Posta elettronica: contemperamento tra inviolabilità della corrispondenza privata e potere di controllo del datore di lavoro

Una lavoratrice dipendente nel settore della distribuzione al dettaglio aveva condiviso in una chat privata tra colleghi un video ripreso all’interno del punto vendita, raffigurante una cliente. L’impresa, venuta a conoscenza della condivisione, avviava un procedimento disciplinare, finalizzato al licenziamento per giusta causa sostenendo che la condotta integrava una violazione dell’obbligo di fedeltà e correttezza, un danno all’immagine aziendale ed un illecito trattamento di dati personali.

Analizziamo la fattispecie in oggetto dal punto di vista normativo e giurisprudenziale.

CONTESTO NORMATIVO

Come noto, la gestione delle e-mail dei dipendenti intreccia GDPR, CEDU e diritto del lavoro:indirizzi, contenuti e metadati diventano dati personali, il monitoraggio richiede basi giuridiche solide, trasparenza, DPIA, limiti temporali e strumenti meno invasivi per garantire business continuity senza azzerare la privacy.

L’utilizzo della posta elettronica e, in generale, di piattaforme digitali è divenuto lo strumento lavorativo “privilegiato” per lo svolgimento della prestazione lavorativa e per le comunicazioni all’interno delle organizzazioni aziendali.

In ragione di ciò, negli ultimi anni, la giurisprudenza e il Garante per la Protezione dei Dati

Personali (“Garante della Privacy”) hanno, di sovente, affrontato il tema relativo ai limiti di utilizzabilità da parte del datore di lavoro – ai più diversi fini – della corrispondenza privata del lavoratore.

Con l’entrata in vigore del c.d. Jobs Act, che ha modificato in senso più restrittivo l’art. 4 della l. 300/1970, si è stabilito che gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale non si applicano agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze.

In sostanza, dopo il cd. Jobs Act, gli elementi raccolti tramite tali strumenti possono essere utilizzati anche per verificare la diligenza del dipendente nello svolgimento del proprio lavoro, con tutti i risvolti disciplinari e di altra natura connessi.

Infatti, la giurisprudenza di legittimità maggioritaria (ad esempio, Cass. civ., n. 4746 del 2002; Cass. Civ., n. 32760 del 2021) ha affermato che “ai fini dell’operatività del divieto di utilizzo di apparecchiature per il controllo a distanza dell’attività dei lavoratori previsto dall’art. 4 della l. 300/1970 è necessario che il controllo riguardi (direttamente o indirettamente) l’attività lavorativa, mentre devono ritenersi certamente fuori dell’ambito di applicazione della norma sopra citata i controlli diretti ad accertare condotte illecite del lavoratore (cosiddetti controlli difensivi), quali, ad esempio, i sistemi di controllo dell’accesso ad aule riservate o gli apparecchi di rilevazione di telefonate ingiustificate.Il suddetto art. 4 sancisce il divieto di utilizzazione di mezzi di controllo a distanza sul presupposto che la vigilanza sul lavoro, ancorché necessaria nell’organizzazione produttiva, vada mantenuta in una dimensione “umana”, e cioè non esasperata dall’uso di tecnologie che possono rendere la vigilanza stessa continua e anelastica, eliminando ogni zona di riservatezza e di autonomia nello svolgimento del lavoro.

Lo stesso articolo, tuttavia, prevede che esigenze organizzative, produttive ovvero di sicurezza del lavoro possano richiedere l’eventuale installazione di impianti ed apparecchiature di controllo, dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori. In tal caso è prevista una garanzia procedurale a vari livelli, essendo la installazione condizionata all’accordo con le rappresentanze sindacali aziendali o con la rappresentanza sindacale unitaria.

In tal modo, come è stato evidenziato da Cass. civ., n. 15892 del 2007, il legislatore ha inteso contemperare l’esigenza di tutela del diritto dei lavoratori a non essere controllati a distanza e quello del datore di lavoro, o, se si vuole, della stessa collettività, relativamente alla organizzazione, produzione e sicurezza del lavoro, individuando una precisa procedura esecutiva e gli stessi soggetti ad essa partecipi.

Con la stessa sentenza, è stato però precisato che la “insopprimibile esigenza di evitare condotte illecite da parte dei dipendenti non può assumere portata tale da giustificare un sostanziale annullamento di ogni forma di garanzia della dignità e riservatezza del lavoratore”, per cui “tale esigenza” “non consente di espungere dalla fattispecie astratta i casi dei c.d. controlli difensivi ossia di quei controlli diretti ad accertare comportamenti illeciti dei lavoratori, quando tali comportamenti riguardino l’esatto adempimento delle obbligazioni discendenti dal rapporto di lavoro e non la tutela di beni estranei al rapporto stesso”.

In tale ipotesi si tratta, infatti, comunque di un controllo c.d. “preterintenzionale” che rientra nella previsione del divieto “flessibile” di cui all’art. 4 citato, comma 1.

Il comma 3 dell’art. 4 della l. 300 del 1970 sancisce che le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal d.lgs. 196/2003.

Innanzitutto, il comma 3 prevede che dev’essere fornita al lavoratore una informazione adeguata, nel senso che lo stesso deve essere portato a conoscenza della possibilità di essere assoggettato ai controlli, anche tecnologici, da parte del datore di lavoro.

Questa informazione deve inoltre riguardare anche le modalità e i limiti con cui essi vengono realizzati.

L’informativa si considera adeguata se determina la consapevolezza in capo al lavoratore circa il fatto che gli strumenti che utilizza per svolgere la propria attività lavorativa producono delle informazioni che possono essere conosciute e utilizzate dal datore di lavoro a fini disciplinari. Di conseguenza, è da considerarsi illecito un controllo posto in essere senza che il lavoratore sia stato preventivamente messo a conoscenza circa la possibilità e le modalità di questi controlli.In secondo luogo, il comma 3 prescrive il rispetto del d.lgs. 196/2003, c.d. codice privacy. Ciò significa che il controllo, che rappresenta una fase del trattamento dei dati personali, deve rispettare i principi dettati dalla normativa specifica prevista in materia di protezione di quei dati, ossia i principi di liceità, di correttezza, di necessità, di determinatezza della finalità perseguita, di pertinenza, di completezza, di non eccedenza.

Va sottolineato che la Grande Camera della Corte europea dei diritti dell’uomo si è pronunciata in materia di controllo nella sentenza n. 61496/08 del 05 settembre 2017 e ha sostenuto che il lavoratore deve essere informato della possibilità del monitoraggio e dell’adozione di misure di controllo, che l’informazione deve essere chiara e fornita preventivamente, che deve essere verificato il grado di intrusione nella privacy del lavoratore, devono sussistere ragioni oggettive capaci di giustificare il monitoraggio, devono essere verificate le conseguenze del monitoraggio e devono, infine, essere predisposte garanzie adeguate affinché il datore di lavoro non possa accedere a dati che non siano stati preventivamente oggetto di informativa sulle modalità di acquisizione.

Infine, per quanto riguarda le conseguenze derivanti dalla violazione del comma 3, dell’art. 4 della l. 300/1970 si rileva che la giurisprudenza costante afferma l’inutilizzabilità della prova acquisita in questo modo.

IMPLICAZIONI

Nella questione oggetto di approfondimento, è centrale la questione del licenziamento disciplinare fondato su comunicazioni private tra colleghi effettuate tramite strumenti digitali.

È di fondamentale importanza la distinzione tra strumenti “aziendali” e “personali” e non è sufficiente a determinare la liceità dell’acquisizione dei contenuti.

In mancanza di un’informativa chiara, di un consenso esplicito o di una previsione contrattuale, anche le comunicazioni effettuate tramite dispositivi aziendali possono rientrare nella tutela dell’articolo15, Costituzione.

L’art 2105 cod. civ., nel prevedere l’obbligo di fedeltà del lavoratore, non può essere invocato per sanzionare ogni forma di espressione privata. Secondo la Corte: uno scambio di battute critiche in una chat chiusa non costituisce violazione; una conversazione confidenziale tra colleghi non assume rilevanza disciplinare se non si traduce in una condotta pubblica; la divulgazione da parte di un terzo non ricade sotto la responsabilità del mittente originale.

Questo approccio tiene conto della ragionevolezza e della proporzionalità: due principi ormai essenziali per valutare la liceità di un provvedimento disciplinare.

RISOLUZIONE SECONDO NORMA

Come abbiamo avuto modo di delineare nel corso dell’approfondimento, è dunque imprescindibile, per le imprese che intendano operare in modo conforme alla normativa e al principio di legalità sostanziale, adottare un insieme di misure strutturate volte a delimitare chiaramente il perimetro della legittima azione disciplinare, nel rispetto dei diritti fondamentali del lavoratore, tra cui il diritto alla riservatezza e alla libertà di espressione tutelati dalla Costituzione e dal GDPR (Regolamento 2016/679/UE).In particolare, si individuano le seguenti direttrici operative:

1. tipizzazione dei comportamenti disciplinarmente rilevanti: è necessario che i codici disciplinari aziendali, allegati al contratto collettivo o regolamenti interni, distinguano in modo esplicito tra espressioni rese in contesti privati – quali chat interne tra colleghi – e affermazioni effettuate in ambienti pubblici o semi-pubblici, quali social media o blog, che possono avere un impatto reputazionale concreto sull’immagine aziendale. Tale distinzione dev’essere comunicata in modo trasparente ai lavoratori e costituisce un presupposto essenziale per l’effettiva imputabilità della condotta;

2. adozione di policy sull’uso degli strumenti digitali aziendali: le aziende devono dotarsi di regolamenti interni che disciplinino l’utilizzo di dispositivi, reti e applicativi aziendali. Tali policy devono contenere indicazioni precise circa i limiti di accesso e monitoraggio da parte del datore di lavoro, nel rispetto dell’articolo 4, St. Lav., il quale vieti controlli a distanza non previamente concordati con le rappresentanze sindacali o autorizzati dall’Ispettorato del lavoro;

3. formazione continua del personale: un’efficace strategia di prevenzione passa attraverso la sensibilizzazione dei lavoratori in materia di privacy, comunicazione digitale e responsabilità individuale. Attività formative periodiche – anche in modalità e-learning – consentono di ridurre il rischio di comportamenti inconsapevoli potenzialmente fonte di responsabilità disciplinare, rafforzando al contempo la cultura della conformità e dell’etica organizzativa;

4. garanzia di procedure disciplinari rispettose del contraddittorio e della legalità: le imprese devono assicurare che ogni provvedimento sanzionatorio sia preceduto da una contestazione chiara, tempestiva e circostanziata, in conformità con l’articolo 7, St. Lav., e che l’istruttoria disciplinare si fondi esclusivamente su elementi acquisiti in modo lecito e trasparente. L’utilizzo di contenuti provenienti da fonti private, se ottenuti in violazione dei diritti del lavoratore, è suscettibile di determinare la nullità del provvedimento.

RISOLUZIONE CASO PRATICO

Nella vicenda in oggetto, dunque, si riafferma il primato dei diritti fondamentali del lavoratore anche nella dimensione digitale, stabilendo che: il contenuto di una chat privata non può fondare di per sé un licenziamento; l’acquisizione non autorizzata delle comunicazioni configura una violazione autonoma; il potere sanzionatorio del datore deve essere esercitato in modo proporzionato e nel rispetto della normativa sulla privacy.

Tale assetto si inserisce in una linea giurisprudenziale ormai consolidata, che guarda con favore a un’interpretazione evolutiva delle garanzie lavoristiche, in grado di tenere conto delle trasformazioni tecnologiche e delle nuove vulnerabilità del lavoratore digitale. Il contenzioso futuro sarà chiamato a confrontarsi sempre più spesso con casi analoghi e sarà compito dei professionisti del settore individuare soluzioni coerenti con i principi fondativi dell’ordinamento