In parte sì, ma non liberamente. E la differenza fra un controllo legittimo e uno che non lo è si gioca quasi sempre su un elemento solo: cosa era stato detto prima ai lavoratori.
Risposta breve
Il quadro è posto dall'articolo 4 dello Statuto dei Lavoratori. Gli strumenti che servono al lavoratore per svolgere la prestazione — computer, posta elettronica aziendale, telefono di servizio — non richiedono accordo sindacale o autorizzazione preventiva, a differenza degli impianti di controllo a distanza in senso proprio.
Ma c'è una condizione che rende inutilizzabile tutto il resto se manca: al lavoratore deve essere stata data un'adeguata informativa sulle modalità d'uso degli strumenti e sui controlli che possono essere effettuati, nel rispetto della normativa sui dati personali. Senza quel presupposto, i dati raccolti rischiano di non poter essere utilizzati a nessun fine.
In pratica, quindi, la domanda utile non è «può controllare?» ma «cosa era stato comunicato prima, e il controllo è stato mirato o generalizzato?». È lì che si decide quasi ogni contenzioso in materia.
La norma distingue fra strumenti di controllo e strumenti di lavoro, e la differenza è sostanziale.
Sistemi da cui deriva anche la possibilità di controllo a distanza dell'attività dei lavoratori, come videosorveglianza e sistemi di monitoraggio. Possono essere installati solo per esigenze organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio.
Richiedono un accordo con le rappresentanze sindacali o, in mancanza, l'autorizzazione dell'Ispettorato del lavoro.
Computer, posta elettronica aziendale, telefono di servizio e strumenti di registrazione degli accessi e delle presenze. Per questi non è richiesto l'accordo sindacale né l'autorizzazione preventiva.
Resta però ferma la condizione dell'informativa adeguata al lavoratore e il rispetto della disciplina sulla protezione dei dati personali. Senza questi presupposti l'utilizzabilità dei dati viene meno.
Mirato o generalizzato
Nella pratica la contrapposizione ricorrente è sempre la stessa. Da un lato il datore di lavoro che, a fronte di un sospetto concreto, verifica cosa è accaduto su uno strumento aziendale; dall'altro il lavoratore che contesta un controllo esteso, indiscriminato e a ritroso su tutta la propria attività.
La giurisprudenza ammette i cosiddetti controlli difensivi, ma li circoscrive: devono nascere dopo che un sospetto specifico è insorto, essere diretti ad accertare condotte illecite e non la produttività, e restare proporzionati rispetto allo scopo. Un controllo generalizzato, esplorativo, condotto su periodi ampi alla ricerca di qualcosa che non si sa ancora cosa sia, difficilmente supera questo vaglio.
Il Garante per la protezione dei dati personali è intervenuto più volte in materia, anche con sanzioni di importo rilevante, proprio su ipotesi di accesso esteso alla posta elettronica dei dipendenti condotto senza i presupposti necessari.
Questo è il motivo per cui, quando un'azienda mi chiede una verifica su uno strumento aziendale, la prima domanda che faccio non è tecnica: riguarda che cosa era stato comunicato ai lavoratori e cosa prevede la policy interna. Se quel presupposto manca, l'accertamento rischia di produrre materiale inutilizzabile e di creare all'azienda un problema più grande di quello che voleva risolvere.
Prima di qualunque verifica vanno controllati informativa, policy interna e presupposti del controllo. È un passaggio da fare con il proprio legale, e viene prima della parte tecnica.
Se ti viene contestato qualcosa sulla base di dati estratti da strumenti aziendali, come è avvenuta la raccolta è rilevante quanto il contenuto. È un profilo che va segnalato al tuo avvocato.
L'analisi tecnica dà lo stesso tipo di risposta: cosa risulta dai dati e con quale grado di affidabilità. Il perimetro di ciò che è lecito esaminare lo definisce il legale, non il consulente informatico.
Da evitare
Sono poche, e riguardano soprattutto il momento in cui nasce il sospetto.
Lavoro sia con aziende sia con studi legali che assistono lavoratori, e in entrambi i casi il primo passaggio è lo stesso: capire se e in che misura un accertamento è praticabile. Se i presupposti non ci sono, dirlo prima è più utile che scoprirlo dopo.
La logica è la stessa, con una complicazione in più: sui telefoni l'uso personale e quello professionale tendono a mescolarsi, e questo restringe ulteriormente il perimetro di ciò che può essere esaminato.
Su un dispositivo di proprietà del lavoratore l'azienda non può intervenire di propria iniziativa. La strada, quando esiste, passa dall'autorità giudiziaria.
È una fattispecie collegata ma con dinamiche proprie, che affronto nella pagina su cosa fare quando un ex dipendente copia i file aziendali.
Le indicazioni del Garante prevedono cautele specifiche sulla gestione delle caselle dopo la cessazione del rapporto, fra cui la disattivazione entro tempi ragionevoli e sistemi di risposta automatica. È un aspetto da verificare con il proprio consulente in materia di dati personali.
La copia forense parte da 400 euro e l'analisi di un dispositivo da 1.200, in base al numero di postazioni e al volume dei dati. Le fasce sono nella pagina dei prezzi.
Può stabilire quale utenza era attiva e cosa risulta dalle registrazioni di sistema. Collegare l'utenza a una persona fisica è un'inferenza ulteriore, che dipende dal contesto organizzativo e va sostenuta con altri elementi.
Sono Cristian Federiconi, ingegnere informatico e Consulente Tecnico di Parte in informatica forense ad Ancona. Assisto aziende e studi legali negli accertamenti tecnici su strumenti aziendali, con attenzione ai limiti entro cui quei dati restano utilizzabili.
Questa pagina ha finalità informative e descrive il quadro generale dei limiti ai controlli datoriali. La materia è complessa e in evoluzione, e l'applicazione delle norme dipende dalle circostanze concrete e dagli assetti organizzativi: il contenuto non costituisce consulenza legale né consulenza in materia di protezione dei dati personali, e non sostituisce il parere di un avvocato o di un professionista specializzato.