Il datore di lavoro è destinatario, ai sensi del Codice civile, di una serie di poteri tra cui figura quello direttivo, da interpretarsi, ai sensi dell’articolo 2104, come la possibilità di impartire una serie di disposizioni al fine di garantire l’esecuzione e la disciplina del lavoro.
Vi rientrano, ad esempio, le scelte in materia di retribuzione dei dipendenti, distribuzione dell’orario di lavoro, mutamento delle mansioni o ancora trasferimenti dei lavoratori ad altre sedi aziendali.
Una conseguenza diretta del potere direttivo è l’esigenza di:
- Controllare la prestazione lavorativa al fine di verificare che la stessa venga concretamente eseguita sulla base delle mansioni assegnate;
- Tutelare la proprietà aziendale contro danni o furti.
I controlli del datore di lavoro possono interessare, tra le altre cose, la posta elettronica aziendale.
Analizziamo la questione in dettaglio e vediamo quali limiti ha l’azienda.
Controllo e-mail dei dipendenti, tutto quello che devi sapere
- E-mail assimilata alla corrispondenza privata
- Controlli del datore di lavoro a quali condizioni? Il disciplinare interno
- Controlli del datore di lavoro a quali condizioni? Altri obblighi
- No a controlli individuali
- Ammessi controlli anonimi
- Attenzione a controlli su smartphone e operazioni di backup
- I limiti valgono anche dopo la cessazione del contratto?
E-mail assimilata alla corrispondenza privata
Come precisato dal Garante Privacy nel Comunicato del 12 luglio 1999 l’e-mail è assimilata alla corrispondenza epistolare e, di conseguenza, considerata inviolabile.
I messaggi che circolano via internet, ha affermato il Garante, nelle «liste di posta elettronica e nei newsgroup ad accesso limitato devono essere considerati come corrispondenza privata e in quanto tali non possono essere violati».
Il principio, ancora il Garante, riguarda «non solo le singole e-mail, ma anche le più articolate mailing list, ovvero i servizi di posta elettronica con un indirizzario automatico che consente la contemporanea trasmissione a più persone di una comunicazione o messaggio su determinati argomenti di interesse comune».
Secondo la giurisprudenza di merito (Ordinanza Tribunale di Milano del 10 maggio 2002) fanno eccezione al principio di inviolabilità le ipotesi di utilizzo della mail per fini privati (extra-lavorativi).
leggi anche
Visite e controlli a distanza, parte la rivoluzione della telemedicina: come funzionerà la nuova piattaforma
Controlli del datore di lavoro a quali condizioni? Il disciplinare interno
I servizi di posta elettronica sono suscettibili di controlli da parte del datore di lavoro, in qualità di titolare del trattamento, il quale può venire a conoscenza del contenuto della corrispondenza.
Le istruzioni per il corretto esercizio dei controlli da parte dell’azienda sono state fornite dal Garante Privacy con Provvedimento del 1° marzo 2007.
In particolare è necessario innanzitutto informare preventivamente i lavoratori in modo chiaro sulle modalità di utilizzo della posta elettronica e su eventuali controlli da lui effettuati. L’informazione varia in funzione del genere e della complessità delle attività svolte oltre che della dimensione aziendale.
L’obbligo in parola può essere adempiuto, ad esempio, tramite l’adozione di un regolamento disciplinare interno da pubblicizzare adeguatamente, tramite la rete interna o con affissioni sui luoghi di lavoro, oltre che da aggiornare periodicamente.
Il datore di lavoro è tenuto inoltre ad osservare nella procedura di adozione del regolamento interno gli obblighi di informazione, concertazione e consultazione delle organizzazioni sindacali.
Controlli del datore di lavoro a quali condizioni? Altri obblighi
Sempre il Garante Privacy con Provvedimento del 1° marzo 2007 impone ai datori di lavoro che intendono effettuare controlli sulla posta elettronica ulteriori obblighi, aggiuntivi alla stesura di un disciplinare interno.
Nello specifico:
- Adottare gli accorgimenti per la conservazione e il trattamento dei dati ricavabili a seguito dell’utilizzo di tali tecnologie;
- Adottare misure di tipo organizzativo, come, ad esempio, mettere a disposizione indirizzi condivisi tra più lavoratori e attribuirne uno diverso al lavoratore per uso privato, ovvero, in caso di assenza del dipendente, utilizzare messaggi di risposta automatica, nonché, da ultimo, inserire nelle comunicazioni un avvertimento ai destinatari in cui si dichiara l’eventuale natura non personale del messaggio e si specifica se le risposte potranno essere conosciute nell’organizzazione di appartenenza del mittente.
Da ultimo, il Provvedimento del Garante datato 21 dicembre 2023 ha precisato che si rende necessario verificare con la dovuta diligenza che i servizi informatici e i programmi di gestione della posta elettronica in uso ai dipendenti (soprattutto se in modalità «cloud» o «as-a-service») consentano di modificare le impostazioni di base, impedendo la raccolta di metadati relativi ai dipendenti o limitando il periodo di conservazione degli stessi ad un limite massimo di 7 giorni (estensibile di ulteriori 48 ore, in presenza di comprovate esigenze).
No a controlli individuali
In osservanza degli obblighi descritti, il datore di lavoro può legittimamente effettuare controlli sulla posta elettronica, a patto che vengano rispettati i principi generali di pertinenza e non eccedenza.
Di conseguenza:
- In assenza di successive anomalie non è giustificato effettuare verifiche su base individuale;
- Dev’essere esclusa l’ammissibilità di controlli costanti, prolungati o indiscriminati;
- Non può avere luogo la raccolta a priori di tutte le mail dei dipendenti in vista di future ed eventuali contestazioni disciplinari.
Ammessi controlli anonimi
Alla luce dei principi e degli obblighi imposti al datore di lavoro lo stesso può effettuare una serie di controlli anonimi sulla posta elettronica aziendale.
Eventuali anomalie o abusi riguardanti l’utilizzo dello strumento devono essere segnalati all’intera compagine aziendale a mezzo di un avviso generalizzato contenente:
- L’accertato utilizzo anomalo della posta elettronica aziendale;
- L’invito ad attenersi scrupolosamente ai compiti assegnati e alle istruzioni impartite.
L’avviso può essere riservato ai dipendenti appartenenti al settore, all’area, all’ufficio o alla sede in cui è stata riscontrata l’anomalia.
Attenzione a controlli su smartphone e operazioni di backup
Il già più volte citato Garante della Privacy (Newsletter 17 febbraio 2017 numero 424) ha chiarito che è illegittimo l’accesso indiscriminato del datore di lavoro alla posta elettronica ovvero ai dati personali contenuti nello smartphone in dotazione al personale dipendente.
Nella quotidianità dell’azienda può accadere che, per esigenze informatiche, di sicurezza e tutela dei dati, al fine di garantire il corretto svolgimento dell’attività economico - produttiva, venga effettuato un backup dei pc aziendali sul server interno.
I dati veicolati sul server mantengono tuttavia la medesima natura che li caratterizza sul pc aziendale. Questo significa che il datore di lavoro non può effettuare controlli sulla posta elettronica ottenuta con il backup se non vengono rispettati gli obblighi sopra descritti, tra cui figura l’informativa / regolamento interno.
I limiti valgono anche dopo la cessazione del contratto?
Un dubbio legittimo può sorgere con riguardo ai possibili controlli che il datore di lavoro può fare sulle mail dei dipendenti cessati.
Nella Newsletter del 20 dicembre 2019 numero 460 il Garante ha precisato che è illegittimo il comportamento del datore di lavoro che, dopo la cessazione del rapporto di lavoro, mantiene attivo l’account di posta elettronica aziendale del dipendente e accede alla relativa casella di posta.
La limitazione vale anche se i dati raccolti sono necessari all’azienda per difendere un proprio diritto in giudizio.
