Come è noto, lo scorso 24 settembre è entrato in vigore il D.lgs. n.151/2015, attuativo di una delle deleghe contenute nel c.d. Jobs Act (legge n.183/2015), che modifica e riformula l’articolo 4 dello Statuto dei lavoratori in materia di videosorveglianza, adeguando le disposizioni e le procedure preesistenti alle innovazioni tecnologiche e alla loro introduzione nei contesti aziendali. Un tema, questo, già affrontato su questa rivista.
Le due sentenze in commento (Cass., Sez. Lavoro, nn. 22662/16 e 22313/16) sono però relative ad episodi anteriori alla riforma e dunque si sono pronunciate (rispettivamente sulla problematica dei controlli a distanza e del contemperamento tra il potere di controllo del datore di lavoro e la corrispondente esigenza di tutela della dignità e della riservatezza del lavoratore) tenendo conto della disciplina previgente.
In particolare, con riferimento alla tematica dei controlli a distanza, bisogna rammentare che il divieto di installazione di apparecchiature a ciò destinate (art 4, 1° comma Stat. Lav., il cui contenuto è ribadito e confermato dall’art 114 del D.lgs n.196 del 30 giugno 2003) costituisce un altro elemento, accanto al divieto di cui all’art 2, 3° comma Stat. Lav., della barriera eretta dalla legge intorno al luogo di lavoro contro la possibilità di eccessi da parte dello stesso titolare dell’azienda o di suoi incaricati. Esso sancisce l’esistenza di una zona di riservatezza a cui ogni persona ha diritto anche al di fuori del proprio domicilio e di cui allo stesso modo il singolo lavoratore deve poter godere all’interno dell’impresa, nonostante lo stretto contatto contrattuale con il creditore, necessario per l’inserimento nell’organizzazione produttiva di quest’ultimo.
Zona personale di riservatezza del lavoratore che è protetta indirettamente dall’art. 3 dello Statuto, mentre l’art. 4 provvede a fornire una tutela in modo diretto, ponendo un divieto che investe ogni forma di controllo continuo o, comunque, di controllo attuabile in qualsiasi momento dalla direzione aziendale sulla prestazione lavorativa.
Questa interpretazione della norma ha consentito di ricomprendere nel divieto qualsiasi forma di controllo a distanza tale da sottrarre al lavoratore, nello svolgimento delle sue mansioni, ogni margine di spazio o di tempo nel quale egli possa essere ragionevolmente certo di non essere osservato, ascoltato o comunque seguito nei propri movimenti.
Non soltanto dunque impianti finalizzati a riprendere nel luogo di lavoro immagini o voci per trasmetterle immediatamente a un controllore dislocato altrove, ma anche impianti di registrazione continuativa delle stesse immagini o voci.
Il divieto, avendo per oggetto l’installazione di apparecchiature di controllo, non si applica, invece, al controllo esercitato direttamente (di persona) da preposti e sorveglianti (salvo il divieto di controlli svolti di persona in modo asfissiante e vessatorio, vietati però dalla regola generale che impone un ambiente di lavoro amichevole e non stressante).
Quello posto dall’art. 4 nella sua versione originaria non era, comunque, un divieto assoluto. Il secondo comma consentiva infatti espressamente l’installazione di impianti “che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro”, anche quando potesse derivarne - al di là delle intenzioni dell’imprenditore - una possibilità di controllo a distanza dell’attività lavorativa.
In questo caso, l’altro requisito indispensabile per la legittimità dell’installazione era la conclusione di un previo accordo con le rappresentanze sindacali costituite nell’unità produttiva, oppure, in difetto di tale accordo, l’autorizzazione dell’ispettorato del lavoro.
Il legislatore del 1970 aveva, in sostanza, pienamente accolto il suggerimento, avanzato dieci anni prima dalla dottrina più attenta ai problemi della tutela della personalità del lavoratore subordinato (si vedano gli scritti di Carlo Smuraglia), di affiancare agli strumenti giuridici tradizionali di tutela dei diritti dei lavoratori lo strumento nuovo della c.d. procedimentalizzazione dell’esercizio del potere imprenditoriale.
La norma, quindi, non deve e non può essere letta come tendente a indebolire la protezione del lavoratore, rendendola disponibile in sede di negoziazione collettiva aziendale, bensì semmai come tendente a rafforzare tale protezione mediante la necessità dell’accordo collettivo preventivo circa l'an e il quomodo dell’installazione, ferma restando la possibilità per il lavoratore di attivare sempre - anche in presenza dell’accordo collettivo - il sindacato giudiziale circa la sussistenza del giustificato motivo dell’installazione stessa.
Va sottolineato comunque che l’eventuale legittimità dell’installazione dell’impianto non significava legittimità di qualsiasi possibile uso dello stesso, dal momento che restava sempre vietato l’uso finalizzato al controllo sulla prestazione lavorativa.
Cass., Sez. Lavoro, Sentenza n.22662/2016 (8 novembre 2016)
Con tale sentenza la Cassazione ha cassato con rinvio una sentenza della Corte d’Appello di Torino che aveva dichiarato illegittimo il licenziamento per giusta causa intimato a una lavoratrice alla quale era stato contestato di avere sottratto una busta contenente denaro dalla cassaforte aziendale, sfilandola dalla fessura con un tagliacarte. La condotta era ricavabile da un filmato prodotto da una telecamera preposta al controllo della predetta cassaforte.
La Corte territoriale aveva fondato la decisione sul rilievo che l'installazione dell'impianto audiovisivo, pur astrattamente legittima ex art. 4, co. 2° L. n. 300/1970, poiché sorretta dalle esigenze dedotte dalla società (tutela dei beni aziendali e tutela della sicurezza dei lavoratori operanti in reception vicino a un possibile obiettivo di malintenzionati) avrebbe richiesto il previo accordo con le rappresentanze sindacali aziendali o con la commissione interna ovvero, in mancanza di accordo, l'autorizzazione dell'Ispettorato del lavoro. E ciò in quanto, ancorché non diretta al controllo a distanza della prestazione lavorativa delle addette alla reception, consentiva comunque il controllo degli spostamenti dei dipendenti nell'ambiente di lavoro.
In mancanza delle prescritte autorizzazioni, per la corte d’appello il filmato era da ritenersi inutilizzabile. Espungendo lo stesso dal materiale probatorio, pur in presenza della prova dell'ammanco di denaro, veniva a mancare l’elemento della addebitabilità del fatto contestato.
La Cassazione ha però ritenuto (nell’accogliere i due motivi di ricorso, trattati congiuntamente) che:
1) I suddetti controlli, ex art. 4 co. 2 Stat. Lav., nel testo vigente all'epoca dei fatti, richiedono il “previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna” solo nel caso in cui da essi “derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori” (in tal senso Cass. Sez. L., n. 2722 del 23/02/2012: “In tema di controllo del lavoratore, le garanzie procedurali imposte dall'art. 4, secondo comma, della legge n. 300 del 1970, espressamente richiamato dall'art. 114 del D.lgs.n. 196 del 2003, per l'installazione di impianti e apparecchiature di controllo richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, dai quali derivi la possibilità di verifica a distanza dell'attività dei lavoratori, trovano applicazione ai controlli, c.d. difensivi, diretti ad accertare comportamenti illeciti dei lavoratori, quando, però, tali comportamenti riguardino l'esatto adempimento delle obbligazioni discendenti dal rapporto di lavoro, e non, invece, quando riguardino la tutela di beni estranei al rapporto stesso. Ne consegue che esula dal campo di applicazione della norma il caso in cui il datore abbia posto in essere verifiche dirette ad accertare comportamenti del prestatore illeciti e lesivi del patrimonio e dell'immagine aziendale. (In applicazione del suddetto principio, è stato ritenuto legittimo il controllo effettuato da un istituto bancario sulla posta elettronica aziendale del dipendente accusato di aver divulgato notizie riservate concernenti un cliente, e di aver posto in essere, grazie a tali informazioni, operazioni finanziarie da cui aveva tratto vantaggi propri)”.
2) La condotta della lavoratrice oggetto della ripresa video non solo non atteneva alla prestazione lavorativa ma non differiva in alcun modo da quella illecita posta in essere da un qualsiasi soggetto estraneo all’organizzazione del lavoro. Il controllo difensivo non atteneva, pertanto, all’esatto adempimento delle obbligazioni discendenti dal rapporto di lavoro ma era finalizzato ad accertare comportamenti che potevano porre in pericolo la stessa sicurezza dei lavoratori, oltre a quella del patrimonio aziendale.
3) La corte territoriale pur dando atto che la telecamera, per la posizione e il campo visivo coperto, era stata installata per sorvegliare la cassaforte “anche a garanzia della sicurezza dei lavoratori operanti alla reception, che si trovano vicino a un possibile obiettivo di malintenzionati (la cassaforte, appunto) e comunque esposti ai rischi derivanti dall'essere il centro necessariamente aperto al pubblico”, e pur rilevando che la medesima non consentiva un reale ed effettivo controllo a distanza della prestazione lavorativa, aveva ritenuto l'installazione dell'impianto audiovisivo soggetta alla procedura di cui al comma secondo del citato art. 4 per il solo fatto che mediante lo stesso fosse consentito controllare gli spostamenti dei lavoratori nell'ambiente di lavoro, al di fuori dell'adempimento della prestazione. Da ciò aveva fatto discendere l'inutilizzabilità del filmato a fini disciplinari, senza neppure indicare elementi da cui trarre che le riprese abbiano potuto ledere la riservatezza dei lavoratori.
Tanto premesso, va riconosciuto che la questione decisa dalla Suprema Corte, concernente i limiti di legittimità dei c.d. controlli difensivi, costituisce argomento molto delicato e di non facile soluzione.
Pur prendendo atto dell’autorevole orientamento della Suprema Corte, bisogna sempre rammentare che il comma 1° dell’art. 4, in omaggio ai valori di cui è portatrice la persona del prestatore di lavoro, disponeva per le aziende il “divieto assoluto” d’installazione, per effettivo “uso”, di impianti audiovisivi e di altre apparecchiature (similari quanto agli effetti indesiderati) destinate allo “scopo precipuo e diretto” del controllo “a distanza” dell’attività dei lavoratori (controllo odioso e riprovevole proprio in quanto “a distanza“, cioè al di fuori della percezione o cognizione diretta del controllato e, quindi, a sua insaputa).
Se però così è, l’attività oggetto del controllo vessatorio deve forse essere intesa in termini più ampi della vera e propria “attività lavorativa” (di cui al precedente articolo 3, L. cit.) ed è, quindi, riferibile al complessivo comportamento tenuto dal lavoratore in azienda, nel tempo in cui egli è impegnato ad adempiere all’obbligazione lavorativa così come durante le pause di lavoro idonee a favorire i contatti con i colleghi, sia per iniziative di proselitismo sindacale, sia per iniziative di libera manifestazione del pensiero ex art. 1 Stat. lav.
Un tale ragionamento porta allora a ritenere che tali impianti audiovisivi o apparecchiature di registrazione, quantunque non riconducibili – per assenza della diretta finalità di controllo sul lavoratore e per oggettiva rispondenza ad esigenze organizzativo/produttive e di sicurezza – al novero di quelle vietate in assoluto, dovrebbero beneficiare della legittimazione alla “messa in opera” ed all’uso (ai sensi del comma 2 dell’art. 4), soltanto nel caso in cui le Rsa (o, sussidiariamente, l’Ispettorato del lavoro, ora D.T.L.) diano atto all’azienda che tali strumentazioni sono carenti in assoluto dei requisiti per un potenziale, indiretto ed accidentale controllo a distanza dell’attività e del comportamento, in generale, dei lavoratori.
A conferma di ciò si rammenta un precedente, sempre della Suprema Corte, (Cass., sent. 17/7/2007 n. 15892) che aveva negato legittimità all’installazione, poiché unilaterale, di un sistema di registrazione della matricola e degli orari per l’accesso e l’uscita dal garage aziendale tramite badge, sulla base dei seguenti condivisibili principi: “L’insopprimibile esigenza di evitare condotte illecite da parte dei dipendenti non può assumere portata tale da giustificare un sostanziale annullamento di ogni forma di garanzia della dignità e riservatezza del lavoratore. Tale esigenza non consente di espungere dalla fattispecie astratta i casi dei c.d. controlli difensivi, ossia di quei controlli diretti ad accertare comportamenti illeciti dei lavoratori quando tali comportamenti riguardino, come nel caso, l’esatto adempimento delle obbligazioni discendenti dal rapporto di lavoro – e non la tutela di beni estranei al rapporto stesso -, ove la sorveglianza venga attuata mediante strumenti che presentano quei requisiti strutturali e quelle potenzialità lesive, la cui utilizzazione è subordinata al previo accordo con il sindacato o all’intervento dell’Ispettorato del lavoro. Consegue a tale rilievo la necessità - ex art. 4, comma 2, dello Stat. lav. - che l’istallazione della contestata apparecchiatura sia oggetto di accordo con le RSA o consentita dall’intervento dell’ufficio pubblico, affinché i dipendenti ne possano avere piena conoscenza e possano eventualmente essere stabilite, in maniera trasparente, misure di tutela della loro dignità e riservatezza”.
Sentenza Cass. Sez. Lav. n.22313/16 del 3 novembre 2016
Con tale sentenza la Suprema Corte ha cassato una sentenza della Corte d’Appello di Venezia che, giudicando sul reclamo proposto ex art. 1 comma 58 della L. n. 92 del 2012, aveva confermato la sentenza del Tribunale della stessa sede che aveva dichiarato l'illegittimità del licenziamento intimato dalla Cassa di Risparmio di Bolzano s.p.a. a un dipendente, a seguito di contestazione disciplinare con la quale si riferiva che nel corso di un'ispezione volta alla verifica del rispetto delle disposizioni interne in materia di uso e sicurezza del materiale informatico assegnato ai dipendenti, questi, alla richiesta di chiarimenti in ordine ad alcuni file con estensione video contenuti nel disco O, aveva cancellato l'intero contenuto del disco, rendendo impossibile dare seguito all'attività ispettiva.
All'esito di un successivo esame dell'archivio informatico, dove il materiale era custodito, era emersa la presenza di materiale con contenuto pornografico.
Alla luce di tutto ciò, la contestazione riguardava l’aver ostacolato l'attività ispettiva del servizio revisione, la violazione sia dell'obbligo di tenere una condotta informata ai principi di disciplina, dignità e moralità sia in sede di effettuazione delle attività di revisione, sia acquisendo e conservando nel computer aziendale materiale pornografico, sia di quello di dedicare il tempo lavorativo esclusivamente all'attività aziendale, la violazione del codice di comportamento che prescrive che i dipendenti della cassa sono tenuti ad utilizzare le apparecchiature esclusivamente per finalità di ufficio, nonché l’aver esposto la Banca ai rischi conseguenti l'acquisizione nel proprio sistema informatico di file che avrebbero potuto comportare sanzioni ai sensi del D.Lgs. n. 231/ 2001 laddove il materiale avesse coinvolto immagini di minorenni.
La corte territoriale aveva ritenuto l’illegittimità del licenziamento per l’insussistenza del fatto contestato, dal momento che la banca non aveva dimostrato l'esistenza di documenti di pertinenza aziendale all'interno della parte del disco fisso del pc che era stata cancellata dal lavoratore. Inoltre, il comportamento doveva ritenersi senz'altro scusabile in considerazione del fatto che gli ispettori avevano travalicato i propri poteri, imponendo al lavoratore l'immediata visione dei file, formulando una richiesta abusiva perché sproporzionata e tale da ledere la privacy del dipendente.
La Suprema Corte ha invece ritenuto fondato il ricorso, articolato su più motivi, innanzitutto accogliendo quello con cui era stata censurata la decisione laddove aveva affermato che gli ispettori avevano ecceduto dai propri poteri, potendo rinviare ad un secondo momento la visione dei file sospetti, conservati nel server, anziché procedere in presenza dei colleghi.
Tale affermazione è stata censurata sotto un primo profilo per violazione e falsa applicazione dell'art. 6 CEDU e artt. 115 e 116 c.p.c. oltre che per omesso esame di un fatto decisivo per il giudizio. Secondo la banca ricorrente, la ricostruzione dei fatti posti dalla Corte d'appello alla base della propria decisione non corrispondeva ai fatti dedotti e provati, in quanto gli ispettori non avevano chiesto al ricorrente di aprire i file, limitandosi a chiedere informazioni al riguardo e, dopo che il dipendente ne aveva cancellati alcuni, lo avevano invitato a non cancellarne ulteriori in quanto ciò avrebbe costituito un ostacolo all'attività ispettiva.
Veniva contestato anche che all’ispezione fossero presenti altri soggetti, circostanza che la Banca non era stata ammessa a provare.
Un altro ordine di censure ha riguardato la dedotta violazione o falsa applicazione del D.Lgs. 30 giugno 2003 n. 196 e dell'articolo 2104 c.c.; secondo la ricorrente, chi è chiamato a verificare il rispetto delle norme in materia di sicurezza informatica può apprendere il contenuto dei file che si trovano nello strumento informatico affidato dall'azienda al lavoratore, sicché la condotta di chi impedisca tale verifica deve essere qualificata come illegittima.
Ulteriormente, la banca ha denunciato la violazione dell'articolo 1326 c.c. in relazione all'affermazione secondo cui la stessa avrebbe rinunciato a dare rilievo al potenziale rischio di coinvolgimento in un reato ai sensi del D.Lgs. n. 231 del 2001. Il motivo ha attinto la motivazione della Corte territoriale laddove afferma che la banca non potrebbe invocare il bilanciamento tra diritto alla privacy e diritto della datrice di lavoro a non incorrere in responsabilità per violazione del decreto legislativo suddetto, avendo di fatto rinunciato nella lettera di licenziamento alla contestazione relativa al potenziale rischio discendente dalla violazione di tale decreto legislativo.
Ciò detto, la Cassazione ha così motivato la propria decisione:
1. La Corte d'appello, esaminando la contestazione che aveva a oggetto la cancellazione del disco O dal computer effettuata dal dipendente al fine di evitare il controllo dello stesso nel corso dell'ispezione, aveva valorizzato la scusabilità del comportamento del dipendente, determinato dalle modalità abusive con le quali quella si sarebbe svolta, riassunte nello storico di lite, tra cui quella di pretendere pubblicamente l'apertura dei file.
La premessa in diritto dalla quale muoveva la Corte territoriale doveva ritenersi corretta. Infatti, il datore di lavoro può effettuare dei controlli mirati (direttamente o attraverso la propria struttura) al fine di verificare il corretto utilizzo degli strumenti di lavoro (cfr. artt. 2086, 2087 e 2104 cod. civ.), tra cui i pc aziendali. Nell'esercizio di tale prerogativa, occorre tuttavia rispettare la libertà e la dignità dei lavoratori, nonché, con specifico riferimento alla disciplina in materia di protezione dei dati personali dettata dal D.lgs. n.196 del 2003, i principi di correttezza (secondo cui le caratteristiche essenziali dei trattamenti devono essere rese note ai lavoratori), di pertinenza e non eccedenza di cui all'art. 11, comma 1, del Codice della privacy. Ciò, tenuto conto che tali controlli possono determinare il trattamento di informazioni personali, anche non pertinenti, o di dati di carattere sensibile (cfr. sul punto Cass. civ. 05-04-2012, n. 5525 e n. 18443 del 01/08/2013).
2. Nel caso di specie, a tale premessa in diritto doveva seguire il controllo fattuale in ordine alle concrete modalità con le quali l'ispezione era stata condotta, onde accertare la reale consistenza delle attività effettuate e delle richieste degli ispettori, nonché la loro conformità con eventuali policy aziendali.
Tali modalità invasive della privacy erano state date per pacifiche dalla Corte territoriale, che aveva confermato la ricostruzione secondo la quale gli ispettori avevano preteso di aprire pubblicamente i file personali. Ciò tuttavia era stato ritenuto senza richiamare le fonti del proprio convincimento e malgrado lo specifico motivo di appello formulato in proposito dalla Banca e le dissonanti deduzioni e capitolazioni istruttorie.
Lo stesso doveva dirsi per l'affermazione secondo la quale i dati cancellati erano integralmente recuperabili sul server.
3. Analogamente fondato doveva ritenersi il secondo motivo.
Nella lettera di contestazione testualmente si diceva: “Per quanto riguarda l'ultimo punto della contestazione, afferente "l'aver esposto la Cassa ai rischi conseguenti l'acquisizione del proprio sistema informatico di file che potrebbero comportare un coinvolgimento e sanzioni ai sensi del decreto legislativo numero 231 del 2001", i contenuti verranno trasmessi all'organismo di vigilanza di cui al D.lgs. 231 del 2001 per il seguito che lo stesso vorrà dare".
Inoltre, la massima sanzione espulsiva era stata giustificata, come riferito dalla stessa Corte d'appello, anche sulla base della considerazione che l’insubordinazione atta a contestare l'attività ispettiva era assommata “a un profilo non specchiato che le contestazioni ulteriori evidenziano”.
Nell'irrogazione del licenziamento, la banca aveva valorizzato al fine della complessiva valutazione della personalità del lavoratore anche tale specifico punto della contestazione disciplinare, che invece non era stato considerato dal giudice del gravame.
Va rilevato che anche questo caso è anteriore al D.lgs n. 151/2015. In proposito, la Cassazione ha giustamente evidenziato che il primo motivo del ricorso non attiene alla materia dei c.d. controlli a distanza, né all’utilizzo dei dati desunti dal computer aziendale, ma al potere di controllo del datore di lavoro sull’utilizzo dello strumento presente sul luogo di lavoro e in uso al lavoratore per lo svolgimento della prestazione.
In merito, a prescindere dagli ulteriori accertamenti in fatto che dovrà compiere il Giudice del rinvio, bisogna rammentare che l'Autorità del Garante alla privacy è più volte intervenuta per cercare di risolvere le problematiche sorte in relazione alla crescente necessità di evoluzione tecnologica delle aziende e al connesso utilizzo degli strumenti informatici da parte dei lavoratori con sempre maggior disinvoltura, attraverso l'emanazione di linee guida ed importanti chiarimenti.
Il primo intervento da parte del Garante della privacy risale al 1° marzo 2007, quando sono state emesse le linee guida per la posta eletronica ed internet, provvedimento con cui si è cercato di dare una soluzione e di trovare un punto di equilibrio tra le due esigenze contrapposte.
Il Garante nell’occasione ha affermato che non può ritenersi consentito il trattamento effettuato mediante sistemi hardware e software preordinati al controllo a distanza, grazie ai quali sia possibile ricostruire – a volte anche minuziosamente – l’attività dei lavoratori, come nel caso di:
1) lettura e registrazione sistematica dei messaggi di posta elettronica, ovvero dei relativi dati esteriori, al di là di quanto tecnicamente necessario per svolgere il servizio e-mail;
2) riproduzione ed eventuale memorizzazione sistematica delle pagine web visualizzate dal lavoratore;
3) lettura e registrazione dei caratteri inseriti tramite tastiera o analogo dispositivo;
4) analisi occulta dei computer portatili affidati in uso.
È ammessa invece la possibilità per il datore di lavoro di utilizzare sistemi informatici (ad es. per rilevare anomalie nella rete) che si rivelano necessari per lo svolgimento e la sicurezza sul lavoro e che consentono potenzialmente un controllo “indiretto” (c.d. controllo preterintenzionale) sull’operato del dipendente, rendendo lecito il trattamento dei dati che ne consegue. Resta però ferma, precisa il Garante, la necessità di rispettare le procedure di informazione e di consultazione di cui all’art. 4, co. 2, più volte richiamato.
In ogni caso, il datore di lavoro, anche se necessitato dal punto di vista organizzativo, deve valutare attentamente l’impatto che l’introduzione di tali sistemi viene ad avere sui diritti dei lavoratori (prima della installazione di impianti e apparecchiature suscettibili di consentire il controllo a distanza e l’eventuale trattamento); deve quindi individuare preventivamente a quali lavoratori è concesso l’indirizzo di posta elettronica o l’accesso a internet, determinare quale ubicazione è riservata alle postazioni di lavoro per ridurre il rischio di un loro impiego abusivo, al fine di prevenire controlli successivi sul lavoratore.
Con particolare riferimento all’uso della posta elettronica, il Garante, rilevato l’utilizzo frequente da parte dei lavoratori di tale strumento anche per uso personale, ha ravvisato l’opportunità che il datore di lavoro renda disponibili indirizzi di posta elettronica condivisi tra più lavoratori e fornisca, eventualmente, diversi indirizzi destinati ad uso privato. Ha raccomandato poi che, in caso di assenza improvvisa o prolungata del lavoratore e per improrogabili necessità legate all’attività lavorativa che rendano necessaria la conoscenza del contenuto dei messaggi di posta elettronica, l’interessato sia messo in grado di delegare un altro lavoratore (fiduciario) a verificare il contenuto di messaggi e a inoltrare al titolare del trattamento quelli ritenuti rilevanti, previa redazione di apposito verbale.
Riguardo ai controlli che il datore può effettuare, il Garante ha affermato che tali controlli devono rispettare i principi di pertinenza e non eccedenza: che si devono privilegiare comunque controlli anonimi, per quanto possibile su dati aggregati, riferiti all’intera struttura lavorativa o ad aree della stessa, previa l’emissione di avvisi generalizzati ai dipendenti, magari riferiti all’area o al settore interessato.
È comunque esclusa l’ammissibilità di controlli prolungati, costanti e indiscriminati.
Riassumendo, quindi, il datore di lavoro non può controllare la posta elettronica e la navigazione internet dei dipendenti e/o effettuare controlli indiretti mediante tecnologie software o hardware se non previa definizione delle modalità d’uso di tali strumenti nel rispetto dei diritti dei lavoratori e della disciplina in tema di relazioni sindacali.
Successivamente, il Garante è tornato sul tema attraverso l'emanazione del provvedimento del 2 ottobre 2009, emesso a seguito di un ricorso presentato da una lavoratrice che lamentava un accesso “invasivo” dell'azienda al pc fornito in dotazione alla stessa: nel richiamare le disposizioni del provvedimento del 1° marzo 2007, l'Autorità ha affermato un interessante principio riguardo all'acceso del datore di lavoro al pc del dipendente in un periodo di assenza dello stesso e al conseguente accesso ai documenti in questo contenuti.
Ad avviso del Garante debbono risultare chiare le condizioni di accesso fissate dalla società alle cartelle assegnate ai dipendenti e per le quali risulti ammesso un uso personale, tale da consentire che nelle medesime cartelle siano contenuti dati afferenti la persona del lavoratore. Alla luce di ciò l'Autorità, considerando il principio di correttezza di cui all'art. 11, comma 1, lett a), del D.lgs. n. 196/2003, ha stabilito che l'azienda interessata ha l'obbligo di fornire una chiara informativa ai dipendenti a cui è concesso un utilizzo personale delle risorse informatiche aziendali, in relazione alle condizioni, le finalità e le modalità con le quali vengono rese accessibili le cartelle personali di rete, definendo allo stesso tempo quelle che potrebbero essere le esigenze e le situazioni di emergenza che ne giustificano un'eventuale visibilità a terzi regolarmente autorizzati.
In conclusione, alla luce delle questioni sollevate dal caso di specie, il Garante con il provvedimento in questione ha stabilito che in caso di emergenza il datore di lavoro può accedere ai file contenuti nel pc di un dipendente assente, ma solo in presenza di un'apposita informativa a riguardo fornita al lavoratore, e che, nel caso di concessione da parte del datore di lavoro di un utilizzo a fini personali delle risorse informatiche dell'ufficio, dovranno essere stabilite le condizioni, le finalità e le modalità d'uso.
In altre parole, la società può ispezionare i dati conservati sui propri pc dai dipendenti, ma a condizione che ciò avvenga nel rispetto della libertà e della dignità dei lavoratori e, comunque, previa informativa al dipendente, che, ovviamente, dovrà essere fornita prima ancora che il dipendente inizi a lavorare sul computer.
E incombe sul datore di lavoro convenuto in giudizio fornire tale prova.
Pertanto una società non può controllare il contenuto del pc di un dipendente senza averlo prima informato di questa possibilità e senza il pieno rispetto della libertà e della dignità del lavoratore stesso. Tale indirizzo è stato costantemente mantenuto dal Garante nel corso degli anni, anche in relazione a fattispecie diverse. Una riguarda la vicenda di un lavoratore dipendente, licenziato senza preavviso dalla propria azienda, sulla base di documenti contenuti in una cartella personale del pc portatile a lui assegnato.
La società vi aveva avuto accesso quando il dipendente aveva riportato il computer in sede per la periodica operazione di salvataggio dei dati (backup) aziendali.
Contrariamente a quanto affermato dall'impresa, non era stato dimostrato che l'uomo fosse stato informato sui limiti di utilizzo del bene aziendale, né sulla possibilità che potessero essere avviate così penetranti operazioni di analisi e verifica sulle informazioni contenute nel pc stesso.
Il Garante ha, anche in questo caso, ribadito che il datore di lavoro può effettuare controlli mirati al fine di verificare l'effettivo e corretto adempimento della prestazione lavorativa e, se necessario, il corretto utilizzo degli strumenti di lavoro, ma che tale attività può essere svolta solo nel rispetto della libertà e della dignità dei lavoratori e della normativa sulla protezione dei dati personali che prevede, tra l'altro, che alla persona interessata debba essere sempre fornita un'idonea informativa sul possibile trattamento dei suoi dati connesso all'attività di verifica e controllo.
Il Garante ha quindi vietato alla società ogni ulteriore utilizzo dei dati personali così acquisiti. Sarà invece l'autorità giudiziaria a valutare l'utilizzabilità nel procedimento civile già in corso della documentazione acquisita agli atti (v. Garante della Privacy, newsletter 14 febbraio 2013, n. 369).
Non erra pertanto la Suprema Corte nell’affermare che risulta decisivo nel caso di specie verificare se (come sostenuto dal lavoratore e negato dalla Banca) la richiesta degli ispettori al reclamato di aprire i file fosse avvenuta, o meno, alla presenza di colleghi. Se la risposta fosse positiva, ciò avrebbe determinato infatti una intollerabile lesione alla dignità del lavoratore. A ciò dovrebbe però aggiungersi l’accertamento a proposito della effettiva previa informativa al dipendente sulle eventuali modalità di controllo, che nella loro concreta attuazione dovevano essere effettuate in conformità alle linee guida rese note ai dipendenti.
Se venisse meno la prova di tale presupposto, il rifiuto del dipendente e la condotta volta alla cancellazione dei file personali potrebbero sfuggire alla qualificazione come giusta causa di licenziamento, dal momento che si porrebbero a fronte di un comportamento datoriale caratterizzato da abuso.
Conclusioni
Come già rammentato all’inizio di questa disamina il 24 settembre 2015 è entrato in vigore l’art. 23 del D.lgs n.151/2015, attuativo di una delle deleghe contenute nel c.d. Jobs Act, che modifica e riforma l’articolo 4 dello Statuto dei Lavoratori secondo il dichiarato intento di adeguare le disposizioni e le procedure preesistenti alle innovazioni tecniche e alla loro introduzione nei contesti aziendali. In realtà la modifica legislativa abroga il divieto di controllo a distanza dei lavoratori ed inserisce, tra i casi di impianti ed apparecchiature di controllo ammessi, anche di quelli che riguardano la tutela del patrimonio aziendale. Inoltre esclude la necessità di accordo sindacale o autorizzazione ministeriale per l’utilizzo di strumenti che servono al lavoratore per rendere la prestazione lavorativa e per quelli di registrazione degli accessi e delle presenze. Si tratta dunque di un intervento decisamente espansivo rispetto ai poteri datoriali, che è stato posto in essere nonostante un atteggiamento della giurisprudenza tutt’altro che lassista (ed i casi che precedono ne sono esempio).
In attesa di futuri (chissà se positivi) bilanci, appare comunque doveroso rammentare che il potere di controllo sul processo produttivo deve essere sempre esercitato (considerato gli interessi contrapposti) con estrema attenzione in un ambito di manovra che se ampliato eccessivamente per legge, potrebbe presentare risvolti di notevole pericolosità.