Privacy, rapporto di lavoro, monitoraggio degli accessi a internet, monitoraggio delle email e normative di tutela contro il controllo a distanza (di Andrea Stanchi)

 

Sommario.

1. Il sistema delle tutele delineato dagli interventi del Garante della Privacy;
1.1 L’Opinion del Data Protection Working Party.;
1.2 Monitoraggio degli accessi Internet, utilizzo delle email sul lavoro e normative a tutela della riservatezza;
1.3 La legislazione italiana;
1.4 L’opinione del Garante della Privacy;
2. Il monitoraggio elettronico sul lavoro: sintesi di alcune esperienze estere; USA, Gran Bretagna, Francia, Olanda.
2.1 L’esperienza americana;
2.1.1 Il sistema delle tutele in USA;
2.2 L’esperienza britannica;
2.3 L’esperienza francese;
2.4 L’esperienza olandese;
3. Il sistema italiano e l’esempio estero: alcuni spunti interpretativi.

 

 

1. Il sistema delle tutele delineato dagli interventi del Garante della Privacy.

*

1.1            L’Opinion del Data Protection Working Party.

            Una riflessione, sia pure estremamente sintetica, delle problematiche coinvolte dall’interazione della normativa sulla privacy e dalla legislazione giuslavoristica in tema di monitoraggi elettronici non può non prendere le mosse dalla opinion recentemente espressa dal Data Protection Working Party (Gruppo Europeo per la tutela del trattamento dei dati), istituito sulla base dell’articolo 29 della direttiva 95/46/EC con i compiti previsti dall’articolo 30.

Il Data Protection Working Party è un “indipendent EU Advisory Body on Data Protection and Privacy”. E’ dunque un organo della Comunità, che si occupa di monitorare l'applicazione della direttiva europea sulla Privacy e di fornire linee di indirizzo e suggerimenti per l'evoluzione della disciplina e della sua applicazione.

Il Gruppo, come detto, è intervenuto recentemente in materia di protezione nel trattamento dei dati e rapporto di lavoro con la opinion n. 8/2001 [1] .

L’intervento è di particolare interesse perché pone in evidenza l’esigenza di un coordinamento attento tra le normative dettate dalla Direttiva (e dalle sue recezioni dai paesi aderenti alla Comunità) e le normative nazionali in tema di disciplina del rapporto di lavoro, e di riflessione sulle reciproche specifiche finalità ai fini di armonizzarne l’applicazione.

A questo riguardo è opportuno qualche rilievo, in via preliminare, sulle affermazioni contenute nella opinion n. 8/2001 del Gruppo Europeo sopra ricordata.

La direttiva infatti, e con essa la normativa italiana di recezione, affronta il tema della protezione del trattamento dei dati con un taglio generalista, non necessariamente rapportato ai problemi ed alle esigenze che, nell’ambito del rapporto d’impiego e del rapporto di lavoro in genere, si pongono per la gestione ordinaria del contratto.

Nell’esaminare specificamente la problematica del trattamento dei dati nell’ambito del rapporto di lavoro il Gruppo Europeo ha stabilito, con importante affermazione, che la privacy non è un diritto assoluto.

Si tratta di un diritto (tra quelli fondamentali) che va bilanciato con altri interessi legittimi o diritti o libertà.

I dipendenti, come parte di una organizzazione complessa, devono accettare necessariamente un certo grado di intrusione nella propria sfera privata e devono condividere certe informazioni personali con il datore di lavoro.

Il datore di lavoro d’altro canto, ha un interesse legittimo nel trattare dati personali dei dipendenti per ragioni conformi alla legge e legittimi propositi che sono necessari per il normale sviluppo del rapporto di lavoro e delle altre operazioni dell’azienda.

Perciò la questione che si deve porre è quali limiti la privacy impone a tali attività o, per seguire un'altra via, quali sono le ragioni che possono giustificare la raccolta e il trattamento dei dati di ogni dipendente.

Secondo l’Advisory Body non ci sono risposte a priori.

Il livello di intrusione tollerabile dipende dalla natura del rapporto, così come dalle circostanze e dai singoli diritti che vengono a confrontarsi.

In questa attività, a parere del Gruppo Europeo, un ruolo essenziale è rivestito dai Garanti nazionali, capaci di adattare la generalità delle disposizioni della direttiva (e/o delle normative di recepimento) alle peculiarità che in ciascun sistema assume la disciplina giuslavoristica.

Ciò non toglie che, secondo il Gruppo Europeo, vi sono principi essenziali cui ogni interpretazione ed ogni appicazione peculiare devono ispirarsi, che regolamentano ogni trattamento di dati nell’ambito del rapporto di lavoro.

Essi sono:

·        la finalità, ossia il principio secondo cui il trattamento dei dati deve rispondere a finalità lecite o a interessi legittimi necessari per lo svolgimento dell’attività di lavoro o imposti da normative;

·        la trasparenza, ossia una opportuna informazione ai lavoratori sui dati, sul perché vengono raccolti e sulle modalità di trattamento;

·        la legittimità, ovverosia il rispetto dei diritti e delle libertà dell’individuo;

·        la proporzionalità cioè la corrispondenza tra la finalità e il trattamento;

·        l’accuratezza e la conservazione, cioè che i dati siano esatti e che siano conservati per il solo periodo necessario per il trattamento;

·        la sicurezza, cioè le misure opportune tecnicamente e organizzativamente per la conservazione dei dati;

·        la conoscenza da parte dello staff ovverosia la professionalità nel trattamento dei dati e un apposito dovere di segretezza.

Il Gruppo Europeo, nell’ambito del proprio esame, affronta anche la problematica del consenso.

Rispetto a questo specifico tema il Gruppo Europeo pone in evidenza come molti trattamenti di dati nell’ambito del rapporto sono trattamenti necessitati, rispetto ai quali il consenso non può svolgere funzione alcuna, perché è implicato necessariamente.

Il consenso del dipendente può svolgere una funzione importante solo laddove sia libero, cioè sia effettivamente esercitabile il diniego.

Dove è richiesto il consenso deve essere informato.

L’osservazione è importante perché pone in evidenza come il consenso deve essere riservato a quei casi in cui il rifiuto del trattamento può essere un rifiuto veramente libero (cioè non è un libero rifiuto quello nei casi in cui il trattamento dei dati è un trattamento necessitato).

In tutti gli altri casi, a parere del Gruppo Europeo, l’informazione è un requisito sufficiente.

Sono ovviamente fatti salvi i diritti dell’interessato quanto all’accesso e alla rettifica.

I principi così stabiliti costituiscono principi importanti che vanno tenuti ben presenti nella concreta interpretazione delle varie normative attinenti alla sfera dei diritti di riservatezza del lavoratore.

*

1.2            Monitoraggio degli accessi Internet, utilizzo delle email sul lavoro e normative a tutela della riservatezza.

            I moderni sistemi elettronici consentono di attuare (attraverso il log, la cache memory o programmi specifici o i bookmarks) il controllo degli accessi e dei siti a cui si accede.

La questione è stata oggetto, insieme ai generali aspetti della privacy sul luogo di lavoro, del documento (opinion 8/2001, cit.) del Gruppo Europeo.

La considerazione di apertura del parere n. 8/2001 del Gruppo è che il trattamento dei dati interviene sempre nel campo dei diritti fondamentali dell’uomo.

Sotto questo profilo, ricorda nella sua opinion il Gruppo, la Corte dei Diritti dell’uomo ha precisato che la nozione di vita privata non può non comprendere in certa parte il diritto di stabilire relazioni con altri anche durante l’attività lavorativa che costituisce una, se non la maggiore, opportunità di stabilire relazioni con terzi (caso Niemitz c. Germany).

Secondo l’opinion, il monitoraggio degli e-mail e degli accessi internet:

·        comporta necessariamente il trattamento di dati personali quanto al controllo delle e-mail;

·        il monitoraggio degli accessi internet, a meno che avvenga a un livello talmente alto da non consentire di ricondurre l’accesso a siti particolari a specifici individui, e quindi produca solo informazioni aggregate, necessariamente implica il trattamento di dati personali;

Il trattamento di dati nel rapporto di lavoro ricade quindi sotto la direttiva e deve essere considerato nel contesto dell’interazione con le altre normative giuslavoristiche locali.

Specificamente sul monitoraggio nell’ambito del rapporto di lavoro, il Gruppo Europeo ha stabilito che qualsiasi monitoraggio deve essere proporzionato ai rischi che il datore di lavoro affronta tenendo in dovuto conto gli interessi legittimi del dipendente alla privacy.

Ogni dato raccolto deve essere adeguato, rilevante e non eccessivo rispetto al fine per cui il monitoraggio è consentito.

Ogni monitoraggio deve essere condotto nel modo meno invasivo possibile.

Il monitoraggio deve ottemperare ai requisiti di trasparenza stabiliti dall’art. 10 della direttiva. Di conseguenza i lavoratori devono essere informati dell’esistenza della sorveglianza e delle finalità di essa per garantire la correttezza del trattamento.

*

1.3       La legislazione italiana.

            Per la legislazione italiana è di tutta evidenza che gli strumenti che consentono il monitoraggio delle e-mail così come degli accessi a internet sono in primo luogo strumenti di controllo a distanza perché in ragione delle loro caratteristiche tecniche consentono -durante la prestazione di lavoro- al datore di lavoro di controllare e ricostruire l’attività svolta dai dipendenti. Rientrano dunque nell’ambito delle previsioni dell’art. 4 della l.n. 300/70 [2] .

L’art. 4 dello Statuto dei lavoratori fa parte, come noto, della complessa normativa diretta a contenere le manifestazioni del potere organizzativo del datore di lavoro che per le modalità di attuazione incidono sulla sfera interna della persona, e sono quindi ritenute lesive della dignità e della riservatezza del lavoratore.

La norma sancisce il divieto dell’impiego di impianti per il controllo a distanza, e al I° e II° comma prevede:

“E’ vietato l’uso di impianti audiovisivi e da altre apparecchiature con finalità di controllo a distanza dell’attività dei lavoratori.

Gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori , possono essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure in mancanza di queste, con la commissione interna..In difetto di accordo, su istanza del datore di lavoro, provvede l’Ispettorato del lavoro, dettando, ove occorra, le modalità per l’uso di tali impianti.

L’art. 4 S.L. individua quindi due fattispecie:

·        un divieto assoluto ed inderogabile di installazione ed uso di apparecchiature esclusivamente destinate al controllo dell’attività dei lavoratori. Tale divieto è previsto sul presupposto –precisato dalla relazione ministeriale- che la vigilanza sul lavoro ancorchè necessaria nell’organizzazione produttiva, vada contenuta in una dimensione umana e cioè non esasperata dall’uso di tecnologie che possono renderla continua ed anelastica eliminando ogni zona di riservatezza  di autonomia nello svolgimento del lavoro (Cass. 8250/2000);

·        un divieto flessibile nel senso che, ricorrendo specifiche condizioni e limiti, è possibile l’installazione e l’uso di apparecchiature che rispondono ad esigenze produttive, organizzative, o di sicurezza, e che in pratica rendano possibile il controllo dell’attività dei lavoratori. La previsione ha l’evidente intento di razionalizzare e contemperare le esigenze di tutela della dignità e riservatezza del lavoratore da un lato e di tutela della sicurezza dell’ambiente di lavoro, dell’organizzazione e della produzione dall’altro.

Si parla quindi di controllo intenzionale in ogni caso interdetto e di un contrapposto controllo preterintenzionale che è ammesso nel rispetto della procedura garantistica prevista (Bellavista, 1995; Liso, Ghezzi 1986; Romagnoli 1979; Veneziani 1979; Ichino 1978, Cataudella 1975; Pera 1972).

La norma è stata particolarmente approfondita in dottrina ed in giurisprudenza, e un punto essenziale di contrasto si pone con riguardo a ciò che debba intendersi per apparecchiature e, in particolare se (secondo la ratio originaria dell’articolo) le stesse debbano consistere in macchinari comunque esterni e/o separabili dagli strumenti di lavoro, oppure, secondo l’opinione maggioritaria delle dottrina e giurisprudenza, vadano distinte le funzioni cui l’apparecchiatura può prestarsi, per la preclusione di quelle vietate e l’osservanza delle procedure di installazione.

Con riferimento all’espressione attività dei lavoratori è stato ritenuto che il legislatore abbia inteso vietare il controllo non soltanto sull’adempimento della prestazione lavorativa ma anche sul complessivo comportamento del lavoratore esorbitante dalla subordinazione tecnico-funzionale (Cass. 1236/1983).

Il riferimento alla distanza del controllo e alla mediazione di qualsivoglia apparecchiatura si ritiene che non si riferisca esclusivamente a una distanza spaziale ma piuttosto al carattere oggettivamente occulto del controllo.

La giurisprudenza ha in varie occasioni valorizzato il richiamo alle apparecchiature contenuto nella norma, ossia alla necessità -perché operi il divieto- che ricorra un controllo effettuato da impianti audiovisivi o da qualsiasi altro tipo di apparecchiatura, che per sua natura sia idonea a registrare i dati e conservarli.

La giurisprudenza di legittimità ha in più occasioni affermato il principio secondo cui la disposizione in esame va considerata violata anche nell’ipotesi in cui vi sia una mera possibilità di controllo dei lavoratori a prescindere dalla concreta idoneità (cfr. Cass. 9211/1997, 1236/1983).

La violazione dell’art. 4 S.L. è stata ritenuta sussistere anche quando:

·        le apparecchiature siano state solo installate ma non siano ancora funzionanti (cfr. oltre a Cass. 9211/1997, Cass. 1490/86);

·        il controllo sia destinato ad essere discontinuo perché esercitato in locali dove i lavoratori possono trovarsi solo saltuariamente (Cass. 9211/97, 1490/86);

·        i lavoratori siano stati preavvertiti del controllo (Cass. 9211/97, 1490/86, 1236/83).

La possibilità di addivenire ad accordi sindacali è condizione di adempimento della norma.

In mancanza di accordo con le rappresentanze sindacali, è l’Ispettorato del lavoro competente a provvedere in merito alla verifica della legittimità dell’installazione, su istanza del datore di lavoro, e a verificare le condizioni per la concessione dell'autorizzazione, dettando -ove occorra- le modalità d’uso degli impianti, così come previsto dall’ultima parte del II comma dell’art. 4 S.L..

Secondo la giurisprudenza la violazione della procedura legale configura di per sè condotta antisindacale ex art. 28 S.L. (cfr. Cass. 9211/1997).

E’ stato ritenuto che le apparecchiature di cui al II° comma dell’art. 4 S.L. “sono consentite soltanto a condizione che il datore di lavoro osservi quanto tassativamente previsto nello stesso comma secondo, ed, eventualmente, dai successivi” (Cass. 9211/97 e 1236/1983), che l’individuazione di una precisa procedura esecutiva e degli stessi soggetti ad essa partecipi “non sono suscettibili di variabilità e sconfinamenti”, nonchè, in particolare, “la tassatività dei soggetti indicati” dall’art. 4, II° comma, tassatività che non ammette che l’assenso possa essere manifestato da organismi sindacali diversi da quelli indicati nella norma stessa (così sempre Cass. 9211/97 ha ritenuto irrilevante ai fini della legittimità dell’installazione l’eventuale intesa raggiunta con organi di coordinamento delle rsa di varie unità produttive, con conseguente carattere antisindacale del comportamento del datore di lavoro).

La violazione delle disposizioni di cui all’art. 4 S.L. è sanzionata penalmente ex art. 38 dello Statuto dei Lavoratori.

Sul piano processuale civilistico è stata ritenuta l’impossibilità di attribuire valore probatorio al dato informativo acquisito attraverso l’uso di apparecchiature contrario ai divieti di cui  all’art. 4 S.L. (Cass. 8250/2000).

*

1.4            L’opinione del Garante della Privacy.

            Emerge dunque chiaramente dall’esame, sia pure sintetico, della norma statutaria che l’utilizzo degli strumenti di controllo a distanza (normalmente vietato), è consentito solo se richiesto da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro (art. 4, co. 2).

In tali casi l’istallazione deve essere  o concordata con le rappresentanze sindacali aziendali oppure in caso di disaccordo o di mancanza di tali rappresentanze, su specifica istanza, provvede l’Ispettorato del Lavoro (oggi Direzione Provinciale del lavoro servizio ispettivo) che prescrive –ove occorra- le modalità per l’uso.

La normativa statutaria va poi coordinata con la legge 675/96 (come indica chiaramente il parere del Gruppo Europeo, un tale trattamento interviene in materia di dati e talvolta di dati sensibili).

Va dunque richiesto l’adempimento degli obblighi di informativa di cui all’art. 10 della legge e il consenso (ove necessario) di cui all’art. 11 sempre nel rispetto dei principi dell’art. 9 (principio di pertinenza).

In particolare, in merito al controllo degli accessi ad internet (che consente il trattamento di dati sensibili), il Garante italiano ha precisato che è illegittimo ogni trattamento occulto in rete ed ogni pretesa di sottrarre al controllo degli interessati il complesso dei trattamenti che riguardano i loro dati personali (relazione del Garante del 1999).

E’ ovvio che tali principi vanno rapportati con le specifiche disposizioni delle autorizzazioni rilasciate dal Garante per il trattamento dei dati sensibili nell’ambito del rapporto di lavoro e, più in generale, della legge 675/96.

Il Garante ha affrontato la tematica nel comunicato stampa del 7.2.01 per dire che, in proposito, non erano stati elaborati principi specifici, che non era in corso di elaborazione una normativa sul punto specifico, che andavano in ogni caso rispettate le normative sull’informativa.

Ha poi suggerito che ai fini della valutazione della legittimità dei comportamenti del datore di lavoro va vagliata la possibilità di procedere a predisporre inibizioni preventive di accesso a determinate categorie di siti.

Ciò consente infatti di non intervenire in una fase che comporti il trattamento di dati, ma di agire in via preventiva.

Se ciò non fosse possibile o non compatibile con le esigenze di lavoro, deve essere rispettata la normativa sul controllo degli accessi sia in termini di informativa e consenso sia in termini di disciplina dell’art. 4 dello statuto dei lavoratori.

*

            Problema connesso e di emergente attualità è quello della possibilità di esame o meno da parte del datore di lavoro delle e-mail dei suoi dipendenti.

L’interesse dell’impresa, legittimo, è evidente: può sussistere una responsabilità dell’impresa –che risulta ovviamente coinvolta in ragione della riconducibilità ad indirizzi elettronici di propria pertinenza- per l’informazione trattata dal dipendente tramite la casella aziendale di posta elettronica (informazioni illecite, contrarie alla decenza, dannose per terzi, ecc.).

In alcuni casi sono disposizioni regolamentari (come accade per le SIM) in esecuzione di normative dello Stato ad imporre regimi specifici di controllo e conservazione della posta elettronica per evitare danni a settori del mercato particolarmente sensibili al trattamento dell’informazione riservata.

Con parere 16.6.99 il Garante ha precisato che la posta via Internet, anche con l’uso di mailing list o newsgroup, rientra tra le protezioni che l’art. 15 della Costituzione riserva alla corrispondenza. Il Garante, dall’esame della legge 547/93 di modifica della normativa penale a tutela della corrispondenza e del DPR 513/97 (sul documento elettronico), ha tratto conferma che la posta elettronica deve essere considerata a tutti gli effetti alla stregua della corrispondenza epistolare o telefonica. E’ quindi come tale protetta dalle medesime normative.

Ne consegue l’applicazione delle disposizioni del codice penale (artt. 615 e 618 e sgg.) che proteggono la corrispondenza.

L’azienda deve quindi regolamentare l’accesso e l’utilizzo al proprio sistema di posta elettronica attraverso:

·        la limitazione dell’uso alle finalità proprie dell’attività lavorativa;

·        o, la precisazione di regole per l’uso per motivi extra lavorativi.

Anche una tale disciplina, in quanto consenta un effettivo controllo della prestazione, ricade poi nell’ambito di applicazione delle regole dell’art. 4 S.L..

* * *

2. Il monitoraggio elettronico sul lavoro: sintesi di alcune esperienze estere; USA, Gran Bretagna, Francia, Olanda.

            Quello descritto, con riferimento al sistema italiano, è il quadro di massima delineato dalle opinioni sinora espresse dall’autorità preposta ad occuparsi di privacy e nuove tecnologie.

La posizione espressa dall’autorità garante esamina tuttavia il tema a prescindere dalla concretizzazione delle regole, ed anzi, per espressa dichiarazione della medesima autorità riconosce che il problema del coordinamento del sistema normativo con riferimento alle pratiche di monitoraggio è problema nuovo ed ancora oggetto di riflessione.

Il tema dei monitoraggi in discussione è di particolare interesse anche in altri paesi ad elevato sviluppo industriale e che partecipano della cultura di attenzione alla sfera dei diritti di riservatezza a cui si ispira anche la legislazione italiana.

L’esame, in sintesi, delle ragioni e delle modalità con cui viene affrontato e gestito il problema dei monitoraggi elettronici sul posto di lavoro in altri ordinamenti può offrire (legittimamente, attesa la matrice comune) elementi di riflessione per la verifica se la via delineata sia l’unica possibile, se corrisponda di fatto a come viene gestito il problema in Italia, se vi sono spazi ulteriori offerti dal sistema legislativo che possono consentire miglioramenti del complesso di tutela di tutti gli interessi coinvolti.

*

2.1            L’esperienza americana.

L’utilizzo di Internet per le attività lavorative e l’utilizzo delle email per le comunicazioni lavorative e non è un fenomeno ormai acquisito nella realtà quotidiana.

E’ un fenomeno che ha radicalmente mutato la modalità di lavorare. E’ un fenomeno in continua crescita.

Secondo uno studio di Datamonitor [3] la popolazione di Internet dovrebbe raggiungere i 250 milioni di utenti nel 2002 e i 300 milioni nel 2005, ma i dati saranno già obsoleti.

Gran parte di questi utenti ha accesso alla rete anche tramite la propria postazione di lavoro e scambia, per ragioni d’ufficio o per ragioni diverse, mails con altri.

Secondo uno studio della International Data Corporation della fine del 1998, in USA 90 milioni di lavoratori scambiavano giornalmente oltre un miliardo e 100milioni di mails per ragioni di lavoro, divenute oltre 2 miliardi e 800 milioni nel 2001 [4] .

L’estrema facilità con cui si scambiano le comunicazioni ha però anche un prezzo derivante dai rischi che con essa, altrettanto facilmente, sulla rete si moltiplicano.

E’ accaduto, per esempio, che un dipendente di un’agenzia di stampa americana spedì, semplicemente per un errore di indirizzo, agli oltre 6000 indirizzi cui veniva spedita l’agenzia quotidiana, compresi giornali ed enti governativi, una mail privata avente ad oggetto uno scherzo a sfondo erotico riguardante delle suore, con immaginabile enorme e grave imbarazzo della agenzia di stampa [5] .

L’utilizzo delle mail o degli accessi Internet sul lavoro a scopi privati è divenuto un problema negli USA per i datori di lavoro, non più solo fonte di imbarazzo, ma anche di gravi ed onerose responsabilità.

L’invio o la raccolta di mail a contenuto razzista, sessuale, pornografico, o discriminatorio può comportare la responsabilità dell’impresa datrice di lavoro.

Nel caso Owens c. Morgan Stanley la prova a sostegno della lite promossa contro la società per discriminazione razziale fu costituita da una mail a contenuto razzista diffusa tra i dipendenti bianchi dell’ufficio in cui lavorava l’attore [6] ; in un altro caso coinvolgente una società collegata della Chevron Corporation la mail contenente lo scherzo “10 ragioni per cui la birra è meglio delle donne” venne utilizzata come prova in una causa per discriminazione sessuale con responsabilità della società per danni per oltre 2 milioni di dollari [7] .

Le Corti americane riconoscono la responsabilità del datore di lavoro per avere fallito nel monitorare adeguatamente l’invio di messaggi di posta inappropriati o dannosi da parte dei propri dipendenti [8] .

Così nel caso Blakey c. Continental Airlines la Corte Suprema del New Jersey, all’unanimità, ha ritenuto che l’invio di mail sconvenienti sul lavoro può comportare la responsabilità del datore di lavoro per la creazione di un ambiente di lavoro ostile. Nel caso la Corte ha stabilito il principio che il datore di lavoro deve impedire l’invio di messaggi diffamatori o molesti [9] .

Il principio legale generale è che il proprietario di un sistema di mail, o che consente l’accesso ad Internet, è responsabile per tutte le mails spedite dal sistema, sia che siano di carattere lavorativo, sia che siano di carattere personale [10] .

L’enorme aumento di comunicazioni elettroniche ha quindi accresciuto enormemente le possibilità di responsabilità dei datori di lavoro. Sono state riconosciute responsabilità del datore di lavoro per downloding di pornografia, molestie sessuali o razziali a colleghi via mail [11] , dichiarazioni diffamatorie verso terzi, creazione di un ambiente di lavoro ostile determinato dalla diffusione nell’ambito di lavoro di materiale pornografico scaricato da Internet.

Aspetti importanti riguardano lo spionaggio industriale, la diffusione di virus in ambito aziendale, la creazione di scie informatiche che consentono il c.d. tracking agli hackers con rischi per la sicurezza dei sistemi informatici aziendali [12] .

Sono tutte ipotesi che rendono ragione di una elevata soglia di attenzione da parte delle imprese [13] , di un effettivo problema della tutela legittima di diritti dell’impresa e nello stesso tempo della necessità di bilanciare tali diritti con il diritto di privacy dei dipendenti [14] .

Il complesso delle situazioni descritte ha comportato l’aumento dei controlli sull’uso di mail e Internet sui luoghi di lavoro. Per esempio nel luglio 2001 la Dow Chemical ha licenziato 50 dipendenti e sospeso disciplinarmente altri 200 per avere abusato nell’utilizzo del sistema di posta aziendale avendo trasmesso email a contenuto pornografico, offensivo e violento. Nel maggio 2001 la Edward Jones &Company ha licenziato 19 dipendenti per avere ammesso di avere spedito mails a contenuto pornografico o scherzi a sfondo esplicitamente sessuale, altri 40 dipendenti che hanno ammesso l’uso improprio sono stati sottoposti a provvedimenti disciplinari. In aprile 2001 la South West Florida Water Management District ha punito 26 dipendenti per l’utilizzo improprio della mail avendo spedito messaggi sul sistema aziendale a contenuto sessuale. In gennaio 2001 il New York Times ha licenziato 23 dipendenti e sottoposto a provvedimenti disciplinari altri 20 per scambio di mail inappropriate con i colleghi [15] . Il fenomeno è un fenomeno in crescita.

Tutto ciò ha anche comportato la crescita di un mercato di programmi software che attuano diversi gradi e tipologie di controllo e monitoraggio: inibizione dell’accesso a siti specificati dal proprietario del sistema; inibizione di tipologie di files in entrata; schermi per la posta elettronica con riferimento a specifiche parole; monitoraggio dei tempi di accesso e di stazionamento su siti Internet, ecc. (cfr. es. per tutti, Equitrac della SRA International Inc.; Web Spy Sentinel [16] , ecc.)

*

2.1.1    Il sistema delle tutele in USA.

            Il sistema di disciplina legale del controllo delle mail e degli accessi Internet sul luogo di lavoro è articolato su diversi gradi di tutela. In ciascuno tuttavia il principio generale è che il datore di lavoro, ricorrendone i presupposti, può controllare l’utilizzo delle mail da parte dei dipendenti sul luogo di lavoro, cosiccome gli accessi alla Rete.

La normativa della Costituzione Federale americana viene in rilievo nel caso di dipendenti federali pubblici i quali sono tutelati dal 4° Emendamento che protegge da irragionevoli indagini del governo federale e locale (14° Emendamento). Il bilanciamento che viene operato in questi casi è con l’interesse del datore di lavoro pubblico (caso O’Connor c. Ortega): il controllo è legittimo, e supera la ragionevole aspettativa alla privacy del dipendente, se esercitato per ragioni connesse con l’attività di lavoro e sulla base di un ragionevole sospetto [17] . La protezione assicurata dal 4° Emendamento si applica anche al settore privato quando il datore di lavoro privato agisce sulla base della direzione da parte di regolamentazioni governative o di personale governativo [18] .

<>

La tutela federale, che viene in rilievo se si tratta di imprese od attività che si occupano di forniture di servizi interstatali (le problematiche di email eminentemente interaziendali sono pertanto escluse dall’applicazione di questa normativa), è assicurata dall’Electronic Communications Privacy Act come emendato nel 1986 [19] .

L’ECPA assicura sia una tutela penale sia una tutela civile, dando diritto ai danni economici, a quelli previsti dalla legge (sanzioni di vario tipo crescenti in ragione di gravità e durata), a quelli punitivi e spese legali (che negli USA sono una sanzione specifica).

L’ECPA proibisce:

• di intercettare le comunicazioni elettroniche, che siano “in trasmissione”;
• di accedere ai messaggi conservati senza il preventivo consenso e l’accesso se proviene da persona diversa da quella che fornisce il servizio;
• di svelare il contenuto di messaggi elettronici (ma tale regola non si applica al provider del servizio che deve proteggere i propri diritti).

Queste proibizioni incontrano alcune eccezioni:

• l’eccezione del provider che agisce per tutelare i propri diritti;
• l’eccezione del preventivo consenso;
• l’eccezione dell’uso normale commerciale.

            Secondo la prima eccezione il fornitore del servizio di email ha il diritto di intercettare ed utilizzare le comunicazioni nel normale corso del rapporto se ciò deriva dall’uso normale del servizio o dall’azione per la tutela del proprio diritto di proprietà.

Il concetto di provider è discusso, ma la Corte dell’Illinois [20] ha stabilito che non è tale un datore di lavoro se il servizio di mail fornito dall’impresa non è collegato con la stabile fornitura di un accesso Internet.

In altri casi tuttavia è stato ritenuto che se il dipendente è informato che l’utilizzo del sistema di mail aziendale, fornito anche per l’utilizzo esterno dall’impresa, è destinato al solo uso aziendale, non sussiste una ragionevole aspettativa del dipendente alla privacy [21] .

            Con riferimento al secondo tipo di eccezione va precisato che  il consenso al controllo può essere implicito od espresso [22] .

Il consenso deve essere tuttavia informato, ciò significa che non può essere ritenuto consenso implicito quello relativo alla mera conoscenza di potenziali controlli. Il consenso richiede cioè, per essere considerato effettivo, la conoscenza espressa dell’installazione dell’impianto di controllo e del suo utilizzo. D’altro canto avvertimenti scritti od on line costituiscono il presupposto necessario del consenso legittimo, anche se non risulta un consenso scritto. L’utilizzazione del sistema di mail dopo l’informazione è sufficiente a determinare il consenso [23] .

Tuttavia va precisato che il datore di lavoro non può attuare un monitoraggio illimitato. Le Corti talvolta applicano il principio della verifica se il livello di monitoraggio risulta giustificato dai propositi perseguiti [24] . In altri casi il principio di contemperamento applicato è contenutistico, cioè il fatto che la comunicazione sia a scopo personale o d’affari determina il confine tra liceità di monitoraggio e illiceità. In tali casi è lecito un monitoraggio per il tempo necessario a determinare la natura (personale o meno) della chiamata [25] .

            La terza eccezione è analoga alla prima, riguarda cioè l’intercettazione che avviene nel normale esercizio d’affari da parte del proprietario del servizio che abbia un ragionevole interesse al monitoraggio [26] .

<>

Le legislazioni statali, ovviamente con disposizioni diverse da Stato a Stato, hanno invece elaborato delle forme di tort basato sul sistema di common law [27] .

Il principio generale di queste legislazioni è che per promuovere l’azione il dipendente deve provare una intrusione volontaria altamente lesiva in una questione privata. Deve sussistere anche una ragionevole aspettativa del dipendente alla privacy, cioè il dipendente deve avere il ragionevole convincimento che la sua comunicazione non è e non può essere intercettata in ragione della tipologia del mezzo utilizzato (così è stato ritenuto che non c’era aspettativa alla privacy nel caso di sottoscrizione di rinuncia ad utilizzare il sistema aziendale al di fuori di motivi di lavoro; cosiccome nel caso di semplice utilizzo di un sistema di proprietà aziendale [28] ).

Alcune protezioni addizionali possono essere assicurate dalle costituzioni statali (specifico è il caso della California), le cui regolamentazioni sono ricalcate su quelle della costituzione federale.

In ogni caso, anche in tali ipotesi, l’esperienza pratica ha evidenziato che le Corti danno un particolare rilievo all’interesse inerente l’attività lavorativa del datore di lavoro e allo scopo per cui il monitoraggio è effettuato [29] .

Per sintetizzare sul sistema Americano, in generale le legislazioni consentono il monitoraggio del numero delle chiamate, la durata, gli indirizzi; il monitoraggio dei contenuti è lecito: se avviene per un ragionevole proposito connesso all’attività lavorativa; si limita all’identificazione della natura personale o meno delle comunicazioni; avviene con il normale equipaggiamento del fornitore del servizio; lo scopo o le modalità non sono irragionevoli; il monitoraggio dei contenuti è anche lecito se una parte vi consente; oppure se una parte sa che la chiamata è monitorata e quale è lo scopo di tale monitoraggio [30] .

Quale ultima notazione sul punto, va riferito che è allo studio un intervento legislativo, che per quanto consta non è ancora divenuto legge, il quale intende intervenire sul sistema dei monitoraggi occulti imponendo al datore di lavoro di dichiarare il monitoraggio messo in atto, la tipologia e le modalità; e ciò sia all’assunzione, sia una volta all’anno, aggiornando l’informativa ad ogni modifica attuata.

Secondo le previsioni di tale Notice of Electronic Monitoring Act (c.d. NEMA) il datore di lavoro deve informare i propri dipendenti del monitoraggio, del tipo di informazioni monitorate, della maniera in cui verranno utilizzate le informazioni ottenute, della frequenza del monitoraggio.

Si tratta di un progetto di legge che affronta il solo problema dell’informazione (che abbiamo visto essere ritenuto dalle Corti alla base delle valutazioni di liceità dei monitoraggi) [31] .

* * *

2.2            L’esperienza britannica.

            Il sistema britannico si basa, anch’esso, sul principio di fondo della liceità –a determinate condizioni- del monitoraggio eseguito dal datore di lavoro.

Come il sistema americano, anche quello britannico ha quale presupposto logico-giuridico quello della proprietà esclusiva dell’imprenditore dei mezzi per l’esercizio dell’impresa e quindi anche del sistema informatico aziendale, posta aziendale compresa. Proprietà che rende ragionevole il diritto dell’impresa di provvedere correttamente alla tutela dei danni che l’utilizzo di tali utensili di lavoro da parte dei dipendenti può provocare all’impresa.

E’ in corso di emanazione un Codes of Practice che va a regolamentare, per uniformarle alle previsioni del Protection of Workers’ Personal Data, all’art. 8 dell’Human Rights Act del 1998 e a quelle del Freedom of Information Act del 2000, le pratiche di monitoraggio delle mail e degli accessi Internet dei dipendenti eseguite dai datori di lavoro [32] .

Secondo le previsioni del Management checklist concerning the use of personal data in the employer/employee relationship [33] gli apparecchi di sorveglianza sono leciti, ma devono essere installati e utilizzati solo per il proposito di individuare e controllare gli intrusi, per proteggere l’accesso alle aree riservate, per individuare i visitatori che possono creare problemi di sicurezza, per difendersi dai crimini informatici, per impedire l’utilizzo abusivo del sistema, per trattare i casi di sospette molestie e per produrre le prove di essi in giudizio. Tali strumenti non possono essere utilizzati che per propositi strettamente giustificabili sotto l’aspetto sicurezza.

Ciò premesso, viene rilevato che è “buona pratica” cercare l’accordo con i dipendenti o con le rappresentanze dei medesimi e costituire una commissione apposita. Ove questa commissione sia stata costituita essa deve decidere sulla locazione degli impianti di sorveglianza nelle aree che possono comportare invasioni della privacy del lavoratore. Deve anche poter concordare l’utilizzo dei sistemi di controllo occulto e poter verificare i risultati di tale utilizzo una volta che il controllo è stato eseguito, sempre che ciò non contravvenga ai diritti individuali.

Le registrazioni fatte con l’impianto di sorveglianza e i materiali risultanti devono essere conservati, trasportati e utilizzati in un ambiente idoneo e sicuro. Non possono essere svelati a parte diversa dal singolo interessato, dalla direzione aziendale, dalla polizia, da rappresentanti legali qualificati, dal personale di sicurezza autorizzato e dal giudice.

Le registrazioni devono poi essere conservate solo per il tempo necessario funzionale alla protezione degli interessi dell’impresa o del dipendente, in particolare quando costituiscano prove per giudizi.

Le attività di controllo occulto sono illecite se non vengono concordate nell’ambito di un contratto individuale di lavoro.

I datori di lavoro non devono eseguire attività di sorveglianza basate sia sulla selezione casuale dei dipendenti, sia su livelli insufficienti di principi di prova e tali da comportare una significativa intrusione nell’ambiente di lavoro del singolo o nella vita privata.

In particolare non si deve procedere alla generalizzata sorveglianza occulta di accessi Internet, riunioni, utilizzo dell’email.

In ragione di ciò è necessario:

• incorporare la previsione del diritto alla sorveglianza per propositi di sicurezza nel contratto di lavoro;
• limitare l’utilizzo normale della sorveglianza a propositi di sicurezza;
• coinvolgere le rappresentanze dei lavoratori.

Il principio cardine è quello della correttezza delle attività di monitoraggio e che ogni intrusione nella privacy deve essere proporzionata ai benefici che il monitoraggio comporta per un’impresa corretta.

Per effettuare il monitoraggio occorre:

• stabilirne e dichiararne la ragione;
• valutarne l’impatto sui diritti dei dipendenti e mantenersi nei limiti di proporzionatezza;
• consultare le rappresentanze sindacali;
• privilegiare l’utilizzo di mezzi che assicurino risultati comparabili e siano meno invasivi;
• delimitare il controllo alle aree in cui è necessario;
• portare a conoscenza dei dipendenti il monitoraggio eccetto nei casi in cui:non utilizzare l’informazione per propositi diversi da quelli per cui il monitoraggio è stato attivato e su cui i dipendenti sono stati informati, tranne nel caso che l’informazione ottenuta sia tale che nessun datore di lavoro potrebbe ignorarla (illecito o rilevanza penale);
  • il monitoraggio sia relativo a comportamenti del lavoratore;
  • sia necessario per prevenire un crimine o per perseguire il criminale;
  • la preventiva informazione sia pregiudiziale;
• consentire il diritto di replica e spiegazione da parte dei dipendenti interessati dall’informazione raccolta.

<>

Quanto al monitoraggio delle comunicazioni.

Per il monitoraggio delle email occorre:

• informare i dipendenti del monitoraggio;
• non monitorare il contenuto delle mail se il risultato può essere raggiunto monitorando il traffico. Se il monitoraggio del traffico non  è sufficiente per raggiungere il proposito connesso con l’attività lavorativa assicurare che il monitoraggio rimanga strettamente connesso agli obbiettivi perseguiti;
• monitorare il contenuto delle mail come ultima risorsa. Non aprire quelle chiaramente personali;
• se il controllo è motivato dal virus detecting, limitare quanto possibile all’utilizzo di sistemi automatici. Utilizzare ogni informazione acquisita solo per tale scopo;
• informare i dipendenti dell’eventuale controllo in loro assenza delle mail boxes e solo per ragioni di lavoro (relazioni commerciali). Usare solo le informazioni necessarie a tale scopo a meno che non venga scoperto un crimine o una grave violazione contrattuale;
• fornire un sistema tecnico con cui i dipendenti possono cancellare effettivamente le mail che ricevono o spediscono.

<>

Quanto al monitoraggio degli accessi Internet.

Il datore di lavoro deve, ove possibile, utilizzare sistemi che prevengano l’abuso del sistema. Occorre:

• stabilire specificamente le restrizioni di uso di Internet;
• privilegiare il semplice monitoraggio del tempo di accesso e monitorare siti e contenuti solo se non è possibile raggiungere diversamente lo scopo perseguito;
• privilegiare sistemi tecnici che inibiscono gli accessi in conformità alla policy aziendale piuttosto che monitorare;
• assicurarsi che i materiali rinvenuti siano utilizzati contro il dipendente solo nel caso che comportino un rischio effettivo per l’impresa;
• tenere in conto degli accessi involontari provocati dagli errori dei motori automatici di ricerca;
• tutelare l’accesso privato se consentito.

* * *

2.3            L’esperienza francese.

            L’autorità francese incaricata della protezione dei dati personali (CNIL, Commission Informatique et Libertés) ha pubblicato il mese scorso un rapporto sulla sorveglianza elettronica dei lavoratori [34] , in cui fa il punto della situazione e indica alcune raccomandazioni pratiche ai soggetti in causa. La CNIL parte dalla constatazione che i principi stabiliti dalla Legge francese sulla protezione dei dati (la "Loi informatique et libertés", che risale al 1978) sono stati recepiti nel codice del lavoro attraverso alcune disposizioni introdotte nel 1992 che sanciscono, in particolare: a) il rispetto del principio di proporzionalità, in base al quale le limitazioni della libertà e dei diritti individuali devono essere proporzionate allo scopo perseguito; b) l’obbligo di consultare le rappresentanze sindacali o gli organi paritetici di impresa prima di introdurre nuove tecnologie; c) l’obbligo di informare preventivamente i lavoratori dell’esistenza di dispositivi per la raccolta di dati personali. Tuttavia, lo sviluppo delle tecnologie informatiche nell’ultimo decennio, ed il ricorso crescente ad Internet e a strumenti telematici nello svolgimento di attività lavorative, hanno fatto sì che il tema della sorveglianza non riguardi più soltanto la presenza o localizzazione fisica del lavoratore. Si tratti dell’uso della posta elettronica per comunicare con colleghi o altre imprese, oppure della condivisione di file o cartelle di lavoro, oppure delle misure di sicurezza che l’impresa o il datore di lavoro devono adottare per garantire il segreto industriale o la tutela di informazioni sensibili, la questione della sorveglianza ha assunto chiaramente dimensioni molto più ampie.

La CNIL parte dalla constatazione che la messa in opera di difese da parte dell’impresa è una necessità determinata dall’evoluzione ed è indispensabile per proteggere l’impresa, anche verso i dipendenti perché essi non facciano degli strumenti forniti loro per l’esercizio della loro attività un utilizzo abusivo e pregiudizievole per il datore di lavoro.

Nell’intento di fornire indicazioni pratiche, il rapporto passa quindi a sfatare due luoghi comuni molto frequenti in questo contesto, ossia:

a) che il pc messo a disposizione del dipendente sia tutelato dalle norme sulla riservatezza, in quanto "privato", mentre invece resta, ovviamente, proprietà dell’impresa o dell’amministrazione, e l’uso di password e login serve a prevenire accessi non autorizzati più che a farne un oggetto "personale" del dipendente;

b) che sia sufficiente, per l’impresa, informare preventivamente i dipendenti dell’uso di strumenti di sorveglianza. In realtà, l’informazione è necessaria, ma non è sufficiente: il codice del lavoro e la giurisprudenza sanciscono l’obbligo per l’impresa di rispettare anche altre condizioni.

Ciò premesso la Commissione precisa, quanto al monitoraggio degli accessi Internet:

·        che l’impresa ha l’obbligo di fissare i limiti di utilizzo;

·        che possono essere utilizzati filtri degli accessi, senza alcun onere di informazione preventiva;

·        che possono essere dettate prescrizioni di utilizzo nell’interesse dell’impresa;

·        che può essere attuato un controllo elettronico di carattere generale o statistico degli accessi a Internet e dei siti visitati, senza un controllo nominativo dei siti visitati;

·        che qualora si renda necessario un tale tipo di controllo, le necessità e le modalità devono essere oggetto di trattativa con le rappresentanze sindacali oppure attraverso la funzione pubblica a ciò preposta del Comitato tecnico paritario;

·        il sistema di monitoraggi messo in pratica deve essere dichiarato alla CNIL medesima

·        deve essere stabilita una durata di conservazione dei dati che la CNIL ritiene ragionevole fissare in sei mesi.

<>

Quanto ai monitoraggi dell’utilizzo della posta elettronica, la Commissione rileva:

·        che il divieto assoluto di utilizzare la posta elettronica non è ragionevole, e va quindi consentito un utilizzo ragionevole della posta elettronica anche per utilizzo privato, quale principio di uso socialmente accettabile;

·        che deve essere generalmente considerato che un messaggio ricevuto o inviato sul sistema aziendale riveste carattere professionale, salvo che indicazione manifesta del messaggio stesso lo classifichi come privato e perciò protetto dalle regole sulla corrispondenza;

·        che possono essere installati apparecchi di controllo e di archiviazione della posta elettronica;

·        che di tali sistemi deve essere data informazione ai dipendenti;

·        che l’eventuale utilizzo da parte dell’impresa o dell’amministrazione pubblica di dispositivi di controllo individuale comporta la necessità di notificare il trattamento e di conservare i dati per un periodo non eccessivo

·        che devono essere consultati i rappresentanti del personale e gli organi paritetici sopra menzionati;

·        che gli archivi delle connessioni (i cosiddetti file di log), che registrano tutte le connessioni o i tentativi di connessione ad un sistema informatico, hanno finalità eminentemente di sicurezza e non di controllo del lavoratore;

·        che il lavoratore deve comunque essere informato dell’esistenza di questo tipo di archivi e della durata di conservazione dei dati, conservazione che la CNIL ritiene ragionevole fissare, ancora una volta, in sei mesi.

La CNIL rileva poi che se le dimensioni dell’impresa o dell’amministrazione lo consentono, anche in base alla struttura organizzativa, è opportuno nominare, in cooperazione con le rappresentanze del personale, una figura che la CNIL chiama il "Delegato alla protezione dei dati ed all’utilizzo delle nuove tecnologie nell’impresa", quale persona incaricata di seguire l’applicazione delle misure di sicurezza inerenti l’utilizzo delle nuove tecnologie.

* * *

2.4            L’esperienza olandese.

            La questione dei monitoraggi è stata esaminata dalla Dutch Data Protection Authority la quale ha predisposto un report (Working Well in Networks) nel quale vengono delineate le linee di comportamento ritenute accettabili nel contemperare l’interesse del datore di lavoro al corretto utilizzo degli strumenti di lavoro e l’interesse dei dipendenti alla protezione della loro privacy [35] .

Il rapporto prende le mosse dalla considerazione che i lavoratori devono rinunciare ad una parte della propria privacy sul luogo di lavoro.

Una delle modalità con cui ciò accade è il diritto del datore di lavoro di monitorare l’utilizzo di email ed Internet.

L’effetto di ciò è potenzialmente ampiamente pervasivo perciò è fortemente raccomandato che l’installazione delle apparecchiature di controllo avvenga nel confronto con le rappresentanze sindacali.

Esistono poi alcune regole essenziali.

Quanto alle email.

Il controllo sulle mail non è proibito. Il datore di lavoro ha il diritto, in quanto il sistema aziendale è di sua proprietà, di dettare le condizioni per l’utilizzo della posta elettronica o di proibirne l’utilizzo in certi casi. Deve rendere note le ragioni per cui ritiene necessario il controllo. Le misure stabilite devono essere ragionevolmente dettate anche nell’interesse dei dipendenti. Ciò significa che un controllo continuativo anche dei contenuti non può essere accettabile. Il datore di lavoro deve scegliere le modalità di intervento che consentano il raggiungimento del risultato con il mezzo meno intrusivo possibile.

Quanto ad Internet.

Il datore di lavoro ha il diritto di dettare le condizioni di utilizzo e di proibirne l’uso in certi casi e/o l’uso di un tipo determinato. Il diritto di tutela del patrimonio aziendale, dei segreti industriali o di tutela dell’ambiente di lavoro o della reputazione dell’impresa, giustificano il controllo. Anche in questo caso le misure adottate devono tenere in ragionevole conto gli interessi dei dipendenti e le modalità utilizzate non devono violare questi interessi in misura superiore a quanto strettamente necessario.

Alcune organizzazioni sindacali hanno elaborato un protocollo che costituisce la base per le trattative in tema di modalità del controllo delle email ed Internet [36] .

Il protocollo ha ad oggetto il modello di accordo relativo alle modalità di controllo, registrazione e monitoraggio nell’uso di mail ed Internet che consentono di rintracciare il singolo utente.

Si prevede la necessità che le modalità di monitoraggio che consentono l’individuazione dell’utente avvengano in conformità all’accordo e siano ridotte al minimo.

I dipendenti sono autorizzati all’utilizzo delle email anche per uso personale purchè ciò non interferisca con la normale attività. E’ previsto che la mail contenga l’indicazione che è di carattere personale ed è vietato l’invio o la ricezione di mail a contenuto sessuale, razzista, molesto, discriminatorio, ecc., secondo le necessità dell’impresa e dell’attività espletata o le ragioni di opportunità. Possono essere eseguiti checks, anche di contenuto, occulti ed occasionali basati su ragionevoli interessi dell’impresa. Tali controlli vanno riferiti al works council.

I dipendenti devono essere a conoscenza che tali controlli possono essere eseguiti e che determinati comportamenti non sono tollerati.

Anche l’utilizzo di Internet per motivi extraprofessionali è consentito, purchè rispetti le modalità previste dall’impresa e non interferisca con la normale attività. Non è consentita la consultazione e tantomeno il downloading di materiale pornografico o a sfondo razzista. Sono ammessi controlli non continuativi occulti, che devono essere riferiti ai works council.

I dipendenti dal canto loro hanno il diritto di accesso ai dati raccolti, di estrarne copia, di correggere le inesattezze e di richiedere la cancellazione dei dati che non sono più rilevanti o che sono stati raccolti in violazione del protocollo.

Sono poi previste delle procedure di confronto sindacale.

** * **

3. Il sistema italiano e l’esempio estero: alcuni spunti interpretativi.

            L’esame sintetico delle esperienze di alcuni altri paesi in cui l’utilizzo di Internet e delle email come strumenti di lavoro è avanzato come in Italia ed in alcuni casi maggiormente, pone in evidenza alcuni spunti utili che inducono alla riflessione sulle tutele applicabili anche nel nostro sistema giuridico ed alle interpretazioni che della normativa esistente si possono ritenere ragionevoli.

E’ di evidenza che in ciascuno dei paesi considerati sono stati individuati degli interessi, di differenti soggetti, di cui è stata ritenuta apprezzabile la protezione.

Il primo dato rilevante è che l’utilizzo delle tecnologie considerate ha oggettivamente determinato il sorgere di rischi di utilizzo abusivo di danno per l’impresa, sia in termini di rischi e danni diretti al sistema di beni aziendali, sia in termini di rischi di esposizione a responsabilità dell’impresa verso prestatori di lavoro e terzi.

Il secondo dato rilevante è che l’utilizzo abusivo di tali tecnologie ha comportato rischi e danni diretti ad altri componenti dello staff aziendale, mettendo in luce come un utilizzo non appropriato possa essere diretto, volontariamente o meno, a ledere i diritti di altri lavoratori, e come un intervento dell’impresa in senso tutelativo dell’ambiente di lavoro a posteriori, cioè una volta che venga segnalato il fatto accaduto, non sia sempre idoneo a rimuovere i rischi concreti di danno.

Il terzo dato rilevante è che in tutti i sistemi è considerato un dato di fatto l’appartenenza del sistema aziendale al datore di lavoro, ivi compresa la proprietà della posta aziendale, indipendentemente dalla presenza di password o altre protezioni del pc in dotazione individuale: ciò dà pertanto diritto al medesimo datore di lavoro di dettare le condizioni per l’utilizzo di tali strumenti e di potere inibire l’uso privato.

Il quarto dato rilevante è che in tutti i sistemi, in ragione degli elementi sopra evidenziati, è riconosciuto un diritto all’imprenditore di esercitare un legittimo controllo sull’utilizzo di mail ed accessi ad Internet, più o meno penetranti in ragione degli scopi perseguiti, con corrispondente sacrificio della privacy del dipendente, la quale è considerata bene non prevalente rispetto a quelli contrapposti. Il diritto alla riservatezza viene tuttavia tutelato da diritti di informazione, più o meno articolati, sull’esistenza di monitoraggi, scopo dei medesimi, ambiti di liceità di comportamenti privati.

Negli ordinamenti europei è poi prevista, nella disciplina di tali –si ribadisce- legittimi e riconosciuti diritti di controllo, una pluralità di livelli di interventi di controllo, da quelli automatici con finalità di inibizione di accessi o filtro delle mail senza individuazione degli elementi oggettivi (destinatario, mittente, contenuti), a quelli –previsti in via residuale- di verifica dei contenuti, ricorrendo poi per la disciplina dell’utilizzo di questi ultimi al confronto sindacale; confronto sindacale dalla natura più o meno penetrante (dalle funzioni di controllo, inglesi e francesi, a quelle di codisciplina previste dai protocolli olandesi).

Il quinto dato rilevante è che la tipologia dei contenuti riscontrati nei controlli contenutistici appunto determina diversi tipi di liceità di interventi del datore di lavoro: dall’obbligo di astensione di ogni ulteriore controllo una volta determinata la natura privata delle comunicazioni, alla libertà comunque di utilizzare gli elementi raccolti una volta stabilita la natura gravemente illecita contrattualmente della comunicazione oppure la rilevanza penale di essa.

<>

            Questi elementi, per quanto ricavati per grandi categorie, consentono comunque di fare qualche riflessione sulla disciplina del sistema dei controlli nel nostro ordinamento, non tanto sulle evidenti necessità di una disciplina di dettaglio che provveda ad integrare le direttive del Garante ed armonizzare una pluralità di fonti non sempre adeguate alla evoluzione dei modi di lavoro determinate dalle tecnologie qui considerate, quanto della interpretazione finalizzata all’applicazione e alla verifica di applicabilità degli strumenti normativi a disposizione dell’interprete [37] .

La prima riflessione è che le situazioni concrete che abbiamo visto presentarsi in ragione dell’utilizzo di email ed Internet come strumenti di lavoro mettono in rilievo come i diritti dei vari soggetti che vengono a confrontarsi sono molteplici e con differenti livelli di richiesta di tutela, che evidenziano a loro volta come il diritto alla riservatezza del lavoratore debba in certi casi subire delle compressioni, finalizzate alla tutela di interessi su di esso prevalenti.

Il quadro degli interessi coinvolti presenta cioè diritti alla tutela di beni rilevanti per l’impresa (l’impresa stessa, l’interesse a non essere implicata in responsabilità verso prestatori o terzi, la tutela dell’ambiente di lavoro), per la collettività dei lavoratori (la serenità dell’ambiente di lavoro) e per i singoli, sia considerati come soggetti passivi (la protezione di propri beni personali, quali la salute e la personalità morale) sia considerati come soggetti attivi (l’interesse a non essere messi in condizione di compiere atti che comportano la conseguenza di affrontare gli effetti derivanti da comportamenti lesivi per terzi).

Il bilanciamento di questi interessi va compiuto con cautela, senza irrigidimenti per la tutela di un bene (la privacy) che per sua natura, come messo in luce dall’opinion del Working Party, non è assoluto, ma deve contemperarsi e quindi offrire spazio alla tutela di interessi, ragionevoli, determinati dall’inserimento del singolo in una collettività complessa che svolge una funzione ritenuta legittima dall’ordinamento.

A fronte di questa prima riflessione assume rilievo il diritto dell’impresa al controllo del corretto utilizzo delle strutture aziendali, che trova il suo fondamento giuridico negli artt. 2086 e 2104 c.c. ed anche nell’art. 2087 c.c., quanto ai profili di tutela dell’ambiente di lavoro e delle sue turbative. Tali norme consentono al datore di lavoro di controllare il corretto impiego degli strumenti aziendali per la produzione e di dettare le disposizioni per il corretto utilizzo degli stessi [38] .

Sono quindi da considerare interventi legittimi del datore di lavoro tutti quelli diretti a determinare le modalità di utilizzo di beni di sua pertinenza e del cui cattivo utilizzo o non esatto utilizzo egli assume le responsabilità.

A tale fine la AIPA ha emanato una delibera (n.16/2001) per dettare regole per i lavoratori che utilizzino prestazioni in telelavoro, volte ad evitare possibili abusi da parte dei medesimi (oltre a regole specifiche per la loro sicurezza).

Sulla stessa linea di comportamento si è posta la Confindustria che ha elaborato un progetto di regolamento aziendale  (cfr. Schema di regolamento 5.7.2001) volto a disciplinare in modo analitico l’utilizzo degli strumenti di lavoro.

Gli interventi in finalità preventiva, cioè di disciplina del lavoro, sono da considerare legittimi e preferibili secondo una logica di approccio al problema che privilegi, secondo approssimazioni successive, interventi meno invasivi possibile sulla posizione soggettiva individuale.

Adottare c.d. policy che disciplinino nel dettaglio ciò che il lavoratore può fare e ciò che è vietato risponde anche alla logica privilegiata dai Garanti europei che individua nella informativa al lavoratore il primo livello di tutela della riservatezza.

L’informativa deve riguardare le modalità di utilizzo e gli ambiti consentiti, se consentiti, all’uso privato e quelli vietati, specificando ove possibile cosa è vietato in modo analitico.

Il livello successivo di intervento da ritenere lecito, perché non interviene sulla posizione individuale attuando un controllo diretto o indiretto, è l’intervento sulle strutture aziendali, cioè sui beni stessi con modalità di filtro e di inibizione che siano automatiche, cioè che non intervengano ad individuare l’utente ma semplicemente impediscano l’accesso a siti determinati non funzionali all’attività aziendale, impediscano il downloading di materiale pornografico (esistono programmi che identificano dalle immagini il colore della pelle impedendo l’accesso all’informazione), fungano da filtro per il virus detecting, impediscano l’invio o la ricezione di mail contenenti determinate parole (a sfondo sessuale o razzista) o di determinate dimensioni.

Tali mezzi, che perseguono sempre una finalità preventiva con il minor grado di invasività possibile, devono ovviamente essere oggetto di informativa, ma –a parere di chi scrive- non interagiscono con il sistema delle normative a tutela dei controlli sull’attività lavorativa, e ciò in quanto non provvedano a ritenere l’informazione, ma fungano semplicemente da “barriere”.

Qui va forse aperta una parentesi per evidenziare come non sia convincente l’interpretazione del Garante che assegna al sistema aziendale di posta elettronica, senza un adeguato approfondimento, la natura di sistema di corrispondenza coperto dal segreto assicurato dalla normativa di tutela della corrispondenza.

Ciò perché la posta aziendale di fatto è di proprietà e pertinenza dell’azienda, che l’utilizza e ne concede l’utilizzo in funzione dello svolgimento della finalità propria dell’attività aziendale. Il dipendente (come messo bene in luce dalle esperienze estere considerate) non può accampare alcun diritto su di essa in quanto non possa dimostrarne il contenuto personale e privato [39] .

Ovviamente ulteriori garanzie possono essere ottenute dall’instaurazione di procedure di protocollo e gestione della corrispondenza che escludano ogni possibile equivoco sulla natura privata o meno della stessa.

Il quadro giuridico di riferimento muta quando vengano considerati diversi casi in cui l’esigenza di monitoraggio assuma caratteristiche differenti, necessariamente di intervento attivo con interessamento della posizione individuale del dipendente: sia laddove l’impresa consenta l’utilizzo di email ed accesso Internet, quando non interferiscano con l’attività aziendale, ai fini privati; sia laddove l’impresa, per la tipologia dell’attività che svolge, sia soggetta a particolari oneri legali di documentazione dell’informativa scambiata e dagli accessi Internet svolti (il riferimento qui è ad esempio all’attività delle SIM, già citata, che per disposizioni CONSOB devono documentare dettagliatamente e conservare tutta la posta scambiata dagli operatori di borsa).

Nel primo caso va considerato il bilanciamento tra l’interesse alla privacy; il rilevante interesse del lavoratore a potere usufruire per utilizzo personale di un sistema che consente la interconnettività dal posto di lavoro, avendo per tale via accesso a risorse di comunicazione che consentono un importante momento relazionale alla vita privata (vanno qui ricordate le parole della Corte dei diritti dell’uomo che individua nel diritto alla relazione anche sul posto di lavoro un diritto di libertà); e l’interesse dell’impresa al corretto utilizzo dei sistemi, alla tutela del proprio patrimonio e dell’ambiente di lavoro.

Nel secondo caso sopra indicato l’obbligo di controllo è connaturato alla tipologia di attività esercitata dall’impresa, l’interesse del lavoratore alla privacy è pertanto da contemperare con una modalità imposta all’impresa per esercitare legalmente la propria attività.

In questi casi il controllo, su modalità, tempi e talvolta sui contenuti (anche solo per il tempo necessario ad individuarne la natura privata) è da considerare, a parere di chi scrive, una compressione ammissibile del diritto alla riservatezza del lavoratore, bilanciato da obblighi legali dell’impresa o da interessi prevalenti, che deve avvenire per altro con le modalità previste per questi casi dalla legge.

Opera, in questa tipologia di ipotesi, la previsione dell’art. 4, secondo comma, dello Statuto imponendo all’impresa il confronto sindacale o il ricorso, in caso di impossibilità di accordo, alle strutture pubbliche.

Sotto questo aspetto va detto che lo spazio di innovazione che una tale previsione consente deve fare i conti con la capacità del sindacato di identificare il problema dei monitoraggi come una realtà che va affrontata e non rifuggita e come tale studiata, approfondita negli aspetti di legittima rilevanza, e ove possibile gestita in funzione di consentirne uno sviluppo (che va ritenuto un dato di fatto inevitabile vista l’evoluzione delle tecnologie impiegate nel mondo del lavoro) compatibile con gli interessi a conservare ragionevoli ambiti di riservatezza sul posto di lavoro dei dipendenti.

In altri paesi l’intervento del sindacato in funzione di verifica o cogestione di sistemi di controllo è un dato di fatto, che consente un contemperamento delle diverse esigenze concrete ai soggetti che sono più vicini alla realtà aziendale e che quindi meglio possono apprezzarne limiti e vantaggi.

In questi ambiti deve svolgere una funzione anche il Garante della privacy, che va identificato come il soggetto destinatario dell’informativa che si rendesse necessaria ove i sistemi di controllo, una volta legittimamente installati, operassero la gestione e conservazione di dati personali, in adempimento delle previsioni della l.n. 675.

Per concludere questi spunti di riflessione va notato che appare ragionevole ritenere estraneo alle normative di protezione della riservatezza ogni utilizzo abusivo doloso, sia che abbia rilevanza penale, sia che abbia rilevanza di gravissima violazione contrattuale (la normativa di tutela non può essere invocata legittimamente a copertura dell’illecito), come è opinione prevalente della giurisprudenza [40] (che trova conferma nell’orientamento dalla posizione che abbiamo esaminato assumono al riguardo anche gli ordinamenti stranieri).

<>

Al definitivo, il problema dei monitoraggi è un problema che oggi ha assunto un nuovo rilievo in relazione alla formazione di un ambiente di lavoro dai confini aperti dall’utilizzo di strumenti elettronici, che moltiplicano le possibilità di relazione, di informazione, di accesso alla realtà virtuale, ma che per il medesimo motivo, unito alla anonimità che possono consentire, aumentano le possibilità di “aggressioni” ai colleghi, a utenti terzi, all’impresa ed ai suoi beni.

Capire ed affrontare serenamente lo scopo e le modalità dei monitoraggi per consentirne gli impieghi utili è un dovere dei giuristi del lavoro ed è un dovere per le istituzioni preposte al governo del sistema di tutela dei diritti di riservatezza in generale, che deve armonizzare la disciplina alle peculiari esigenze di un settore per cui quel sistema di tutele non è stato specificamente concepito.

 

Riferimenti bibliografici.

Bellavista, Il Controllo sui lavoratori, Torino 1995;

Cataudella, Art. 4, in Commentario allo Statuto diretto da U. Prosperetti, Milano, 1975, 77 e sgg.;

Ichino, La tutela della riservatezza del prestatore di lavoro, RGL. I, 819, 1978;

Lambertucci, Svolgimento del rapporto di lavoro e tutela dei dati personali, in AA.VV. La tutela della privacy del lavoratore, Quaderni di Diritto del Lavoro e delle Relazioni industriali, Torino, 2000, 61 sgg.;

Liso, Ghezzi, Computer e controllo dei lavoratori, DLRI, 366, 1986;

Pera, in Commentario a cura di Assanti-Pera, 1972, 14 sgg.;

Romagnoli, Commentario in AA.VV. Statuto dei diritti dei lavoratori, Bologna 16 sgg., 1979;

Veneziani, Art. 4, in Lo statuto dei lavoratori, Commentario diretto da Giugni, Milano 1979, 51 sgg..

 

NOTE