L’applicazione della norma attualmente vigente, disegnata a suo tempo sostanzialmente per regolamentare l’utilizzo delle telecamere, è stata oggetto negli ultimi anni di alcune pronunce estremamente interessanti della Corte di Cassazione che ne ha esteso la portata anche a una serie di più recenti impianti e apparecchiature di controllo. Si fa riferimento, in particolare, alla sentenza n° 15892/2007 che ha sancito l’applicabilità nel caso in esame dell’obbligo di accordo sindacale a un impianto automatico di controllo accessi a un parcheggio aziendale (i log raccolti permettevano di valutare se un lavoratore usciva o meno legittimamente dal luogo di lavoro) e alla sentenza n° 4375/2012 con la quale la Corte di Cassazione ha sancito l’applicabilità dell’art. 4 comma II Statuto dei Lavoratori ai sistemi di content filtering.
Secondo la Corte di Cassazione, infatti: “i programmi informatici che consentono il monitoraggio della posta elettronica e degli accessi Internet sono necessariamente apparecchiature di controllo nel momento in cui, in ragione delle loro caratteristiche, consentono al datore di lavoro di controllare a distanza e in via continuativa durante la prestazione, l’attività lavorativa e se la stessa sia svolta in termini di diligenza e di corretto adempimento (se non altro, nel nostro caso, sotto il profilo del rispetto delle direttive aziendali)” e cio “è evidente laddove nella lettera di licenziamento i fatti accertati mediante il programma Super Scout sono utilizzati per contestare alla lavoratrice la violazione dell’obbligo di diligenza sub specie di aver utilizzato tempo lavorativo per scopi personali (e non si motiva invece su una particolare pericolosità dell’attività di collegamento in rete rispetto all’esigenza di protezione del patrimonio aziendale)”
Di fatto, anche analizzando la successiva sentenza della Corte di Cassazione n° 2722/2012, sembra essere stato disegnato un regime in cui esistono controlli difensivi preventivi e reattivi nonché illeciti che si risolvono nel mero non lavoro e altri che pongono in essere anche una aggressione a un bene oggetto di tutela di titolarità dell’azienda. Quando ricorrono tali due condizioni (controllo reattivo a fronte di evidenze e aggressione a un bene tutelato e non solo mero non lavoro) per la Corte di Cassazione si può adottare una interpretazione meno rigida dell’art. 4 comma II Statuto dei Lavoratori, potendo evitare l’accordo sindacale, avendo dichiarato nell’ultimo caso citato che il “datore di lavoro aveva compiuto un accertamento ex post quando erano emersi elementi di fatto tali da raccomandare l’avvio di una indagine retrospettiva” che “il controllo difensivo non riguardava l’esatto adempimento delle obbligazioni discendenti dal rapporto di lavoro ma era destinato ad accertare un comportamento che metteva in pericolo la immagine del datore di lavoro” e quindi che “Tale situazione è già esclusa dal campo di applicazione dell’Art. 4 comma II Statuto dei Lavoratori”.
Ebbene, in questo contesto normativo e giurisprudenziale sono state rese disponibili una serie di nuove tecnologie che permettono, pur avendo quasi sempre una finalità di sicurezza, un controllo indiretto (preterintenzionale) del comportamento del lavoratore sul posto di lavoro. Si pensi in via esemplificativa ai sistemi di data loss prevention o ai sistemi MAM per i device mobili per i quali non esistono ancora pronunce giurisprudenziali di Cassazione ma rispetto ai quali occorre porsi la domanda della loro possibile installazione e della conseguente (o meno) applicabilità dell’obbligo di accordo sindacale che ad oggi, ad avviso dello scrivente, appare necessario.
Ebbene, la proposta di riforma in commento mira a fornire alcuni elementi di chiarezza.
Nel dettaglio la proposta di riforma, relativamente ai sistemi in ambito o non in ambito di obbligo di accordo sindacale, prevede che:
- “Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali”: l’elemento fondamentale della proposta di riforma è che viene inserita fra le finalità perseguite la “tutela del patrimonio aziendale”, non presente nell’attuale dizione normativa;
- “La disposizione di cui al primo comma non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze”: questo passaggio della proposta di riforma è senz’altro quello destinato a creare maggiori dubbi interpretativi. Infatti, se chiaramente vengono esclusi i sistemi di controllo accessi (dovendosi intendere gli accessi fisici ai locali e, interpretando in via estensiva la parola “accesso”, gli accessi logici ai sistemi informatici) e controllo presenze (così superando la sentenza della Corte di Cassazione n° 15892/2007 sopra richiamata) ad avviso dello scrivente restano in perimetro di accordo sindacale tutti i sistemi di controllo che non siano nativi dello strumento messo nella disponibilità del lavoratore o che comunque raccolgano informazioni ulteriori rispetto al mero “accesso” ai locali fisici o ai sistemi). Infatti la norma sembra applicarsi agli “strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa”, cioè un personal computer o un device mobile ma non invece alle apparecchiature, sistemi o strumenti che, gestiti dal datore di lavoro e che rappresentano un elemento in più “aggiunto” allo strumento, non nativo e non utilizzato per l’attività lavorativa, permettono il controllo indiretto dell’attività del lavoratore (o alcune operazioni effettuate come il cambio di SIM o lo scarico di APP o, elemento ancora più delicato, la spostamento geografico tramite sistemi di geolocalizzazione). In altre parole, ad avviso dello scrivente, un sistema di content filtering, un sistema di data loss prevention, un sistema MAM per device mobili continueranno, se la riforma passerà in questi termini, a essere oggetto di obbligo di accordo sindacale (e peraltro non avrebbe senso il contrario considerando la portata del primo comma visto che questi sistemi appaiono potenzialmente enormemente più invasivi rispetto a una telecamere).
- “Le informazioni raccolte ai sensi del primo e del secondo comma sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. 196”: occorre quindi rispettare, per poter utilizzare legittimamente le evidenze raccolte tramite i sistemi di controllo, l’obbligo informativo di cui all’art. 13 d.lgs 196/03 nonché quanto previsto dal Provvedimento dell’Autorità Garante per la protezione dei dati personali del primo marzo 2007 (adozione di un disciplinare interno redatto in forma non generica).
La portata della proposta di riforma, quindi, appare sicuramente rilevante in termini di chiarezza ma non rivoluzionaria in termini di contenuto anche considerando che, fermo il tema dell’articolo 4 Statuto dei Lavoratori, resta comunque da applicare in modo completo la normativa in materia di protezione dei dati personali che comunque pone vincoli non irrilevanti al potere datoriale di porre in essere attività di raccolta di dati personali tramite sistemi di controllo.
*Gabriele Faggioli è legale, Partners4Innovation, Presidente Clusit – Associazione Italiana per la Sicurezza Informatica
