Controlli sui dipendenti e strumenti di lavoro: cosa prevede la legge

Molte misure di sicurezza informatica comportano, inevitabilmente, la raccolta di informazioni sull'attività delle persone: registri degli accessi, filtri della posta, sistemi che rilevano comportamenti anomali sui computer, strumenti di gestione dei dispositivi. Sono indispensabili per proteggere l'organizzazione. Ma in Italia il controllo sull'attività dei lavoratori è regolato con attenzione, e chi decide deve conoscere le regole prima di adottare nuovi strumenti.

Questa è una sintesi orientativa: per i casi concreti è necessario un parere legale o del responsabile della protezione dei dati.

L'articolo 4 dello Statuto dei lavoratori

La legge 300/1970, nel testo modificato nel 2015, stabilisce che gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere usati solo per:

• esigenze organizzative e produttive;
• sicurezza del lavoro;
• tutela del patrimonio aziendale.

La loro installazione richiede un accordo con le rappresentanze sindacali o, in mancanza, un'autorizzazione dell'Ispettorato del lavoro.

L'eccezione per gli strumenti di lavoro

Le regole sull'accordo o l'autorizzazione non si applicano agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa, come computer, posta elettronica e telefono aziendale, e a quelli di registrazione degli accessi e delle presenze.

Questa eccezione, però, ha confini precisi. Riguarda lo strumento in quanto necessario al lavoro; software e funzioni aggiuntive installati sullo strumento per finalità di controllo possono rientrare nella regola generale e richiedere accordo o autorizzazione.

Le condizioni per usare le informazioni

Anche quando gli strumenti sono legittimi, le informazioni raccolte possono essere usate per tutti i fini connessi al rapporto di lavoro solo a due condizioni:

• che ai lavoratori sia data adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli;
• che venga rispettata la normativa sulla protezione dei dati personali.

Cosa aggiunge il GDPR

Il GDPR e il Codice privacy richiedono che i trattamenti di dati dei dipendenti siano:

• necessari e proporzionati allo scopo, ad esempio la sicurezza dei sistemi;
• trasparenti, con informative chiare;
• limitati nella conservazione: i dati tecnici sull'uso degli strumenti non possono essere tenuti indefinitamente;
• valutati, quando il rischio è elevato, con una valutazione d'impatto.

Il Garante è intervenuto più volte su questi temi, ad esempio nel 2024 con un documento di indirizzo sulla conservazione dei metadati della posta elettronica dei dipendenti. Sono vietati, in ogni caso, controlli prolungati, costanti e indiscriminati.

Come conciliare sicurezza e tutela

Alcune scelte aiutano a progettare misure efficaci e rispettose:

• definire lo scopo: proteggere sistemi e dati, non valutare la produttività delle persone;
• preferire controlli graduali: prima aggregati e anonimi, poi mirati solo in presenza di anomalie;
• adottare un disciplinare interno sull'uso di posta, internet e dispositivi, comunicato a tutti;
• coinvolgere il DPO e chi gestisce i rapporti di lavoro prima di introdurre nuovi strumenti;
• valutare l'accordo sindacale quando gli strumenti vanno oltre le funzioni di base;
• limitare l'accesso ai dati raccolti a poche persone autorizzate e tracciare chi li consulta.

In sintesi

La sicurezza informatica ha bisogno di visibilità sui sistemi, i lavoratori hanno diritto a non essere sorvegliati oltre il necessario. Le regole italiane permettono di tenere insieme le due esigenze, a patto di progettare i controlli con trasparenza, proporzionalità e le procedure previste.