In data 25 maggio 2018 sono entrati in vigore gli emendamenti al Codice del lavoro che disciplinano il monitoraggio della posta elettronica. Mentre il 4 ottobre 2018, il Garante per la protezione dei dati personali ha chiarito alcuni dubbi pratici nella “Guida per i datori di lavoro”.
Va ricordato che ai sensi dell’art. 223 del Codice del lavoro, il datore può introdurre il monitoraggio della posta elettronica del dipendente, se ciò è necessario a garantire l’organizzazione delle attività lavorative consentendo il pieno sfruttamento dell’orario di lavoro e il corretto utilizzo degli strumenti di lavoro messi a disposizione del dipendente. Pertanto, l’account di posta elettronica aziendale del dipendente può essere monitorato, ma, come osservato dal Garante, nel periodo di tempo in cui il dipendente è a disposizione del datore sul luogo di lavoro. Ad esempio, ciò potrebbe implicare la verifica che i dipendenti non utilizzino siti che esulino dall’adempimento delle loro mansioni lavorative.
Come viene spiegato in letteratura (Gawroński Maciej, Kloc Katarzyna, “Monitoring jako jedna z kluczowych zmian wprowadzonych przez ustawę o ochronie danych”, in relazione al monitoraggio come uno dei cambiamenti chiave introdotti dal regolamento in materia di protezione dei dati personali): „Il datore di lavoro ha il diritto di monitorare il traffico di rete e le e-mail in uscita per diversi tipi di dati al fine di captare anomalie comportamentali, che a loro volta possono indicare una violazione della sicurezza o della disciplina sul lavoro. Le e-mail in uscita possono essere monitorate in base alla quantità di dati inviati e ai domini, come ad esempio gli account di posta elettronica gratuiti più diffusi, al fine di intercettare la trasmissione di dati aziendali a indirizzi e-mail privati. Inoltre, è possibile monitorare: la copia di file o dati su dispositivi di archiviazione di massa, il tempo speso su Facebook o altri social network, la navigazione su siti pornografici tramite dispositivi aziendali, il download di consistenti quantità di dati, al fine di determinare se qualcuno stia usando Youtube e guardando video invece di lavorare o stia usando numeri telefonici a pagamento; infine è possibile geolocalizzare la posizione dei veicoli aziendali o di alcuni specifici dispositivi aziendali, come ad esempio i terminali logistici.”
Parallelamente, il controllo non può violare la segretezza della corrispondenza né altri diritti personali del dipendente. Tuttavia, ciò non significa un divieto totale del controllo del contenuto dei messaggi di posta elettronica, in quanto un divieto totale impedirebbe un monitoraggio efficace e persino la tutela dalla divulgazione di segreti commerciali. L’obiettivo è quello di bilanciare adeguatamente la protezione dei diritti personali dei dipendenti (diritto al rispetto della vita privata) con il diritto di monitoraggio da parte del datore di lavoro al fine di assicurare la regolare gestione dell’attività. Indicazioni sul corretto equilibrio di questi interessi possono essere trovate nella sentenza della Corte del 5 settembre 2017, 61496/08, Barbulescu c. Romania. A titolo esemplificativo, è necessario informare in anticipo sul monitoraggio dei contenuti, giustificare in modo specifico lo scopo del monitoraggio (ad esempio: commissione di un reato o azioni a danno del datore di lavoro), che non può essere raggiunto utilizzando misure meno gravose, il momento dell’accesso al contenuto della corrispondenza e la limitazione del numero di persone in possesso di tale accesso. Anche segnare come “privato” un messaggio da parte del dipendente non deve in ogni caso disattivarne il monitoraggio da parte del datore di lavoro.
Secondo il Garante, il datore non può controllare la corrispondenza privata dei suoi dipendenti (la casella di posta privata del dipendente). Tuttavia, ciò non dovrebbe precludere il monitoraggio dell’uso di tale casella durante l’orario di lavoro, né il contenuto delle e-mail inviate dalla casella di posta aziendale a quella privata in base alle norme sopra discusse.
Obblighi del datore di lavoro relativi all’utilizzazione del monitoraggio della posta elettronica:
– il datore deve stabilire lo scopo, la portata e le modalità di utilizzo del monitoraggio della posta elettronica nel contratto collettivo di lavoro o nel regolamento interno, oppure in una comunicazione in caso non sia coperto dal contratto collettivo o non sia obbligato a stabilire un regolamento interno.
– il datore è tenuto a informare i dipendenti in merito allo scopo, alla portata e alle modalità di utilizzo del monitoraggio, nonché alla sua implementazione, non più tardi di 2 settimane prima dell’avvio (ad eccezione dei casi in cui il monitoraggio sia già in atto). Nell’eventualità di nuove assunzioni, tale obbligo dovrebbe essere adempiuto prima che i dipendenti inizino a lavorare. Inoltre, nel caso di dipendenti già ammessi al lavoro, il datore è tenuto a informarli dell’intenzione di condurre un monitoraggio.
– il datore è tenuto a soddisfare i requisiti previsti dal GDPR.
Autore: Jacek Wilczewski, consulente legale, Bosetti Global Consulting
