L’effettività della normativa privacy ha sempre dovuto fare i conti, nel nostro ordinamento così come in molti altri, con un bilanciamento tutt’altro che semplice. Fra esigenze di riservatezza dell’interessato, da un lato, e facoltà derivanti dal nutrito numero di altri diritti che, a seconda della situazione concreta, trovano di volta in volta posto sull’altro piatto della bilancia.
La ricerca del giusto equilibrio fra diritti a rischio di collisione, oltre ad essere uno dei leitmotiv del nostro sistema giuridico, assume particolare importanza nell’ambito del rapporto di lavoro e specificamente, per quanto qui di interesse, con riferimento ai cosiddetti controlli a distanza.
Controlli a distanza dei lavoratori: cosa prevede il diritto
Ma cosa si intende, innanzitutto, per controlli a distanza?
Nel nostro diritto positivo, in cui l’iniziativa economica privata è libera (art. 41 Cost.), l’imprenditore, in quanto capo dell’impresa, è colui da cui dipendono gerarchicamente coloro che operano all’interno dell’impresa stessa (art. 2086 c.c.).
Il lavoratore, simmetricamente, è tenuto a eseguire la propria prestazione – ovvero a svolgere le proprie mansioni – con diligenza. Nel farlo, egli deve osservare “le disposizioni per l’esecuzione e per la disciplina del lavoro impartite dall’imprenditore e dai collaboratori di questo dai quali gerarchicamente dipende” (art. 2104 c.c.).
Il datore di lavoro, quindi, esercita sul lavoratore un potere gerarchico. Il lavoratore è, di conseguenza, assoggettato a questo potere, tanto che, in caso di violazione delle direttive ricevute, può derivarne a suo carico una sanzione disciplinare (come previsto dall’art. 2016 c.c.).
Il controllo sulla diligenza adottata dal dipendente nello svolgimento delle proprie mansioni non è, dunque, di per sé vietato, ma, anzi, esplicitamente previsto.
Al contempo, però, non soltanto il lavoro è uno dei pilastri su cui la nostra società si fonda, ma il suo rilievo costituzionale comprende la precisazione in base alla quale l’iniziativa economica privata “non può svolgersi in contrasto con l’utilità sociale o in modo da recare danno alla sicurezza, alla libertà, alla dignità umana” (ART. 41 Cost., secondo comma). Ciò in pieno accordo con quanto richiesto dall’art. 2, che protegge e garantisce i diritti inviolabili dell’uomo non solo come singolo, ma altresì “nelle formazioni sociali in cui si svolge la sua personalità” (come è, intuitivamente, l’ambiente di lavoro), nonché dalla normativa ordinaria, posto che l’art. 2087 c.c. recita: “L’imprenditore è tenuto ad adottare nell’esercizio dell’impresa le misure che, secondo la particolarità del lavoro, l’esperienza e la tecnica, sono necessarie a tutelare l’integrità fisica e la personalità morale dei prestatori di lavoro”.
Per dirla con le parole della giurisprudenza, insomma, la vigilanza sul lavoro, pur utile e necessaria, deve essere mantenuta in una dimensione umana, “non esasperata dall’uso di tecnologie che possono rendere la vigilanza stessa continua e anelastica, eliminando ogni zona di riservatezza e di autonomia nello svolgimento del lavoro” (fra altre, si veda ad es. Cass. Civ., sez. Lavoro, n. 8250/2000).
E’ in linea con questi principi che deve essere letto, quindi, il divieto di cui all’art. 4 della legge n. 300/1970 (Statuto dei Lavoratori), sancito verso quella forma di controllo messa in atto con strumenti tecnologici (uno fra altri, la videosorveglianza) i quali consentano al datore di lavoro di monitorare l’attività del dipendente a prescindere dalla propria presenza (o da quella di altro collaboratore) in prossimità (in termini di spazio o di tempo) del lavoratore stesso. Sono questi, appunto, i controlli a distanza.
All’articolo 4 fa espresso richiamo il Codice Privacy, per il quale, appunto, “resta fermo quanto disposto dall’articolo 4 della legge 20 maggio 1970, n.300” (art. 114).
Pur se, con le modifiche introdotte dall’art. 23 del D. Lgs. 151/2015, emesso in attuazione della legge delega n. 183/2014, c.d. Jobs Act (e in seguito con il D. Lgs. 185/2016), la formulazione della norma è notevolmente cambiata, i controlli a distanza sulla correttezza dell’adempimento sono da ritenersi tuttora vietati.
Resta fermo, quindi, quanto si legge nel più recente dei provvedimenti in materia di videosorveglianza, emesso dall’Autorità Garante nel 2010, in base al quale “nelle attività di sorveglianza occorre rispettare il divieto di controllo a distanza dell´attività lavorativa, pertanto è vietata l´installazione di apparecchiature specificatamente preordinate alla predetta finalità: non devono quindi essere effettuate riprese al fine di verificare l´osservanza dei doveri di diligenza stabiliti per il rispetto dell´orario di lavoro e la correttezza nell´esecuzione della prestazione lavorativa (ad es. orientando la telecamera sul badge)”.
Resta quindi invariato, inoltre, il fatto che il monitoraggio a distanza del lavoratore, messo in atto con l’utilizzo di impianti audiovisivi e altri strumenti tecnologici, è di norma proibito anche nella misura in cui costituisca una conseguenza indiretta e lo non scopo principale per il quale l’impianto in questione è stato installato. Ecco perché già la sola idoneità del sistema a condurre, di fatto, a un potenziale controllo a distanza del lavoratore, comporta la necessità per il datore di lavoro di ricorrere alle garanzie previste nell’art. 4, di cui si dirà più avanti.
Può ancora considerarsi attuale, quindi, quanto da lungo tempo affermato dalla Cassazione, per cui “il divieto posto dall’art. 4 dello statuto dei lavoratori per il datore di lavoro di far uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza della attività dei lavoratori non è escluso né dalla circostanza che tali apparecchiature siano state solo installate ma non siano ancora funzionanti, né dall’eventuale preavviso dato ai lavoratori, i quali quindi siano avvertiti del controllo suddetto, né infine dal fatto che tale controllo sia destinato a essere discontinuo perché esercitato in locali dove i lavoratori possono trovarsi solo saltuariamente (nella specie, il datore di lavoro aveva installato alcuni impianti audiovisivi destinati al controllo dell’uso e della conservazione dei cartellini segna-orario sistemati in apposite custodie all’ingresso dello stabilimento)” (Cass. Civ., sez. lav., 6 marzo 1986, n. 1490).
Sulla persistenza del generale divieto, con nota del 18 giugno 2015, si è espresso il Ministero del Lavoro, sostenendo che “la norma non “liberalizza”[dunque] i controlli ma si limita a fare chiarezza circa il concetto di “strumenti di controllo a distanza” ed i limiti di utilizzabilità dei dati raccolti attraverso questi strumenti”.
La soggezione ad obblighi (di cui si dirà) di trasparenza e coinvolgimento delle rappresentanze sindacali, gravante sull’utilizzo di strumenti finalizzati ad altro genere di vigilanza (e che possono, in via accidentale, comportare anche il controllo dei dipendenti), consegue, del resto, naturalmente da tale persistenza.
Il valore del consenso del dipendente
È importante chiarire fin da subito che non può essere attribuito alcun rilievo, in questa materia, a un eventuale consenso del dipendente. In nessun modo, infatti, un’autorizzazione da parte del lavoratore potrebbe legittimare l’esercizio del controllo a distanza, vietato dalla normativa vigente.
Il diritto del lavoro, come noto, si muove sull’assunto in base al quale tra i due attori principali – quali sono il datore di lavoro e, appunto, il lavoratore – sussiste una profonda disparità di posizioni. E pur essendo trascorsi alcuni decenni dall’emanazione dello Statuto dei Lavoratori, la nostra disciplina in materia continua ad operare sul presupposto che un eventuale consenso del dipendente, pur ove espresso, non potrebbe in nessun caso ritenersi “liberamente prestato”. Nonostante in alcune ipotesi riguardanti il rapporto di lavoro in genere, anche da parte dello stesso Garante, una qualche funzione legittimante del consenso del lavoratore venga riconosciuta, la giurisprudenza più recente – il cui orientamento si ritiene condivisibile – ne ha escluso la validità (e soprattutto, l’efficacia scriminante) nel caso dei controlli qui in esame.
La Cassazione, in diverse sentenze (e in realtà contraddicendo alcune precedenti pronunce di legittimità), ha infatti avuto modo di confermare l’irrilevanza del consenso in materia di controlli a distanza, arrivando a precisare che neanche quando sia la totalità dei lavoratori coinvolti a rilasciarlo, lo stesso può acquisire un’efficacia autorizzatoria (Cass. Pen., sez. III, n. 22148/2017. L’orientamento è stato, poi, più volte riconfermato). L’installazione di strumenti da cui possa derivare, di fatto, la possibilità di un controllo a distanza, è ammissibile, infatti, solo nel rispetto delle procedure di cui all’art. 4, l. 300/70 (delle quali si parlerà appresso) e ciò va a tutela non solo dei diritti inderogabili del singolo, ma di “interessi di carattere collettivo e superindividuale”. Ciò considerato, il consenso dei dipendenti, pur ove unanime, non è idoneo a sostituirsi alle suddette procedure di garanzia e non può, quindi, assumere valore di scriminante.
Questa impostazione è, del resto, condivisa dal WP29, il Gruppo di Lavoro costituito ai sensi dell’art. 29 della ora abrogata direttiva europea 95/46 e sostituito dal Comitato Europeo per la Protezione dei Dati (European Data Protection Board). Nel proprio parere datato 8 giugno 2017, il Gruppo ha innanzitutto evidenziato come i lavoratori non siano quasi mai nella posizione di poter dare, rifiutare o revocare liberamente il proprio consenso, data la componente di dipendenza che caratterizza il rapporto con il datore di lavoro. Di conseguenza, per via dello squilibrio esistente, di regola il consenso non può essere considerato come una valida base giuridica per i trattamenti effettuati nell’ambito del rapporto di lavoro, salvo ipotesi eccezionali nelle quali, vista la totale assenza di conseguenze legate all’espressione di un consenso o, al contrario, di un diniego, il primo può dunque possedere i necessari requisiti.
Quanto fin qui esposto si pone, oltretutto, in perfetta coerenza con ciò che il GDPR richiede per la configurazione di un valido consenso (e in particolare con il fatto che lo stesso sia libero, nonché liberamente revocabile), e che stride con la natura intrinseca del rapporto di lavoro.
Finalità lecite per l’installazione di strumenti tecnologici di controllo
L’articolo 4 della Legge n. 300/1970, come successivamente modificato, stabilisce al primo comma che “gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali. In alternativa, nel caso di imprese con unità produttive ubicate in diverse province della stessa regione ovvero in più regioni, tale accordo può essere stipulato dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale. In mancanza di accordo, gli impianti e gli strumenti di cui al primo periodo possono essere installati previa autorizzazione della sede territoriale dell’Ispettorato nazionale del lavoro o, in alternativa, nel caso di imprese con unità produttive dislocate negli ambiti di competenza di più sedi territoriali, della sede centrale dell’Ispettorato nazionale del lavoro. I provvedimenti di cui al terzo periodo sono definitivi.”
Attualmente, quindi, gli strumenti in esame sono utilizzabili a tutela dei seguenti interessi:
- La sicurezza del lavoro
- La tutela del patrimonio aziendale
- Esigenze organizzative e produttive.
In ognuna di queste ipotesi, considerato che potenzialmente dallo strumento (destinato ad altri utilizzi) può derivare “anche” un controllo a distanza, condizione essenziale per l’installazione è (in luogo del consenso dei lavoratori e a garanzia degli stessi, si potrebbe aggiungere) che precedentemente alla stessa sussista un accordo collettivo stipulato dalla rappresentanza sindacale unitaria (RSU) o dalle rappresentanze sindacali aziendali (RSA).
In un’ottica di semplificazione è previsto che, ove l’impresa abbia più unità produttive ubicate in diverse province della stessa regione o in diverse regioni, l’accordo può essere, in alternativa, stipulato dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale.
Ove l’accordo manchi, può essere ottenuta, in sostituzione, l’autorizzazione della sede territorialmente competente dell’Ispettorato nazionale del Lavoro, oppure della sede centrale qualora l’impresa abbia più unità produttive dislocate negli ambiti di competenza di diverse sedi territoriali.
È importante richiamare, in proposito, l’orientamento espresso dall’Ispettorato nazionale del Lavoro con propria nota del 24 maggio 2017. L’Ispettorato ha, infatti, in questa occasione chiarito che “la procedura autorizzatoria pubblica, che coinvolge gli Ispettorati del lavoro – territoriali o nazionale – è infatti solo eventuale e successiva al mancato accordo con i sindacati”. Di conseguenza, stante la priorità accordata alla procedura coinvolgente le rappresentanze sindacali (e che, a ben vedere, si allinea perfettamente con quanto previsto in altri settori del diritto del lavoro, in ambito europeo), ove un accordo intervenga in un momento successivo, lo stesso potrà sostituirsi all’autorizzazione precedentemente concessa.
Strumenti necessari alla prestazione lavorativa
L’articolo 4 prosegue poi al secondo comma chiarendo che “la disposizione di cui al comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze”.
Si tratta chiaramente di una presa d’atto, da parte del nostro legislatore, dei mutamenti avvenuti, nel campo della tecnologia, anche nel contesto delle attività lavorative, ed è un portato dell’art. 23 del D. Lgs. 151/2015.
Per l’utilizzo di questi strumenti, quindi (tablet e telefoni cellulari, badge di accesso, ecc.), data la loro coessenzialità all’adempimento dei compiti derivanti dal proprio incarico e all’organizzazione delle attività, non è necessario che sussistano le finalità richieste al primo comma (sicurezza del lavoro, tutela del patrimonio aziendale, esigenze organizzative e produttive), né che si ricorra, in via alternativa, all’accordo sindacale o all’autorizzazione dell’Ispettorato del Lavoro.
Al fine di evitare un’elusione delle restrizioni imposte nel comma precedente, è auspicabile un’interpretazione in termini restrittivi della dizione “strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa”.
Lo stesso Garante, del resto, nel proprio provvedimento del 13 luglio 2016, esprimendosi in materia di trattamento di dati personali dei dipendenti mediante posta elettronica e altri strumenti di lavoro, ha affermato che, nella nozione in esame, “con riferimento agli strumenti oggetto del presente provvedimento, vale a dire servizio di posta elettronica e navigazione web – è da ritenere che possano ricomprendersi solo servizi, software o applicativi strettamente funzionali alla prestazione lavorativa, anche sotto il profilo della sicurezza”.
Con la già ricordata nota del 18 giugno 2015, inoltre, anche il Ministero del Lavoro si è espresso sul punto, chiarendo che l’esenzione di quanto sia necessario all’adempimento delle mansioni assegnate dalle garanzie di cui all’art. 4 è strettamente connessa all’effettiva strumentalità di un dispositivo alla prestazione da eseguire. “L’espressione “per rendere la prestazione lavorativa” – si afferma nella citata nota – comporta che l’accordo o l’autorizzazione non servono se, e nella misura in cui, lo strumento viene considerato quale mezzo che “serve” al lavoratore per adempiere la prestazione: ciò significa che, nel momento in cui tale strumento viene modificato (ad esempio, con l’aggiunta di appositi software di localizzazione o filtraggio) per controllare il lavoratore, si fuoriesce dall’ambito della disposizione: in tal caso, infatti, da strumento che “serve” al lavoratore per rendere la prestazione il pc, il tablet o il cellulare divengono strumenti che servono al datore per controllarne la prestazione. Con la conseguenza che queste “modifiche” possono avvenire solo alle condizioni ricordate sopra: la ricorrenza di particolari esigenze, l’accordo sindacale o l’autorizzazione”.
Anche con riferimento a questi strumenti di controllo potenziale, in ogni caso, non può ritenersi esclusa, inoltre, l’applicabilità della normativa in materia di trattamento dei dati personali, costituita in particolare, attualmente, dal GDPR e dal Codice Privacy, così come modificato dal D. Lgs. 101/2018.
L’informativa
Se al rapporto di lavoro si applica una specifica disciplina, comprensiva di un nucleo di norme inderogabili, lo stesso, quindi, non è chiaramente esonerato dalla soggezione, in aggiunta, alla normativa in materia di trattamento dei dati personali.
L’acquisizione di dati relativi al lavoratore (come le immagini, ad esempio) configura, infatti, un trattamento di dati personali, così come definito dall’art. 4 del GDPR.
In materia di dispositivi potenzialmente idonei al controllo a distanza, sarà fondamentale, pertanto, aver assolto l’obbligo di fornire una completa e chiara informativa ai sensi dell’art. 13 Reg. UE 2016/679.
Tale obbligo, oltre che essere esplicitamente previsto dal regolamento generale sulla protezione dei dati (e prima dal Codice Privacy), è stato affermato dallo stesso Garante della Privacy, il quale lo ha ribadito nelle proprie linee guida sull’utilizzo della posta elettronica e di internet del 2007, i cui contenuti sono stati ripresi e confermati nella successiva edizione del 2012.
In seguito, del resto, anche la già citata nota del 18 giugno 2015 del Ministero del Lavoro, chiariva che “qualora il lavoratore non sia adeguatamente informato dell’esistenza e delle modalità d’uso delle apparecchiature di controllo e delle modalità di effettuazione dei controlli dal nuovo articolo 4 discende che i dati raccolti non sono utilizzabili a nessun fine, nemmeno a fini disciplinari”.
A questo proposito e da simmetrica prospettiva, il testo dell’articolo 4 esplicitamente prevede, infatti (al terzo comma), che, ove il lavoratore abbia ricevuto “adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli” (e sempre nel rispetto del Codice Privacy, rinvio da leggersi come comprensivo – in base a quanto disposto dall’art. 22, D. Lgs. 101/2018 -, anche del GDPR), le informazioni raccolte tramite i sistemi oggetto di accordo sindacale o autorizzazione dell’Ispettorato del Lavoro, nonché tramite gli strumenti utilizzati per rendere la prestazione lavorativa o per la registrazione di accessi e presenze, siano utilizzabili per tutti i fini connessi al rapporto di lavoro.
Di conseguenza, quando l’obbligo di somministrare una completa informativa venga assolto, i dati saranno utilizzabili per ogni finalità, comprese quelle di natura disciplinare.
In mancanza, l’inutilizzabilità sancita dallo Statuto dei Lavoratori, trova un’eco nel nuovo Codice Privacy e in particolare nell’art. 2-decies, che decreta, appunto, l’inutilizzabilità dei dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali (è fatto salvo, in questo caso – tramite rinvio all’art. 160-bis, il rinvio alle pertinenti disposizioni di diritto processuale. La tematica è interessante quanto estesa e merita certamente una trattazione autonoma).
Un’informativa completa deve comprendere – si sottolinea – non solo le indicazioni sui trattamenti effettuati in genere, ma anche sui possibili controlli. Quanto comunicato al singolo può essere, eventualmente, integrato con un rinvio agli esistenti disciplinari aziendali, la cui adozione costituisce non solo un’utile prassi di semplificazione, ma anche un ottimo ausilio alla compliance richiesta dal principio di accountability.
Posta elettronica e dispositivi aziendali
L’importanza di aver dato una corretta informativa e di aver adottato delle policy aziendali diventa, qualora sia possibile, ancora più marcata in tema di utilizzo della posta elettronica e dei dispositivi informatici aziendali (come computer, tablet e telefoni cellulari).
In questo caso, infatti, come il Garante ha precisato nel proprio provvedimento del 2007, precedentemente ricordato, la mancata consacrazione in una policy aziendale delle regole cui attenersi nell’utilizzo di tali strumenti, può dar luogo a una “legittima aspettativa del lavoratore, o di terzi, di confidenzialità rispetto ad alcune forme di comunicazione”.
Prevedere degli account di posta contenenti il nome del settore aziendale, piuttosto che del singolo collaboratore, utilizzati consapevolmente in condivisione tra più lavoratori, per esempio, è una tra le soluzioni, proposte dallo stesso Garante, al fine di esorcizzare tale incertezza.
Prevenire resta, sempre e comunque, la strada maestra. Nell’installazione di sistemi anche solo potenzialmente forieri di un controllo del dipendente, il datore di lavoro, in qualità di Titolare del trattamento, dovrà applicare, oltre a tutte le garanzie previste dalla disciplina giuslavoristica e alle indicazioni della nostra autorità di controllo, quelle disposte dal GDPR.
Non soltanto, quindi, l’obbligo di informativa (completa: quali trattamenti verranno effettuati e con quali caratteristiche, per quali finalità, a quali soggetti ci si potrà rivolgere per esercitare i propri diritti, ecc.). Nessun trattamento, soprattutto di carattere così potenzialmente invasivo (nonché a rischio di lesione, oltre che di alcuni principi costituzionali, dell’art. 8 della CEDU, volto ad assicurare il rispetto della vita privata e familiare, del domicilio e della corrispondenza) potrà essere attuato senza essere anticipato da una corretta analisi dei rischi derivanti dallo stesso, in un’ottica di accountability nonché di privacy by design e by default.
Da un’analisi correttamente effettuata, infatti, il Titolare potrà, una volta evidenziati i rischi, procedere con l’adozione di tutte quelle misure di sicurezza che si rendano necessarie, a partire dalla riduzione al minimo dei dati personali trattati, in modo da conseguire le proprie finalità imprenditoriali limitando al contempo, per quanto possibile, i rischi in materia di privacy (in primis per il personale impiegato, ma in generale per ogni interessato).
Potrà, inoltre, ben ponderare le proprie policy aziendali rendendo quanto più improbabile, in via preventiva, ogni utilizzo illecito o difforme dai propri disciplinari di dispositivi e strumenti in genere (comprensivi della rete internet, per esempio), rendendo così, allo stesso tempo, improbabili, in modo direttamente proporzionale, le esigenze di un eventuale controllo a posteriori. L’utilizzo di un filtro che impedisca l’accesso a determinati siti internet, sommato magari a una apposita postazione nella quale, durante le pause e con le necessarie limitazioni, i lavoratori possano accedere ad account personali, costituisce ad esempio una valida alternativa a una più semplicistica policy di assoluto divieto e consente di agire in maggiore armonia con il principio di minimizzazione espresso dall’art. 5 del GDPR, poiché porta il sistema a incamerare un numero minore di informazioni riferibili all’interessato (spesso, oltretutto, rientranti nelle particolari categorie di dato di cui all’art.9 – per dirla più semplicemente, dati ex “sensibili”- , nonché dati che plausibilmente ricadono nel divieto di indagini sulle opinioni del lavoratore ai sensi dell’art. 8 dello Statuto dei Lavoratori).
Anche sotto questo profilo, punto di partenza è sempre lo stesso: “non può ritenersi consentito il trattamento effettuato mediante sistemi hardware e software preordinati al controllo a distanza, grazie ai quali sia possibile ricostruire –a volte anche minuziosamente– l’attività di lavoratori” (Provv. Garante Privacy del 10 marzo 2007, già citato)”.
Ciò che può essere consentito, invece, è che il datore di lavoro si avvalga, nel rispetto dell’art. 4, l. 300/70, di sistemi installati per finalità legittime, i quali consentano un potenziale controllo in via indiretta (definito dal Garante come “controllo preterintenzionale”).
Simili controlli non possono essere, in ogni caso, volti ad appurare la misura della diligenza nell’adempimento della prestazione lavorativa, ma sono ammissibili purché diretti ad accertare comportamenti che si qualifichino come estranei rispetto alle mansioni da svolgere. La definizione coniata dalla giurisprudenza è, per queste attività, quella di “controlli difensivi”.
I controlli difensivi
Il D. Lgs. 151/2015 ha inserito, nell’ormai più volte menzionato articolo 4 dello Statuto, la possibilità di impiegare strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori per esigenze di tutela del patrimonio aziendale.
Questa innovazione non è stata di poco conto, considerato che un consolidato indirizzo giurisprudenziale ha, per lungo tempo, ritenuto che gli strumenti di controllo finalizzati all’accertamento di condotte illecite, estranee quindi al mero contenuto della prestazione lavorativa, non fossero soggetti alla necessità di preventivo accordo sindacale o di alternativa autorizzazione.
L’introduzione delle esigenze di tutela del patrimonio fra quelle “proceduralizzate” ai sensi dell’art. 4, ha suscitato non pochi interrogativi in merito alla possibilità di esonerare i controlli difensivi – posta l’insita necessità degli stessi di operare talvolta in modo occulto – dalla necessità del preventivo accordo/autorizzazione.
Particolare interesse ha suscitato, sul punto, una recente pronuncia della Corte Europea dei Diritti dell’Uomo, che si è espressa circa la possibile violazione del già citato art. 8 CEDU in un caso di videosorveglianza occulta installata in un supermercato spagnolo al fine di far luce su una serie di furti presumibilmente avvenuti nel magazzino, ad opera del personale.
L’orientamento espresso dalla Corte si colloca, a ben vedere, in linea con quanti, nel nostro ordinamento, ritengono che un accurato uso del principio di proporzionalità porti a una lettura ragionata (sulla base di un corretto bilanciamento tra i diritti in contrasto) del nuovo articolo 4. Il predetto orientamento distingue, in sostanza, tra controlli ex ante e controlli ex post, definibili anche come controlli generici e controlli mirati. In base a questa ricostruzione, infatti, mentre l’articolo 4 sarebbe pienamente applicabile ai primi, generici e più plausibilmente atti a eludere il divieto di controlli a distanza, i secondi, intervenendo quando già ricorre quantomeno un fondato sospetto della commissione di fatti illeciti, essendo oltretutto maggiormente slegati dalla mera prestazione lavorativa, sarebbero esercitabili senza la necessità di coinvolgere i sindacati o, in alternativa, l’Ispettorato.
Nella citata sentenza, la Corte di Strasburgo ha richiamato l’attenzione sul principio di proporzionalità, quale guida a disposizione degli Stati membri nell’individuare i mezzi di tutela del principio espresso nel menzionato articolo 8, e in particolare nel valutare se consentire o meno a un datore di lavoro l’utilizzo di strumenti di controllo, assicurandosi al contempo che siano previste misure idonee a prevenirne un utilizzo sproporzionato o persino un abuso. La necessaria proporzionalità, anche con riferimento all’estensione dell’area sorvegliata, è stata ritenuta sussistente nel caso di specie.
In linea con quanto qui sostenuto, il Presidente dell’autorità Garante, Antonello Soro, esprimendosi in un comunicato relativo alla sentenza, ha chiarito che “La sentenza della Grande Camera della Corte di Strasburgo se da una parte giustifica, nel caso di specie, le telecamere nascoste, dall’altra conferma però il principio di proporzionalità come requisito essenziale di legittimazione dei controlli in ambito lavorativo. L’installazione di telecamere nascoste sul luogo di lavoro è stata infatti ritenuta ammissibile dalla Corte solo perché, nel caso che le era stato sottoposto, ricorrevano determinati presupposti: vi erano fondati e ragionevoli sospetti di furti commessi dai lavoratori ai danni del patrimonio aziendale, l’area oggetto di ripresa (peraltro aperta al pubblico) era alquanto circoscritta, le videocamere erano state in funzione per un periodo temporale limitato, non era possibile ricorrere a mezzi alternativi e le immagini captate erano state utilizzate soltanto a fini di prova dei furti commessi. La videosorveglianza occulta è, dunque, ammessa solo in quanto extrema ratio, a fronte di “gravi illeciti” e con modalità spazio-temporali tali da limitare al massimo l’incidenza del controllo sul lavoratore. Non può dunque diventare una prassi ordinaria. Il requisito essenziale perché i controlli sul lavoro, anche quelli difensivi, siano legittimi resta dunque, per la Corte, la loro rigorosa proporzionalità e non eccedenza: capisaldi della disciplina di protezione dati la cui “funzione sociale” si conferma, anche sotto questo profilo, sempre più centrale perché capace di coniugare dignità e iniziativa economica, libertà e tecnica, garanzie e doveri”.
I social network
Nell’epoca dei social network, la condivisione di contenuti con un vasto numero di persone è diventata, di fatto, una prassi comune e riferita alle più disparate tematiche. La leggerezza con la quale si clicca su un tasto e si avvia una pubblicazione, contrasta però con la gravità delle conseguenze che da questi gesti ormai quotidiani possono conseguire, spesso anche di natura penale.
Come in più occasioni segnalato dalla giurisprudenza, “la condotta di postare un commento su Facebook realizza la pubblicizzazione e la diffusione di esso, per la idoneità del mezzo utilizzato a determinare la circolazione del commento tra un gruppo di persone, comunque, apprezzabile per composizione numerica, con la conseguenza che, se, come nella specie, lo stesso è offensivo nei riguardi di persone facilmente individuabili, la relativa condotta integra gli estremi della diffamazione” (Cass. Sent. n. 10280/2018).
Quando commesso nell’ambito del rapporto di lavoro, ciò comporta la menomazione del rapporto di fiducia esistente e la possibilità di licenziamento del lavoratore per giusta causa, così come un eventuale danno all’immagine dell’azienda, integrando una violazione dell’obbligo di fedeltà, nonché dei principi di correttezza e buona fede, può portare all’applicazione di una sanzione disciplinare (si veda, ad es., TAR Lombardia, Ord. 246/2016).
La contestazione basata su un presunto diritto alla riservatezza, sul presupposto che il datore di lavoro, per appurare un simile comportamento, dovrebbe necessariamente invadere la sfera privata del lavoratore svolgendo delle indagini sui contenuti condivisi dal lavoratore sui social network, può assumere un valore, infatti, soltanto nei limiti in cui lo stesso social venga utilizzato dal dipendente con l’adozione di una privacy policy restrittiva, che limiti il numero di persone che a quel contenuto possono accedere.
In caso contrario, data l’impostazione pubblica data dall’autore allo stesso contenuto, la privacy non potrà, in casi di questo genere, essere invocata.
I sistemi GPS
Salvo che siano installati per consentire una corretta esecuzione delle mansioni assegnate, oppure in aderenza a disposizioni di legge o regolamentari, anche i sistemi di localizzazione dei veicoli aziendali non sfuggono ai principi fin qui evidenziati e tantomeno alle prescrizioni di cui all’art. 4 dello Statuto dei Lavoratori.
Sarà essenziale, anche in questo campo, che le informazioni trattate siano effettivamente in rapporto di proporzionalità con le esigenze perseguite, evitandone, intanto, la conservazione per lunghi periodi e implementando, d’altro canto, meccanismi che consentano la disattivazione della rilevazione geografica durante le pause o, se il mezzo è affidato in uso promiscuo, nei momenti di vita privata.
Il Garante si è espresso in proposito, da ultimo, con Provvedimento del 28 giugno 2018, nel quale, in aggiunta a quanto suesposto, ha ricordato la necessità di fornire ai dipendenti, dal momento della sottoscrizione del contratto con la ditta fornitrice del servizio di localizzazione, un’idonea e completa informativa.
La Valutazione d’Impatto o DPIA (Data Protection Impact Assessment)
“Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali.”
Il primo comma dell’art. 35 del GDPR individua, in termini generali, i casi di necessarietà della cosiddetta valutazione d’impatto privacy (DPIA).
Sull’elenco delle ipotesi concrete, inerenti o meno al rapporto di lavoro, da ritenere soggette all’obbligo in questione, la dottrina si è interrogata abbondantemente.
A parziale soluzione e in ottemperanza alla disposizione di cui al quinto comma, che richiede alle autorità di controllo la redazione di un elenco pubblico di ipotesi da assoggettare all’adempimento in oggetto, il nostro Garante della Privacy ha individuato una serie di casi nei quali, quindi, senza alcun dubbio tale approfondita analisi dovrà essere effettuata.
Per quanto qui di interesse va segnalato il punto 5 del documento, il quale ricomprende, tra le ipotesi di ricorrenza dell’obbligo, i “trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (anche con riguardo ai sistemi di videosorveglianza e di geolocalizzazione) dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti” (Tale fattispecie deve essere inquadrata con quanto chiarito dal WP29, n. 248, rev. 01, in relazione ai criteri n. 3, 7 e 8).
La valutazione d’impatto privacy, quale approfondita analisi dei rischi derivanti da un trattamento, votata al vaglio del rapporto di proporzionalità tra esigenze lavorative/imprenditoriali e rischi per la riservatezza, va quindi a sommarsi agli adempimenti fin qui esaminati ed entrerà (o meglio, è già entrata) di diritto fra gli elementi imprescindibili di accountability di una buona parte delle realtà professionali.
