Garante Privacy: vietati i controlli indiscriminati su email e smartphone aziendali

Sono vietati i controlli indiscriminati sulle email e sullo smartphone aziendale. Il datore di lavoro non può avere un accesso indiscriminato alla posta elettronica e ai dati personali che si trovano negli smartphone del personale e, pur potendo verificare il corretto uso degli strumenti di lavoro, deve rispettare libertà e dignità dei lavoratori. No dunque ai controlli massivi e indiscriminati del lavoratore e a quelle pratiche di controllo che di fatto rappresentano un comportamento illecito. Lo ha ribadito il Garante della Privacy che ha vietato a una multinazionale l’ulteriore uso dei dati personali trattati violando la legge.

La società potrà solo conservarli per la tutela dei diritti in sede giudiziaria. Il Garante ha stabilito che “il datore di lavoro, pur avendo la facoltà di verificare l’esatto adempimento della prestazione lavorativa ed il corretto utilizzo degli strumenti di lavoro da parte dei dipendenti, deve in ogni caso salvaguardarne la libertà e la dignità e, in applicazione dei principi di liceità e correttezza dei trattamenti di dati personali, informare in modo chiaro e dettagliato circa le consentite modalità di utilizzo degli strumenti aziendali e l’eventuale effettuazione di controlli anche su base individuale”. La legge sui controlli a distanza non permette di svolgere attività che finiscano per realizzare il controllo “massivo, prolungato e indiscriminato dell’attività del lavoratore”. I lavoratori, poi, devono essere informati chiaramente e in modo dettagliato sulle modalità di utilizzo degli strumenti aziendali e di eventuali verifiche. La pronuncia del Garante Privacy – che vedrà se applicare sanzioni amministrative – deriva dal reclamo di un dipendente che si era rivolto all’Autorità lamentando l’illegittimo trattamento dei dati fatto dalla società AON S.p.A., presso cui lavorava, che avrebbe acquisito informazioni contenute nella sua email e nel sul telefono aziendale anche dopo il suo licenziamento, e anche riguardo a informazioni private.

Nel procedimento, il Garante privacy ha rilevato che “la raccolta sistematica delle comunicazioni elettroniche in transito sugli account aziendali dei dipendenti in servizio, la loro memorizzazione per un periodo di dieci anni e la possibilità di accedervi all’esito di una procedura di Security Investigation Request consente alla società di effettuare il controllo dell’attività dei dipendenti. Ciò risulta in contrasto con la disciplina di settore in materia di controlli a distanza (cfr. artt. 11, comma 1, lett. a) e 114 del Codice e art. 4, legge 20.5.1970, n. 300). Tale disciplina infatti, pure a seguito delle modifiche disposte con l’art. 23 del decreto legislativo 14 settembre 2015, n. 151, non consente l’effettuazione di attività idonee a realizzare (anche indirettamente) il controllo massivo, prolungato e indiscriminato dell’attività del lavoratore”. Il datore di lavoro può verificare l’esatto svolgimento della prestazione lavorativa e l’uso degli strumenti di lavoro da parte dei dipendenti, ma deve “salvaguardarne la libertà e la dignità”.

Dai riscontri effettuati dall’Autorità sono emerse numerose irregolarità. Come spiega il Garante nell’odierna newsletter, la società non aveva adeguatamente informato i lavoratori sulle modalità e finalità di utilizzo degli strumenti elettronici in dotazione, né su quelle relative al trattamento dei dati. Aveva poi configurato il sistema di posta elettronica in modo da conservare copia di tutta la corrispondenza per ben dieci anni, un tempo non proporzionato allo scopo della raccolta. Esisteva anche una procedura che consentiva alla società di accedere al contenuto dei messaggi che, in linea con la policy aziendale, potevano avere anche carattere privato. E’ inoltre emerso che la società continuava a mantenere attive le caselle e-mail fino a sei mesi dopo la cessazione del contratto, senza però dare agli ex dipendenti la possibilità di consultarle o, comunque, senza informare i mittenti che le lettere non sarebbero state visionate dai legittimi destinatari ma da altri soggetti. L’istruttoria ha poi accertato che il titolare poteva accedere da remoto, e non solo per la manutenzione, alle informazioni contenute negli smartphone in dotazione ai dipendenti (anche privatissime e non attinenti allo svolgimento dell’attività lavorativa), di copiarle o cancellarle, di comunicarle a terzi violando i principi di liceità, necessità, pertinenza e non eccedenza del trattamento.