Dispositivi personali al lavoro: scrivere una regola chiara

In molte organizzazioni l'uso dei dispositivi personali per lavoro, spesso indicato con la sigla inglese BYOD, "bring your own device", è nato senza una decisione formale. Qualcuno ha configurato la posta sul proprio telefono, qualcun altro lavora da casa con il computer di famiglia, e nel tempo è diventata una prassi. Il risultato è che dati dell'organizzazione si trovano su dispositivi di cui nessuno conosce lo stato di sicurezza.

Per chi guida un'azienda o un ente, la scelta non è tra vietare e permettere tutto. È decidere, in modo esplicito, cosa è ammesso e a quali condizioni.

Le tre strade possibili

Solo dispositivi aziendali. Massimo controllo, ma costi più alti e spesso una spinta a usare comunque il proprio telefono per comodità. Funziona se gli strumenti forniti sono davvero adeguati.

Dispositivi personali con regole. Il personale può usarli per alcune attività, rispettando requisiti minimi e usando strumenti che separano i dati di lavoro da quelli privati.

Modello misto. Dispositivi aziendali per chi tratta dati delicati o ha ruoli critici, uso personale regolato per gli altri, magari limitato a posta e calendario.

La scelta dipende dai dati trattati, dalle dimensioni dell'organizzazione e dagli obblighi a cui è soggetta. L'importante è che sia una scelta, non un'abitudine.

Cosa deve contenere la regola

Ambito. Quali dispositivi sono ammessi, per quali attività e per quali categorie di dati. Ad esempio: posta e calendario sì, gestionali con dati sanitari no.

Requisiti minimi. Blocco schermo, sistema operativo ancora supportato e aggiornato, app solo dagli store ufficiali, cifratura attiva, nessuna modifica dei sistemi di sicurezza del dispositivo.

Strumenti di separazione. Se possibile, l'accesso ai dati di lavoro avviene tramite app o profili gestiti, che tengono separati i dati aziendali e permettono di cancellarli senza toccare foto e messaggi personali.

Cosa l'organizzazione può fare. Indicare con chiarezza quali poteri ha l'assistenza informatica sul dispositivo: verificare i requisiti, cancellare i dati di lavoro, mai accedere ai contenuti personali.

Perdita e furto. Obbligo di segnalazione immediata, a chi e con quali recapiti, anche fuori orario.

Fine del rapporto. Come si rimuovono dati e accessi quando una persona lascia l'organizzazione o cambia dispositivo.

Il nodo della privacy

Un dispositivo personale contiene la vita privata di chi lo possiede. Una regola che consente all'organizzazione di vedere app, posizione o contenuti personali è difficile da accettare e può porre problemi giuridici: in Italia il controllo a distanza dei lavoratori è disciplinato dallo Statuto dei lavoratori, oltre che dalle norme sulla protezione dei dati.

Per questo conviene:

• coinvolgere il responsabile della protezione dei dati e chi si occupa di rapporti di lavoro;
• preferire strumenti che gestiscono solo lo spazio di lavoro, non l'intero dispositivo;
• spiegare in modo trasparente cosa viene controllato e cosa no;
• valutare, dove previsto, il confronto con le rappresentanze del personale.

Renderla applicabile

Una regola che richiede competenze tecniche al personale non verrà seguita. Funziona meglio se accompagnata da istruzioni passo passo, da un supporto disponibile per la configurazione e da una verifica automatica dei requisiti quando possibile.

E va rivista periodicamente: nuovi dispositivi, nuove app e nuovi modi di lavorare cambiano rapidamente il quadro.

La domanda di partenza

Chiedi all'assistenza informatica quanti dispositivi personali accedono oggi alla posta o ai documenti dell'organizzazione. Se la risposta è "non lo sappiamo", la regola serve, e serve presto.