Smart working: il ritorno dei controlli difensivi e l'informativa al dipendente
La forte diffusione dello smart working registrata negli ultimi mesi, dovuta in gran parte all'emergenza pandemica tutt'ora in corso, rende particolarmente scottante il controllo a distanza sull'impiego da parte dei lavoratori degli strumenti e dei sistemi informatici aziendali, sulla prestazione lavorativa e sulla commissione di illeciti. L'unico modo per controllare il dipendente che lavori da casa è "in remoto", sulla base dei dati e delle informazioni che la tecnologia oggi consente.
La disciplina dei controlli a distanza, storicamente contenuta nell'art. 4 L. 300/1970, è stata oggetto di riforma da parte del D. Lgs.151/2015. Sotto la vigenza del "vecchio" art. 4 St. Lav., era vietato "l'uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dell'attività dei lavoratori" (co 1). Il datore di lavoro poteva installare, per esigenze organizzative, impianti e apparecchiature di controllo, dai quali derivasse "anche la possibilità di controllo a distanza dell'attività dei lavoratori", solo previo accordo con le rappresentanze sindacali aziendali o previa autorizzazione da parte dell'Ispettorato del lavoro. In assenza di tali accordi o autorizzazioni, i controlli erano illegittimi e i dati raccolti tramite gli stessi inutilizzabili.
Il "nuovo" art. 4 St. Lav. disciplina diversamente due tipologie di strumenti: da un lato quelli impiegati "per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale" (co 1), dall'altro quelli utilizzati dal lavoratore "per rendere la prestazione lavorativa" o quelli di "registrazione degli accessi e delle presenze" (co 2). Per tali strumenti devono intendersi - come chiarito dal Garante per la protezione dei dati personali - gli strumenti "utilizzati in via primaria ed essenziale per l'esecuzione dell'attività lavorativa", ovvero "direttamente preordinati all'esecuzione della prestazione lavorativa".
Se per i primi permane l'obbligo di preventivo accordo con le organizzazioni aziendali o dell'autorizzazione da parte dell'Ispettorato del lavoro, per i secondi si può parlare di una "liberalizzazione", non essendo necessario alcun accordo o autorizzazione. Per i secondi come per i primi è prevista un'informativa che il datore si riserva di effettuare nel rispetto della normativa in materia di protezione dei dati personali.
Prima del 2015, dottrina e giurisprudenza si erano interrogate circa la legittimità dei cd. controlli difensivi: controlli - effettuati ex post - diretti ad accertare comportamenti illeciti e lesivi del patrimonio e dell'immagine aziendale. Il dibattito ha visto, da un lato, la posizione di chi, rilevando come tali controlli fossero diversi dalla mera sorveglianza sull'esecuzione della prestazione lavorativa, riteneva che non rientrassero nel campo di applicazione dell'art. 4 St. Lav. e che, conseguentemente, fossero legittimi anche in assenza di un accordo o autorizzazione.
Secondo un diverso orientamento, invece, anche tale categoria di controlli rientrava nel campo di applicazione dell'art. 4 St. Lav. Sul piano processuale, l'adesione all'una o all'altra interpretazione comportava l'utilizzabilità o meno dei dati acquisiti dal datore per il tramite di tali controlli.
A seguito dell'entrata in vigore del "nuovo" art. 4 St. Lav., ci si è interrogati se l'ipotesi di controlli difensivi avesse ancora una sua autonoma dignità e rientrasse o meno nel campo di applicazione di tale articolo.
Due recenti sentenze hanno reso nuovamente attuale questo tema. Con sentenza dell'8 settembre 2020 la Corte d'Appello di Milano si è pronunciata in merito all'utilizzabilità delle comunicazioni e-mail estratte dall'account personale dei lavoratori. In un obiter dictum di questa pronuncia il giudice afferma che si può effettuare un controllo difensivo sull'account aziendale, previa informativa del lavoratore sulla potenziale conservazione dei dati e sulla loro duplicazione.
Nel secondo caso, sul quale si è pronunciata la Corte di Cassazione con sentenza del 16 novembre 2020, n. 25977, un dipendente di una società di servizi informatici per gli istituti di credito veniva licenziato per giusta causa per aver effettuato un accesso non autorizzato sul conto corrente del marito di una collega. La Suprema Corte, anche alla luce di un accordo sindacale che consentiva al datore di lavoro di effettuare controlli difensivi in "presenza di indizi di reato", ha ritenuto legittimo il controllo disposto ex post.
Sulla scorta di queste sentenze, possiamo dunque affermare che il datore di lavoro possa effettuare a distanza controlli difensivi ex post volti all'accertamento di illeciti commessi dal dipendente? La Corte di Cassazione risponde affermativamente, ma in una situazione in cui era presente un accordo sindacale. La Corte d'Appello di Milano non entra nel merito circa la necessità di un accordo aziendale, anche perché la questione dell'accesso all'account aziendale viene affrontata solo incidentalmente.
Una cosa è certa, anche quando il controllo verte su uno strumento di lavoro (per il quale non c'è bisogno di un accordo o autorizzazione) fornire un'informativa al dipendente è imprescindibile. È dunque opportuno elaborare tali informative, anche in questo periodo in cui la legge non richiede l'accordo individuale, nel rispetto dei principi generali in materia di protezione dei dati personali.
Fonte: Il Sole 24 Ore del 15 dicembre 2020
