultanti da alcuni indirizzi web e il contesto unitario in cui il complesso di tali dati è stato valutato), rispetto ai quali la disciplina in materia di dati personali pone peculiari garanzie che non sono state integralmente rispettate nel caso di specie (art. 26 del Codice; aut. gen. del Garante n. 1/2004).

Va infatti tenuto conto che, sebbene i dati personali siano stati raccolti nell'ambito di controlli informatici volti a verificare l'esistenza di un comportamento illecito (che hanno condotto a sporgere una querela, ad una contestazione disciplinare e al licenziamento), le informazioni di natura sensibile possono essere trattate dal datore di lavoro senza il consenso quando il trattamento necessario per far valere o difendere un diritto in sede giudiziaria sia "indispensabile" (art. 26, comma 4, lett. c), del Codice; autorizzazione n. 1/2004 del Garante). Tale indispensabilità, anche alla luce di quanto precedentemente osservato, non ricorre nel caso di specie.

Inoltre, riguardando anche dati "idonei a rivelare lo stato di salute e la vita sessuale", il trattamento era lecito solo per far valere o difendere in giudizio un diritto di rango pari a quello dell'interessato ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile. Anche tale circostanza non ricorre nel caso di specie, nel quale sono stati fatti valere solo diritti legati allo svolgimento del rapporto di lavoro (cfr. art. 26, comma 4, lett. c), del Codice; punto 3, lett. d), della citata autorizzazione; cfr. Provv. Garante 9 luglio 2003).

Alla luce delle considerazioni sopra esposte e considerato l'art. 11, comma 2, del Codice secondo cui i dati trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati, l'Autorità dispone quindi, ai sensi dell'art. 150, comma 2, del Codice, quale misura a tutela dei diritti dell'interessato, il divieto per la società resistente di trattare ulteriormente i dati personali raccolti nei modi contestati con il ricorso.

La presente decisione lascia impregiudicati i diritti delle parti in ordine alla liceità o meno dei comportamenti addebitati al ricorrente”,

Badge

Si deve anche considerare che oltre a telecamere, internet e posta elettronica esiste un altro strumento attraverso il quale è possibile effettuare un controllo sul lavoratore: si tratta del badge, cioè di quel tesserino magnetico di cui molte grosse società dispongono per diverse ragioni quali consentire il riconoscimento dei lavoratori, facilitare l’accesso in aree riservate e controllare l’orario di entrata e di uscita dal luogo di lavoro di un dipendente. Per valutare la legittimità di utilizzo del badge dobbiamo effettuare una preliminare distinzione. Esistono infatti due tipi di badge: il primo è quello tradizionale, il secondo è invece quello che impiega la tecnologia RIFD, cioè l’inserimento di un microchip nel tesserino che consente al datore di lavoro di conoscere per filo e per segno i singoli spostamenti effettuati dal lavoratore nel perimetro del luogo di lavoro durante l’intera giornata (ad esempio può sapere quanto tempo si è fermato in mensa, se ha partecipato o meno ad assemblee sindacali, quante pause caffé ha fatto…). Nel caso dei utilizzo della prima tipologia di badge non ci pongono problemi di legittimità: i dati così registrati sono senz’altro da considerarsi personali ai sensi dell’art. 4 Codice Privacy, in questo senso si era anche pronunciato il Garante Privacy nella sua newsletter del 7-13 giugno 1999 “ anche le rilevazioni effettuate mediante badge magnetico e conservate in un archivio informatico costituiscono dati personali e possono essere oggetto di una richiesta di accesso”. Essendoci dunque un trattamento di dati personali è necessario informare il soggetto ai quali i dati si riferiscono circa le finalità e le modalità del trattamento stesso, nonché l’ambito di comunicazione e diffusione degli stessi e quindi tutte le altre informazioni obbligatorie previste dall’art. 13 del Codice della Privacy.

Discorso a parte, invece, riguarda i badge con tecnologia RIFD. In questo caso il Garante, con un provvedimento di carattere generale datato 9 marzo 2005, ha stabilito che “per la verifica di accessi a determinati luoghi riservati devono essere predisposte idonee cautele per i diritti e le libertà delle persone. In particolare: per i luoghi di lavoro va rispettato quanto previsto dallo Statuto dei lavoratori che vieta l’utilizzo di impianti per il controllo a distanza del lavoratore”.

Conclusioni

Dopo aver passato in rassegna sommariamente tutte le pronunce a nostra disposizione in materia cerchiamo di tirare delle conclusioni.
A parere di chi scrive, sembra ora sempre più necessario, per tutelare la riservatezza del lavoratore, senza che questo implichi un danno per il datore di lavoro, predisporre una chiara e precisa policy aziendale da consegnare ad ogni dipendente (o comunque da rendere disponibile con altre modalità) che stabilisca delle regole precise per l’utilizzo di tutte le apparecchiature informatiche (uso di internet e posta elettronica ad esempio), in modo tale che tutti sappiano quali siano i propri diritti e propri doveri. A scanso di ogni possibile equivoco, sembra da ritenersi ormai irrinunciabile per i datori di lavoro che intendono avvalersi di un controllo sull’operato dei propri dipendenti, di munirsi di un accordo con le compagini sindacali interessate o in mancanza di farsi autorizzare dall’Ispettorato del Lavoro competente.