Casella e-mail del lavoratore tra riservatezza e necessità aziendali: regole di backup e conservazione

In sede di audit si sentono ripetere spesso alcune interessanti domande che meritano una risposta, al fine di consentire a tutti di mantenersi nell’alveo della compliance e di rispettare i diritti dei lavoratori, senza esporsi inutilmente a rischi (anche di natura penale, come vedremo): il contenuto della casella e-mail del lavoratore è un asset aziendale? Il datore di lavoro può controllarne il contenuto? È possibile conservare le e-mail del lavoratore al termine del rapporto di lavoro? Se sì, per quanto tempo?

La stessa Autorità garante ci ricorda che “[…] con specifico riferimento all´impiego della posta elettronica nel contesto lavorativo […] può risultare dubbio se il lavoratore, in qualità di destinatario o mittente, utilizzi la posta elettronica operando quale espressione dell´organizzazione datoriale o ne faccia un uso personale pur operando in una struttura lavorativa” (Garante per la protezione dei dati personali, “Lavoro: le linee guida del Garante per posta elettronica e internet”, Gazzetta Ufficiale n. 58 del 10 marzo 2007).

Casella e-mail del lavoratore: la corretta gestione

La gestione della casella e-mail del lavoratore è una sfida per le imprese, in un contesto caratterizzato da una grande frammentazione della normativa in materia.

Costituzione, GDPR, Statuto dei lavoratori (come riformato dal Jobs Act), giurisprudenza nazionale ed europea, e provvedimenti del Garante cercano di delineare il confine tra il diritto alla protezione dei dati personali del lavoratore e le necessità aziendali.

Il datore di lavoro potrebbe necessitare l’accesso alle e-mail del dipendente sostanzialmente per due ragioni:

1. assicurare la continuità delle operazioni aziendali, dei rapporti con i clienti, e avere accesso alla documentazione di rilevanza aziendale che possa trovarsi all’interno delle e-mail del dipendente (ove il dipendente sia assente per qualche motivo o sia giunto al termine del rapporto lavorativo);
2. uso delle e-mail che si trovano all’interno dell’indirizzo aziendale del dipendente a fini disciplinari.

La corretta gestione degli aspetti legati alla posta elettronica dei lavoratori consente non solo la tutela di questi ultimi, ma anche la tutela del datore di lavoro nel momento in cui volesse utilizzare tali e-mail a qualche fine, specialmente in sede disciplinare.

È bene chiarire sin d’ora che l’imprenditore che intenda spiare occultamente il comportamento dei propri dipendenti attraverso la loro posta elettronica per verificare il corretto adempimento della prestazione lavorativa impugna il coltello dalla parte della lama: egli si scontrerà non solo con l’inutilizzabilità delle informazioni ottenute in maniera illegittima, ma anche con tutta una serie di conseguenze penali, civilistiche e di compliance alla normativa in materia di protezione dei dati.

In questa sede è comunque necessario precisare che, entro alcuni limiti, è ammessa la possibilità di controlli difensivi occulti da parte del datore di lavoro volti all’accertamento di illeciti diversi dal solo inadempimento della prestazione lavorativa (v: Cass. Civ., Sez. lavoro, sent. 27 maggio 2015, n. 10955.)

Dove si colloca, quindi, la linea di confine che separa il lecito dall’illecito? Andiamo per ordine.

Casella e-mail del lavoratore: la tutela costituzionale

Dignità umana, libertà di espressione, riservatezza e segretezza della corrispondenza sono alcuni dei diritti che la Costituzione riconosce a tutti noi.

In particolare, all’art. 15 è previsto che “La libertà e la segretezza della corrispondenza e di ogni altra forma di comunicazione sono inviolabili […]”.

Basti qui ricordare che la Costituzione ha un particolare peso all’interno del nostro ordinamento, in special modo per quanto riguarda i diritti cd. “inviolabili”, dei quali appunto fa parte anche il diritto alla segretezza della corrispondenza.

Tale diritto gode quindi di una tutela che potremmo definire “rafforzata”, e dobbiamo tenere in considerazione questo aspetto nel momento in cui ci troviamo a operare il bilanciamento tra l’interesse del lavoratore alla segretezza della propria corrispondenza e quello del datore di lavoro a conoscerne il contenuto.

Il divieto di controllo a distanza dei lavoratori

La nuova disciplina in materia di controllo a distanza dei lavoratori è data dall’art. 4 dello Statuto dei Lavoratori, come riformato dal Jobs Act.

Fermo restando che vi è un divieto generale di installazione di strumenti unicamente preordinati al controllo a distanza, volendo schematizzare in breve, l’art. 4 in questione prevede due ulteriori diversi regimi, a seconda che il datore di lavoro proceda all’installazione di “strumenti che consentono (indirettamente) il controllo a distanza del lavoratore” oppure “strumenti di lavoro”.

L’installazione di strumenti che consentono il controllo a distanza (indiretto) del lavoratore da parte del datore di lavoro è legittima solo ove:

• l’installazione sia necessaria per “per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale”; e
• sia presente un accordo con le rappresentanze sindacali aziendali/nazionali oppure un’autorizzazione preventiva rilasciata dall’Ispettorato del lavoro.

Al contrario, l’installazione/uso di strumenti di lavoro non richiede i precedenti adempimenti.

Va rilevato, però, che in ogni caso le informazioni raccolte attraverso tali mezzi (sia strumenti che consentono il controllo a distanza sia strumenti di lavoro) sono utilizzabili a tutti i fini connessi al rapporto di lavoro, anche disciplinari, solo se è data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli.

Ne risulta, quindi, che in ogni caso il lavoratore deve essere informato.

Ma la posta elettronica rientra tra gli “strumenti che consentono il controllo a distanza del lavoratore” (come, ad esempio, un sistema di videosorveglianza) oppure tra gli “strumenti di lavoro” (al pari di un tablet)? Dipende dal caso concreto.

Il Garante ha definito varie volte la sola posta elettronica aziendale del dipendente uno “strumento di lavoro”, poiché strettamente connesso allo svolgimento della prestazione lavorativa, e pertanto esente da necessità di accordo sindacale/autorizzazione preventiva; tuttavia ha precisato a più riprese che qualora vi siano dei sistemi che consentono un controllo capillare del “traffico email” del dipendente da parte del datore di lavoro (nella forma di backup, di software aggiuntivi che consentano questo tipo di analisi, di conservazione massiva degli envelope al di fuori delle esigenze tecniche di funzionamento/sicurezza del servizio, etc.) allora si parla, sì, di strumenti che consentono il controllo a distanza del lavoratore – con tutte le conseguenze che ne derivano (tra le varie pronunce in merito, segnalo il Provv. n. 303 del 13 luglio 2016).

Potremmo dunque riassumere il quadro relativo all’indirizzo e-mail e al controllo a distanza come segue. L’attribuzione di un indirizzo e-mail aziendale al dipendente può essere effettuata senza particolari formalismi – è comunque sempre obbligatorio informare il dipendente del tipo di controlli effettuabili dal datore di lavoro sulle e-mail aziendali.

Ricordiamo che dalla mancata informazione deriva l’inutilizzabilità delle informazioni ottenute.

Ove sussistano software particolari, backup o altri strumenti in grado di effettuare un controllo massivo e capillare sulle email in entrata e in uscita del dipendente non sarà più sufficiente solo informare il dipendente stesso, ma si dovrà procedere anche a giustificare la presenza di tale sistema “per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” e a trovare un accordo con le rappresentanze sindacali/ottenere l’autorizzazione preventiva dall’ispettorato. Per completezza, si ricorda che il mancato rispetto delle previsioni di cui all’ultima ipotesi ha rilevanza penale (Art. 38 Stat. Lavoratori, Art. 171 Cod. Protezione Dati Personali).

Le linee guida del Garante per posta elettronica e Internet

A tutto quanto innanzi detto, dobbiamo aggiungere ciò che è previsto dalle Linee guida del Garante per posta elettronica e internet sul luogo di lavoro.

Ricordiamo che tali linee guida sono risalenti al 2007, ma sono ancora applicabili se compatibili con il GDPR e il decreto di adeguamento del nostro Codice in materia di protezione dei dati personali (art. 22.4 del D.lgs. 101/2018).

Ciò premesso, vale la pena di analizzare i punti chiave del Provvedimento del garante, specialmente in relazione agli obblighi in capo al datore di lavoro. Egli deve:

• indicare in ogni caso, chiaramente e in modo particolareggiato, quali siano le modalità di utilizzo degli strumenti messi a disposizione ritenute corrette e se, in che misura e con quali modalità vengano effettuati controlli – anche attraverso idoneo disciplinare interno;
• informare i dipendenti del trattamento dei loro dati, così come previsto dalla normativa in materia (oggi il riferimento è da considerarsi all’art. 13 GDPR);
• promuovere ogni opportuna misura, organizzativa e tecnologica, volta a prevenire il rischio di utilizzi impropri della posta elettronica e, comunque, a “minimizzare” l’uso di dati riferibili ai lavoratori (ad esempio, attraverso l’adozione di opportune Policy – in quanto “la mancata esplicitazione di una policy al riguardo può determinare anche una legittima aspettativa del lavoratore, o di terzi, di confidenzialità rispetto ad alcune forme di comunicazione”);
• adottare sistemi che consentano di inviare automaticamente, in caso di assenze programmate, messaggi di risposta che contengano le “coordinate” di altro soggetto o altre utili modalità di contatto dell’istituzione presso la quale opera il lavoratore assente;
• consentire al lavoratore di delegare un altro lavoratore (fiduciario) affinché possa verificare il contenuto dei messaggi di posta elettronica in casi emergenziali e fare in modo che sia tale fiduciario a inoltrare al titolare del trattamento quelli ritenuti rilevanti per lo svolgimento dell’attività lavorativa;
• inserire un avviso all’interno delle e-mail, nel quale si avverte della natura non personale del messaggio (anche a tutela di terzi destinatari di tali comunicazioni);
• optare per controlli pertinenti e non eccedenti, evitando interferenze ingiustificate sui diritti e sulle libertà fondamentali di lavoratori, optando ove possibile per controlli preventivi e in forma aggregata (ad esempio, controllando il traffico anomalo con modalità che consentano di individuare eventuali sospette anomalie prima di procedere con l’effettuazione di controlli puntuali);
• limitare la conservazione delle e-mail (o di dati relativi al traffico telematico in generale) adottando sistemi di cancellazione automatica salvo che sussistano:

1. specifiche esigenze tecniche o di sicurezza (il tempo di conservazione per fini di sicurezza indicato dal Garante è di 7 giorni, salvo casi particolari – da ultimo, Provv. Garante n. 53 del 1° febbraio 2018);
2. finalità specifiche che giustifichino una conservazione limitata al tempo necessario e predeterminato a raggiungerle (è comunque possibile un allungamento dei termini se i dati sono indispensabili per la difesa di un diritto in sede giudiziaria o relativamente a indagini dell’autorità giudiziaria o polizia).

Al termine del rapporto di lavoro: obbligo di disattivazione

L’Autorità garante ha più volte specificato (Provv.ti n.53 del 1° febbraio 2018; n.456 del 30 luglio 2015; n.136 del 5 marzo 2015; n. 551 del 27 novembre 2014 – per dirne alcuni) che la casella di posta elettronica del dipendente deve essere disattivata al momento della cessazione del rapporto di lavoro.

Questo significa che al momento esatto della cessazione, deve necessariamente essere predisposto un sistema che prevenga la ricezione dei messaggi e che informi i mittenti di eventuali e-mail destinate al lavoratore che l’indirizzo di posta non è più attivo.

Tutto ciò, chiaramente, si rende necessario anche a tutela dei diritti dei mittenti, i quali potrebbero trovarsi a interloquire con altri soggetti appartenenti all’organizzazione senza averne coscienza.

Per quanto riguarda la conservazione delle e-mail, vale quanto anzidetto, e cioè che la conservazione delle stesse (o dei relativi log o envelope), come vale anche per i dati personali in generale, deve:

• risultare indispensabile (principio di minimizzazione). Va precisato che non è indispensabile la conservazione delle e-mail al fine di custodire file e documenti di rilevanza aziendale e che tale aspetto, nell’ottica del bilanciamento di interessi, dovrebbe essere regolato predisponendo e adottando adeguate procedure affinché tali documenti siano conservati in altre forme;
• essere supportata da valide motivazioni e non risultare eccedente.

Ad esempio, sarà consentita la conservazione per specifiche esigenze tecniche o di sicurezza o di tutela di un diritto in sede giudiziale. Si ricorda che la parola “specifiche” indica che l’esigenza di sicurezza o di tutela in giudizio deve essere concreta e attuale. Per tale ragione, ad esempio, non è consentita la conservazione massiva delle e-mail allo scopo di tutelare i diritti del datore di lavoro in possibili ed eventuali e futuri giudizi.

In conclusione

Alla luce di quanto sopra detto e del complesso excursus normativo affrontato, si può riassumere quanto segue:

• la casella e-mail del lavoratore è uno strumento di lavoro particolare, la cui riservatezza è assistita da garanzie di natura anche Costituzionale;
• in ogni caso il datore di lavoro deve informare i dipendenti di ogni tipo di possibile controllo o accesso ai dati personali del dipendente scaturenti dalla gestione della posta elettronica (ove ciò non avvenga le conseguenze sono varie, anche di natura penale);
• in presenza di strumenti che possano comportare il controllo a distanza da parte del datore di lavoro, sarà necessario procedere a giustificarne la presenza “per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” e a trovare un accordo con le rappresentanze sindacali/ottenere l’autorizzazione preventiva dall’ispettorato del lavoro;
• i controlli che possano comportare l’accesso da parte del datore di lavoro al contenuto dei messaggi di posta destinati al dipendente devono essere evitati in ogni modo, soprattutto ricorrendo ad azioni preventive quali, ad esempio, l’adozione di idonee procedure;
• la conservazione dei dati personali scaturenti dalla gestione della posta elettronica dei dipendenti può avvenire entro determinati: minimizzazione e specificità sono le parole chiave.

Quanto detto potrebbe risultare spaventoso ed eccessivo per taluni, ma non dobbiamo cadere nell’errore di vedere la privacy compliance come un qualcosa di inarrivabile.

È bene ricordare che gli adempimenti e gli obblighi posti in capo al datore di lavoro non hanno l’obiettivo di frenare la libertà d’impresa e di iniziativa economica; anzi, essi sono volti a rimarcare l’importanza che l’impresa, l’imprenditore e la vita lavorativa hanno all’interno del tessuto sociale ed economico.

È, infatti, all’interno dell’impresa che i lavoratori esplicano buona parte della propria personalità, ed è compito del datore di lavoro curare armonicamente gli interessi propri e dei propri dipendenti, avvalendosi degli straordinari strumenti tecnologici di cui possiamo disporre difendendo, al contempo, i diritti e le libertà di ognuno.