Il regime giuridico del BYOD nel settore privato: obblighi e responsabilità

Il BYOD (Bring Your Own Device), ovvero l’utilizzo di dispositivi elettronici personali da parte dei lavoratori per finalità lavorative, si colloca all’incrocio tra la disciplina della protezione dei dati personali, la normativa sui controlli a distanza, le regole in materia di sicurezza sul lavoro e le disposizioni in tema di organizzazione aziendale. Nel settore privato, la disciplina di riferimento si articola principalmente attorno all’articolo 4 della Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori), al Codice in materia di protezione dei dati personali, al Regolamento (UE) 2016/679 (GDPR) e alle indicazioni della giurisprudenza di legittimità e di merito. Per analogia, vengono richiamati anche i principi contenuti nell’articolo 12 del Codice dell’amministrazione digitale, pur normativamente riferiti alle pubbliche amministrazioni.

La distinzione fondamentale: strumento di lavoro o strumento di controllo a distanza?

Il primo nodo interpretativo che ogni datore di lavoro deve sciogliere prima di adottare un modello BYOD riguarda la qualificazione giuridica del dispositivo personale: si tratta di uno strumento utilizzato dal lavoratore per rendere la prestazione lavorativa, oppure di uno strumento dal quale derivi anche la possibilità di controllo a distanza?

La risposta non è indifferente. L’articolo 4 della Legge n. 300/1970 dispone espressamente che la disciplina autorizzatoria — che richiede accordo sindacale o autorizzazione dell’Ispettorato nazionale del lavoro — non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa. I dispositivi personali impiegati in regime BYOD rientrano in questa categoria, purché l’utilizzo sia finalizzato esclusivamente all’esecuzione della prestazione e non sia preordinato a un controllo a distanza dell’attività del lavoratore.

Il quadro cambia radicalmente qualora il datore di lavoro implementi, su quei dispositivi, sistemi di monitoraggio o di controllo: software di tracciamento, sistemi di logging, applicazioni di geolocalizzazione, soluzioni di Mobile Device Management con funzioni di sorveglianza. In questi casi si ricade nell’ambito applicativo dell’articolo 4, con la conseguente necessità di accordo sindacale o autorizzazione amministrativa e di informativa specifica ai lavoratori.

La giurisprudenza di legittimità ha precisato che la disciplina dei controlli a distanza si applica anche agli strumenti tecnologici che, pur essendo utilizzati dal lavoratore per rendere la prestazione, consentano al datore di lavoro un controllo ulteriore e non strettamente necessario all’esecuzione della prestazione stessa. Il confine non è sempre netto e la valutazione va condotta caso per caso, tenendo conto delle funzionalità concretamente attivate sul dispositivo.

Il quadro normativo

L’articolo 4, comma 3, della Legge n. 300/1970 stabilisce che le informazioni raccolte tramite strumenti di lavoro sono utilizzabili a tutti i fini connessi al rapporto di lavoro, ma a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli, nel rispetto della disciplina sulla protezione dei dati personali. La Cassazione (n. 4871/2020) ha chiarito che tale obbligo informativo non distingue tra informative rese prima o dopo l’entrata in vigore del D.Lgs. n. 151/2015: ciò che conta è che l’informativa sia idonea a rendere il lavoratore consapevole delle modalità di utilizzo e di controllo.

L’articolo 160-bis del Codice della privacy aggiunge una conseguenza processuale di rilievo: la validità, l’efficacia e l’utilizzabilità in giudizio di atti, documenti e provvedimenti basati su un trattamento di dati personali non conforme alle disposizioni di legge restano disciplinate dalle pertinenti disposizioni processuali. In altri termini, i dati raccolti illecitamente (perché mancava l’accordo sindacale, o perché il lavoratore non era stato adeguatamente informato) potrebbero essere inutilizzabili a fini disciplinari.

L’articolo 16 del D.Lgs. n. 51/2018 impone al titolare del trattamento di mettere in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, fin dalla fase di ideazione dei sistemi (privacy by design), garantendo che per impostazione predefinita siano trattati solo i dati strettamente necessari per ogni specifica finalità (privacy by default).

Gli adempimenti obbligatori per il datore di lavoro

Nel settore privato, l’adozione di modelli BYOD comporta i seguenti principali adempimenti:

• Qualificazione preventiva del dispositivo: valutare se l’utilizzo di dispositivi personali consenta un controllo a distanza dell’attività dei lavoratori, con conseguente applicazione della disciplina autorizzatoria dell’articolo 4 Statuto dei lavoratori.
• Accordo sindacale o autorizzazione dell’INL: stipulare un accordo con le rappresentanze sindacali aziendali o, in mancanza, ottenere l’autorizzazione dell’Ispettorato nazionale del lavoro per l’installazione di sistemi di monitoraggio sui dispositivi personali.
• Informativa trasparente e dettagliata: fornire ai lavoratori un’informativa chiara sulle modalità d’uso degli strumenti, sulle finalità e sulle modalità dei controlli, sulle misure di sicurezza adottate, in conformità all’articolo 13 GDPR. La mera affissione di un disciplinare generico non è sufficiente.
• Misure tecniche e organizzative adeguate: adottare misure idonee a garantire la sicurezza dei dati trattati tramite dispositivi personali, tenendo conto delle migliori pratiche e degli standard nazionali, europei e internazionali (art. 12 CAD; art. 16 D.Lgs. n. 51/2018).
• Policy BYOD: adottare un regolamento interno che disciplini in modo chiaro le condizioni di utilizzo dei dispositivi personali, le responsabilità degli utenti, le modalità di accesso alle risorse aziendali, le misure di sicurezza da rispettare e le conseguenze in caso di violazione.
• Autorizzazione preventiva all’utilizzo: individuare formalmente i soggetti legittimati all’uso di dispositivi personali e le tipologie di dati trattabili, come affermato dal Tribunale di Torino (n. 1561/2021).
• Valutazione d’impatto (DPIA): effettuare una valutazione d’impatto sulla protezione dei dati quando il trattamento presenta rischi elevati per i diritti e le libertà degli interessati, descrivendone i flussi, la necessità, la proporzionalità e le misure di mitigazione.
• Registro dei trattamenti: tenere un registro aggiornato dei trattamenti effettuati tramite dispositivi personali, con indicazione delle categorie di dati, delle finalità e delle misure di sicurezza adottate.
• Formazione del personale: formare adeguatamente i lavoratori sulle misure di sicurezza, sulle procedure di gestione dei dati e sui rischi connessi all’uso di dispositivi personali — perdita, furto, accesso non autorizzato.
• Consultazione sindacale ove necessario: prevedere, nei casi previsti dalla legge, la consultazione delle rappresentanze sindacali e l’adozione di accordi collettivi.

Le misure tecniche specifiche richieste

Le misure tecniche da adottare in regime BYOD devono essere almeno equivalenti a quelle previste per i dispositivi aziendali, con particolare attenzione alle specificità dei dispositivi personali. Il DPR n. 15/2018 (art. 25) richiama le misure minime di sicurezza che rappresentano ancora un riferimento consolidato per valutare l’adeguatezza delle scelte adottate. In concreto si richiede:

• Autenticazione forte: credenziali di autenticazione individuali, codice identificativo e password riservata modificata almeno ogni sei mesi (ogni tre mesi per dati sensibili o giudiziari), con disattivazione in caso di inutilizzo prolungato.
• Profili di autorizzazione limitati al necessario: accesso ai soli dati necessari per le operazioni di trattamento, con verifica periodica almeno annuale.
• Cifratura e pseudonimizzazione: obbligatorie per trattamenti di dati sensibili, biometrici, genetici o relativi alla salute, ai sensi dell’articolo 2-septies del Codice della privacy.
• Aggiornamento dei sistemi: aggiornamento periodico dei programmi di protezione (antivirus, firewall, sistemi di cifratura), almeno annualmente.
• Backup e ripristino: procedure per la custodia di copie di sicurezza e il ripristino della disponibilità dei dati entro i tempi imposti dalla normativa.
• Cancellazione sicura: in caso di dismissione o riutilizzo del dispositivo, procedure per la cancellazione sicura dei dati aziendali, rendendoli non intelligibili e tecnicamente non ricostruibili.
• Custodia del dispositivo: istruzioni per evitare che i dispositivi personali siano lasciati incustoditi e accessibili durante una sessione di trattamento.
• Audit periodici: verifiche sull’efficacia delle misure adottate, per individuare vulnerabilità e garantire la conformità (Trib. Milano n. 9157/2023).

La giurisprudenza sui controlli difensivi

La Cassazione (nn. 18168/2023 e 25732/2021) ha elaborato una distinzione rilevante tra controlli ordinari e controlli difensivi in senso stretto. I controlli difensivi (quelli diretti ad accertare specificamente condotte illecite ascrivibili, in base a concreti indizi, a singoli dipendenti) si situano al di fuori del perimetro applicativo dell’articolo 4 Statuto dei lavoratori, non avendo ad oggetto la normale attività del lavoratore. Anche in questo caso, tuttavia, devono essere rispettati limiti precisi:

• il controllo deve essere attivato in presenza di un fondato sospetto circa la commissione di un illecito;
• deve essere assicurato un corretto bilanciamento tra le esigenze di protezione degli interessi aziendali e la tutela della dignità e della riservatezza del lavoratore;
• il controllo deve riguardare dati acquisiti successivamente all’insorgere del sospetto, e non dati raccolti in via preventiva e generalizzata.

Un controllo che non rispetti queste condizioni (anche se tecnicamente riferito a un dispositivo personale) può risultare illecito, con conseguente inutilizzabilità dei dati raccolti a fini disciplinari. Il confine tra controllo difensivo legittimo e sorveglianza generalizzata illecita dipende dalle circostanze concrete del caso e va valutato con rigore.

Utilizzo senza autorizzazione: una condotta sanzionabile

Il Tribunale di Torino (n. 1561/2021) ha chiarito che l’utilizzo di dispositivi personali per finalità lavorative è consentito solo se espressamente autorizzato e regolamentato dal datore di lavoro. In assenza di autorizzazione, tale utilizzo costituisce violazione delle policy interne e può esporre il datore di lavoro a responsabilità per trattamenti illeciti o non conformi alla normativa sulla privacy. In quel caso, il Tribunale ha ritenuto legittima la sanzione disciplinare irrogata a un dipendente che aveva utilizzato una videocamera personale per finalità lavorative senza autorizzazione, evidenziando il rischio di trattamento illecito di dati.

Gli obblighi di collaborazione del lavoratore

Il rapporto BYOD non è a senso unico: anche il lavoratore è titolare di precisi obblighi. Ai sensi dell’articolo 20 del D.Lgs. n. 81/2008, il lavoratore che utilizza dispositivi personali per finalità lavorative è tenuto a prendersi cura della propria salute e sicurezza e di quella delle altre persone presenti sul luogo di lavoro, su cui ricadono gli effetti delle sue azioni o omissioni, conformemente alla sua formazione, alle istruzioni e ai mezzi forniti dal datore di lavoro. Deve osservare le disposizioni e le istruzioni impartite ai fini della protezione collettiva e individuale e utilizzare correttamente le attrezzature di lavoro e i dispositivi di sicurezza.

Sul versante privacy, la Cassazione (n. 33809/2021) ha precisato che la produzione in giudizio di documenti contenenti dati personali — inclusi quelli acquisiti tramite dispositivo personale — è consentita solo se necessaria per l’esercizio del diritto di difesa e nel rispetto dei principi di correttezza, pertinenza e non eccedenza.

Conclusione

Il BYOD nel settore privato è lecito e praticabile, ma presuppone una rigorosa osservanza delle regole in materia di controlli a distanza, protezione dei dati personali, sicurezza informatica e trasparenza nei confronti dei lavoratori. Il regime giuridico si fonda su un delicato bilanciamento tra le esigenze organizzative dell’impresa, la tutela del patrimonio aziendale, la protezione dei dati personali e la salvaguardia della dignità e della riservatezza dei lavoratori. In assenza di una governance adeguata (che comprenda policy interne, informative specifiche, misure tecniche proporzionate e, ove necessario, accordo sindacale) l’adozione di modelli BYOD può esporre il datore di lavoro a responsabilità civile, sanzioni amministrative del Garante e, cosa spesso sottovalutata, all’inutilizzabilità in sede disciplinare dei dati raccolti.