Sicurezza e tutela del patrimonio non cancellano la riservatezza del lavoratore
di Avv. Tommaso Rossi — RPC Studio Legale
Un account aziendale appartiene all’organizzazione. Da questa premessa, però, non discende che il datore possa leggere indiscriminatamente messaggi, ricostruire la navigazione o conservare per anni ogni log prodotto dai dispositivi assegnati ai dipendenti.
Il controllo tecnologico nel lavoro si colloca all’incrocio tra articolo 4 dello Statuto dei lavoratori, GDPR e Codice privacy. Occorre distinguere gli strumenti indispensabili per rendere la prestazione dagli apparati che consentono un controllo ulteriore, anche solo potenziale, dell’attività. Finalità legittime come sicurezza, organizzazione e tutela del patrimonio non eliminano le garanzie procedurali né i principi di necessità e proporzionalità.
Informativa e regole interne non bastano sempre
Il lavoratore deve ricevere indicazioni chiare su strumenti, controlli, dati raccolti, tempi di conservazione e possibile utilizzo disciplinare. Ma una policy, da sola, non rende lecito qualunque trattamento. Se il sistema permette un controllo a distanza ulteriore rispetto al normale uso dello strumento di lavoro, possono essere necessari l’accordo sindacale o l’autorizzazione dell’Ispettorato.
Anche in presenza della procedura corretta, il trattamento deve rispettare minimizzazione, limitazione della finalità, sicurezza e conservazione proporzionata. Raccogliere tutto “nel caso possa servire” espone l’organizzazione a rischi elevati.
E-mail e metadati
Non conta soltanto il contenuto dei messaggi. Mittente, destinatario, oggetto, data, ora e dimensione possono descrivere in dettaglio relazioni e abitudini del lavoratore. Il Garante ha dedicato uno specifico documento di indirizzo ai programmi di posta e ai metadati, richiamando i datori a configurare i servizi in modo coerente con i principi del GDPR.
Le organizzazioni dovrebbero verificare con il fornitore quali log siano generati, per quanto tempo restino disponibili, chi possa consultarli e se le impostazioni predefinite consentano raccolte eccedenti. La responsabilità non scompare perché i dati sono conservati nel cloud del provider.
Messaggi privati e controlli difensivi
La provenienza di uno screenshot da un collega o da un soggetto esterno non rende automaticamente utilizzabile una conversazione privata. Il Garante ha più volte valorizzato l’aspettativa di riservatezza delle comunicazioni e la necessità di una base giuridica idonea.
I cosiddetti controlli difensivi non costituiscono una zona franca. Devono essere collegati a un fondato sospetto, mirati, temporalmente delimitati e rispettosi delle garanzie applicabili. Un monitoraggio generalizzato e preventivo è cosa diversa dall’accertamento circoscritto di un illecito specifico.
Come ridurre il rischio
Mappare strumenti e dati; separare sicurezza tecnica e controllo individuale; configurare tempi di conservazione; limitare gli accessi; aggiornare policy e informative; attivare le procedure dell’articolo 4 quando necessarie; documentare la valutazione di proporzionalità; predisporre modalità rispettose per assenze e cessazione del rapporto.
In sintesi: “aziendale” non significa “liberamente ispezionabile”. La liceità nasce dalla combinazione di finalità, procedura, trasparenza, proporzionalità e corretta configurazione tecnica.
Fonti: Garante, documento sui metadati della posta elettronica; Garante, provvedimento 9 ottobre 2025; Garante, provvedimento 21 maggio 2025; Ispettorato Nazionale del Lavoro, servizi per l’autorizzazione.
