Recentemente, il Tribunale di Roma, sezione I Lavoro, con sentenza n. 1870/2024, ha affrontato nuovamente la questione della legittimità dei controlli datoriali sulla corrispondenza elettronica dei dipendenti, ponendo in luce potenziali ulteriori criticità dei controlli cosiddetti “difensivi in senso stretto”.
Nello specifico, il Tribunale di Roma ha dichiarato nullo, in quanto determinato da un motivo illecito ex art. 1345 c.c., il licenziamento, da parte di una nota compagnia aerea, di un dirigente assunto con la qualifica di General Counsel e responsabile della compliance, in quanto, la società avrebbe posto alla base del provvedimento “fatti precedenti alla segnalazione e ai conseguenti accertamenti” di tipo disciplinare, utilizzando informazioni ottenute attraverso un “illecito accesso alla corrispondenza” del dipendente, “eseguito senza autorizzazione” e violando sia l’art. 4 della L. 300/1970, come modificato al D. Lgs. 151/2015 (cd. “Statuto dei Lavoratori”), sia la normativa nazionale ed europea in materia di protezione dei dati personali.
Oltre a condannare la società a reintegrare il dirigente nel posto di lavoro, il Giudice ha, altresì, disposto la trasmissione degli atti alla Procura della Repubblica per l’accertamento degli eventuali profili penali.
Il principio stabilito dal Tribunale romano rappresenta un’interpretazione particolarmente stringente della figura dei cosiddetti “controlli difensivi”, la cui legittimità è stata ammessa dalla giurisprudenza laddove sussistano determinati presupposti. Di seguito richiamiamo brevemente gli aspetti principali della questione, così da meglio evidenziare gli elementi peculiari della pronuncia in esame.
I fatti oggetto di causa e il contesto normativo di riferimento
Prima dell’instaurazione del procedimento disciplinare, il dirigente si era visto recapitare dalla società una lettera con la quale veniva sospeso in via cautelare, “al fine di verificare alcune informazioni recentemente acquisite” dalla società e “potenzialmente impattanti sul vincolo fiduciario”. Pochi minuti dopo la sospensione, l’account e-mail del dirigente era stato unilateralmente disattivato dalla società, che impostava il seguente messaggio automatico di risposta: “sono momentaneamente indisponibile e sarete contattati il prima possibile”.
Solo a distanza di alcuni giorni dai predetti eventi, la società aveva avviato un procedimento disciplinare nei confronti del manager, contestando allo stesso di aver tenuto comportamenti volti a “denigrare i ruoli di governance aziendale e quindi, preordinati a perseguire finalità non coincidenti con quelle della società”, nonché ulteriori condotte ritenute lesive degli interessi della stessa, e concludendo il procedimento con un licenziamento per giusta causa del dirigente.
Avverso tale provvedimento datoriale, il manager presentava, dunque, ricorso innanzi al Tribunale di Roma, eccependo:
- la natura ritorsiva e/o discriminatoria del licenziamento;
- la violazione degli artt. 4 e 7 dello Statuto dei Lavoratori e della normativa sulla protezione dei dati personali;
- l’infondatezza degli addebiti.
Il contesto normativo di riferimento in materia di controlli datoriali
Il tema dei controlli aziendali sugli strumenti informatici assegnati al personale è disciplinato, principalmente, da due diverse normative, a cui corrisponde un doppio grado di tutela.
In particolare, a seguito della riforma del 2015, operata con il D. Lgs. 151/2015, tali strumenti sono stati espressamente correlati dal legislatore attraverso le seguenti previsioni normative:
- l’art. 4 dello Statuto dei Lavoratori, il quale – mirando a tutelare la dignità della persona del lavoratore – ammette i controlli a distanza dei dipendenti mediante strumenti tecnologici solo per esigenze tassative (i.e., organizzative e produttive, di sicurezza del lavoro, di tutela del patrimonio aziendale) e previo accordo con le rappresentanze sindacali o, in mancanza, autorizzazione dell’ispettorato territoriale del lavoro. La nuova formulazione della norma aggiunge, altresì, che le informazioni acquisite tramite tali controlli sono utilizzabili “a tutti i fini connessi al rapporto di lavoro” (comma 3) solo previa comunicazione ai lavoratori delle modalità d’uso di tali strumenti e dell’esecuzione dei relativi controlli;
- il Regolamento generale (UE) 2016/679 in materia di protezione dei dati personali (cd. “GDPR”), il D. Lgs. 196/2003 come modificato dal D. Lgs. 101/2018 e s.m.i. (cd. “Codice Privacy”), nonché i provvedimenti del Garante per la protezione dei dati personali (il “Garante”) e delle altre Autorità competenti in materia (di seguito, complessivamente, la “Normativa Privacy”), che mirano a proteggere il diritto alla riservatezza del dipendente in quanto persona fisica.
Stante quanto precede, ai sensi dell’art. 4 dello Statuto dei Lavoratori, così come in vigore a seguito del Jobs Act, e della Normativa Privacy, i controlli datoriali eseguiti tramite strumenti di monitoraggio a distanza della prestazione dei lavoratori sono consentiti, e i dati raccolti dagli stessi utilizzabili, soltanto ove (i) finalizzati alla tutela delle esigenze tassativamente indicate dall’art. 4 dello Statuto dei Lavoratori sopra richiamato e previo (ii) accordo collettivo o autorizzazione amministrativa, nonché (iii) adeguata informazione ai lavoratori delle modalità di effettuazione dei controlli stessi, da rendersi mediante adeguata informativa privacy ex art. 13 GDPR, sia attraverso apposita policy aziendale – di solito, attraverso quella relativa all’utilizzo degli strumenti informatici – da pubblicizzare con le modalità più opportune, così come diremo più avanti.
Dottrina e giurisprudenza, tuttavia, si sono interrogate se, pur a fronte del quadro giuridico che precede, non residuasse, comunque, un ambito di applicazione per la figura – di origine giurisprudenziale – dei controlli c.d. “difensivi”, ossia quei controlli posti in essere dal datore, al di fuori dei limiti dettati dal predetto articolo 4 dello Statuto dei Lavoratori, in presenza di un fondato sospetto circa la commissione di illeciti da parte dei lavoratori e diretti ad accertare eventuali comportamenti degli stessi lesivi del patrimonio aziendale.
Il faro della giurisprudenza della Corte di Cassazione
A tal fine, in particolare, occorre fare riferimento alla giurisprudenza della Corte di Cassazione, la quale ha ulteriormente sottodistinto tali controlli come segue:
- controlli difensivi in senso lato, in cui rientrerebbero quei controlli posti a tutela del patrimonio aziendale e riguardanti tutti i dipendenti (o gruppi di dipendenti) nello svolgimento della loro prestazione di lavoro che, tuttavia, in ragione proprio delle modifiche introdotte dal D. Lgs. 151/2015, la giurisprudenza fa ora rientrare tout court nell’ambito di applicazione dell’articolo 4 dello Statuto dei Lavoratori; e
- controlli difensivi in senso stretto, in cui rientrerebbero, invece, quei controlli diretti ad accertare specificamente condotte illecite ascrivibili – in base a concreti indizi – a singoli dipendenti, anche se ciò si verifichi durante la prestazione di lavoro. Solo quest’ultima tipologia di controlli, secondo quanto espresso dalla Suprema Corte, anche se effettuati con strumenti tecnologici, si situerebbe ancora oggi all’esterno del perimetro applicativo dell’articolo 4 dello Statuto dei Lavoratori non avendo ad oggetto la normale attività del lavoratore (Cass. Civ., Sez. Lav., 25732/2021, Cass. Civ., Sez. Lav., 34092/2021, Cass. Civ., Sez. Lav., 18168/2023).
Alla luce, quindi, della ricostruzione giurisprudenziale della Corte di Cassazione, si può affermare che le garanzie previste dallo Statuto dei Lavoratori si applichino a tutte le tipologie di controlli sopra menzionati, a eccezione dei controlli difensivi in senso stretto, a condizione, tuttavia, che, nell’ambito di questi ultimi, sussistano specifici presupposti; vediamo quali.
Presupposti dei controlli difensivi in senso stretto
Come evidenziato sopra, i controlli difensivi in senso stretto non sono soggetti alle garanzie previste dall’art. 4 dello Statuto dei Lavoratori. Tuttavia, la giurisprudenza, pronunciatesi più volte sul tema (da ultimo, Cass. Civ., Sez. Lav., 25732/2021, Cass. Civ., Sez. Lav., 18168/2023), ha provveduto a individuarne gli specifici requisiti di legittimità. Nello specifico, tali controlli devono:
- essere mirati, in quanto diretti ad accertare specifiche condotte illecite ascrivibili a singoli lavoratori;
- essere svolti solo in presenza di un fondato sospetto circa la commissione di un illecito;
- svolgersi quali controlli ex post, ovvero posti in essere soltanto dopo che sia sorto il fondato sospetto;
- assicurare un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali e le imprescindibili tutele della dignità e della riservatezza del lavoratore di cui all’art. 8 della Convenzione europea dei diritti dell’uomo[1]. Tale valutazione, infatti, deve essere svolta già in sede di iniziativa finalizzata ad attuare un controllo, alla stregua dei principi che regolano, per chiunque, le modalità di trattamento dei dati personali;
- essere effettuati, altresì, nel rispetto della Normativa Privacy. Al riguardo, oltre alle disposizioni del GDPR e al più generale principio di accountability, rilevano in particolare le Linee Guida del Garante Privacy per posta elettronica e internet del 10 marzo 2007 (le “Linee Guida”) e i successivi provvedimenti adottati dall’Autorità sul tema (inter alia, Provv. del 4.12.2019, n. 216, Provv. del 07.04.2022, n. 127; Provv. del 13.04.2023, n. 127).
Quale presupposto fondamentale affinché i controlli effettuati sull’account di posta elettronica del dipendente possano essere ritenuti legittimi, le Linee Guida individuano il preventivo adempimento, da parte della società, in qualità di titolare del trattamento, degli obblighi informativi nei confronti del lavoratore attraverso la pubblicazione di una policy interna (da pubblicizzare adeguatamente e da sottoporre ad aggiornamento periodico) nonché di un’apposita informativa ai sensi, oggi, dell’art. 13 del GDPR.
La giurisprudenza, inoltre, ribadisce che, affinché i controlli eseguiti dal datore di lavoro siano legittimi, devono rispettare scrupolosamente anche i principi di minimizzazione e di proporzionalità, di pertinenza e di non eccedenza rispetto ad uno scopo che sia legittimo, di trasparenza e correttezza, ricavabili tutti dalla normativa vigente in materia di protezione dei dati personali.
A ciò si aggiunga l’ulteriore elemento, di particolare rilievo anche per il caso di specie, della conservazione nel tempo dei dati raccolti, che deve essere strettamente limitata al perseguimento di finalità organizzative, produttive e di sicurezza.[2]
Il requisito del “fondato sospetto”
Ciò posto, occorre altresì sottolineare che il concetto di “fondato sospetto” non è compiutamente definito dalla giurisprudenza (per un approfondimento sul tema, si rimanda all’articolo “Controlli difensivi del datore di lavoro e fondatezza del sospetto”, disponibile qui), la quale, tuttavia, propende per un’interpretazione restrittiva dello stesso. Non sarebbe, quindi, sufficiente un mero sospetto, in quanto lo stesso dovrebbe essere ragionevole e fondato su specifici elementi fattuali.
Pertanto, un “fondato sospetto” si riscontrerebbe in tutte quelle ipotesi in cui la minaccia di una condotta colpevole posta in essere dal dipendente sia suscettibile di una valutazione fattuale immediata e connessa a fatti penalmente rilevanti, o comunque, idonei a cagionare considerevoli pregiudizi economici o danni ingenti al patrimonio aziendale, ossia laddove sussistano elementi concreti, anteriori al controllo, che suggeriscano che il lavoratore stia ponendo in essere un determinato comportamento illecito.
L’onere della prova grava, conseguentemente, sul datore di lavoro: sia perché solo tale sospetto consente l’azione datoriale al di fuori del perimetro di applicazione dell’art. 4 dello Statuto dei Lavoratori, sia perché incombe su di lui la dimostrazione del complesso degli elementi che fondano il licenziamento (Cass. Civ., Sez. Lav., 25732/2021, Cass. Civ., Sez. Lav., 18168/2023). Il datore di lavoro dovrà, pertanto, essere in grado di ricostruire il momento in cui ha avuto la notizia che ha fatto sorgere il sospetto, la sua fonte e le circostanze concrete entro cui abbia eseguito gli approfondimenti necessari per attribuire fondatezza al sospetto stesso.
Ne deriva, dunque, secondo quanto affermato anche nella sentenza del Tribunale di Roma, che il datore di lavoro non è legittimato ad eseguire tali controlli in funzione esplorativa.
Gli elementi di novità presenti nella decisione del Tribunale di Roma
La sentenza del Tribunale di Roma qui richiamata sottolinea che il datore di lavoro è autorizzato a raccogliere informazioni solo successivamente all’insorgere del fondato sospetto, specificando che debbano ritenersi “utilizzabili solo le notizie successive al legittimo controllo”.
L’insorgenza di un fondato sospetto sembrerebbe, dunque, non solo individuare il momento in cui il controllo può essere attuato, ma circoscrivere altresì l’ambito della raccolta delle informazioni, che potrebbe avvenire, quindi, solo “da quel momento in poi” e non riguardare informazioni afferenti a momenti precedenti.
La Corte di Cassazione ha già avuto modo di chiarire che la collocazione temporale di tale sospetto costituisca il momento spartiacque a partire dal quale i dati acquisiti possono essere utilizzati nel procedimento disciplinare e, successivamente, in giudizio, non essendo possibile l’esame e l’analisi di informazioni precedentemente assunte in violazione delle prescrizioni di cui all’art. 4 dello Statuto dei Lavoratori, finendosi, altrimenti, per estendere “a dismisura” l’area del controllo difensivo lecito e rendendo retroattivamente lecito un comportamento che tale non era al momento in cui è stato tenuto (cfr. Cass. n. 25732/2021).
Il Giudice romano, tuttavia, si spinge oltre tale statuizione, restringendo ulteriormente l’ambito di liceità del controllo datoriale: se, infatti, secondo la giurisprudenza di legittimità, è l’attività di controllo che deve essere effettuata ex post, pur ammettendosi che la stessa possa avere a oggetto anche informazioni temporalmente precedenti, per il Tribunale di Roma sono, invece, utilizzabili le sole “notizie successive al legittimo controllo”. È di tutta evidenza la significativa contrazione delle possibilità di controllo del datore di lavoro determinata da una tale interpretazione.
Le possibili conseguenze in caso di controlli difensivi illeciti
Sul tema delle conseguenze che potrebbero derivare da un’interferenza ingiustificata nella corrispondenza del dipendente, la giurisprudenza è chiara: il datore di lavoro, oltre a non poter utilizzare le evidenze raccolte (né per fini disciplinari, né successivamente in giudizio), con conseguente nullità del licenziamento fondato sulle stesse, potrebbe essere soggetto alla domanda di (e talvolta essere condannato al) risarcimento dei danni subiti dal lavoratore.
Inoltre, il dipendente, in via alternativa, potrebbe altresì proporre reclamo al Garante, ai sensi degli articoli 77 del GDPR e da 140-bis a 143 del Codice Privacy, volto ad aprire un’istruttoria nei confronti del datore di lavoro per appurare la fondatezza e la legittimità dei controlli sotto il profilo della Normativa Privacy, con possibili ripercussioni pregiudizievoli sia in termini sanzionatori che, potenzialmente, di danno d’immagine.
Possibili ripercussioni penali
Oltre a ciò, infine, come confermato dalla sentenza in oggetto, l’illecito accesso alla corrispondenza del dipendente, potrebbe avere ripercussioni anche sotto il profilo penale. Non è escluso, infatti, la possibilità che, in alcuni casi, possano essere contestati altresì i reati di accesso abusivo a sistema informatico di cui all’art. 615-ter c.p. o di violazione della corrispondenza, previsto dall’art. 616 c.p., soprattutto nel caso in cui – oltre alla sussistenza degli altri presupposti necessari per la configurabilità del reato – la società non abbia adottato le necessarie misure informative, organizzative e tecniche per evitare che l’account di posta elettronica aziendale venga utilizzato anche per finalità personali. Inoltre, ai sensi dell’art. 171 del Codice Privacy, l’effettuazione di controlli in violazione delle previsioni dell’art. 4 dello Stuto dei Lavoratori comporta l’applicazione delle sanzioni penali di cui all’art. 38 della stessa legge.
L’importanza dell’equilibrio tra esigenza di controlli difensivi e rispetto delle normative vigenti
In un panorama normativo e giurisprudenziale complesso e articolato, diviene quindi essenziale per i datori di lavoro non solo comprendere, ma anche perseguire con dedizione un equilibrio tra l’esigenza di implementare controlli difensivi, quando necessario, e il rispetto rigoroso delle normative vigenti. Garantire che tali misure di sorveglianza siano attuate in conformità con la legge consentirà, infatti, non solo di tutelare al meglio l’organizzazione da potenziali risvolti negativi, ma contribuirà anche a consolidare un ambiente lavorativo caratterizzato da fiducia e rispetto reciproco, incidendo positivamente sulla cultura aziendale.
Note
[1] L’art. 8 della CEDU riconosce e tutela il diritto fondamentale al rispetto e alla protezione della vita privata (nella quale, sia la Giurisprudenza nazionale che la Corte EDU fanno rientrare anche l’ambito lavorativo) e familiare, evidenziando uno stretto legame tra tale diritto e il diritto alla protezione dei dati personali. La norma prosegue poi prevedendo alcune limitazioni a tali diritti, evidenziandone la natura non assoluta, ma garantendo al contempo una tutela all’esercizio dei diritti e al godimento delle libertà contro interferenze illegittime.
[2] In virtù della salvaguardia del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e) del GDPR, le Linee Guida prevedono che in assenza di particolari esigenze tecniche o di sicurezza, la conservazione temporanea dei dati relativi all’uso degli strumenti elettronici deve essere giustificata da una finalità specifica e comprovata e comunque limitata al tempo necessario – e predeterminato – a raggiungerla.
Il periodo di conservazione delle e-mail aziendali deve, quindi, essere preventivamente individuato dal datore di lavoro, nel rispetto dei principi sopra richiamati di minimizzazione dei dati e limitazione delle finalità, tenendo in considerazione le specifiche circostanze del caso (ad esempio, il ruolo dell’ex-dipendente all’interno della società e le mansioni ad esso affidate), e portato a conoscenza del lavoratore, tramite apposita informativa e policy sull’utilizzo degli strumenti informatici aziendali.
La mancata determinazione di specifici periodi di conservazione dei dati personali contenuti negli account di posta elettronica aziendale potrebbe estendere a dismisura l’area del controllo svolto dal datore di lavoro, acquisendo e conservando, anche a seguito dello scioglimento del rapporto di lavoro, per lungo tempo e ininterrottamente, ogni tipologia di dato, in violazione dei principi di pertinenza e non eccedenza. Pertanto, al fine di scongiurare un simile trattamento illecito di dati personali, il Garante (Provv. del 04.12.2019; n. 216, Provv. del 07.04.2022, n. 127; Provv. del 13.04.2023, n. 127) ha indicato ai datori di lavoro una serie di misure e accorgimenti da adottare (i.e. disattivazione dell’account; impostazione, per un determinato periodo di tempo, di un messaggio automatico di risposta e indicazione di un indirizzo alternativo a cui inviare la corrispondenza; adozione di misure atte ad impedire la visualizzazione del contenuto dei messaggi in arrivo durante tale periodo; rimozione definitiva dell’account).
Sul tema, il 21 dicembre 2023, il Garante ha adottato un documento di indirizzo denominato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”, ove, l’Autorità aveva fornito precise e stringenti indicazioni circa il periodo di conservazione dei cd. metadati (per un maggior approfondimento sul tema, si rimanda al nostro precedente contributo “Il nuovo documento di indirizzo del Garante Privacy sulla posta elettronica dei lavoratori e sul trattamento dei metadati”, disponibile qui).
Tale ultimo documento, tuttavia, ha suscitato molteplici dubbi e perplessità; pertanto, il Garante, con provvedimento del 22 febbraio scorso, ha ritenuto opportuno avviare una consultazione pubblica volta ad acquisire osservazioni e proposte in merito alla congruità del termine di conservazione dei metadati e alle forme e modalità di utilizzo degli stessi che ne renderebbero necessaria una conservazione superiore a quella ipotizzata originariamente dall’Autorità, nonché, dunque, differire l’efficacia del documento di indirizzo al termine della predetta consultazione pubblica o, in caso di mancata adozione di ulteriori determinazioni, fino a 60 giorni dopo la fine della consultazione.
