I software di monitoraggio dell’attività dei dipendenti (keylogger, sistemi di logging della navigazione internet, applicazioni di tracciamento della produttività) sono strumenti sempre più diffusi nelle aziende. La loro legittimità, tuttavia, è subordinata al rispetto di precisi obblighi informativi e procedurali. Il mancato rispetto di queste regole ha conseguenze gravi, prima tra tutte l’inutilizzabilità dei dati raccolti.

L’obbligo informativo: cosa deve sapere il lavoratore

L’obbligo informativo non si esaurisce in una generica comunicazione, ma richiede che il lavoratore sia messo in condizione di conoscere in modo chiaro, preventivo e trasparente: quali strumenti sono utilizzati per il monitoraggio; quali dati vengono raccolti; le modalità di funzionamento dei software; le finalità specifiche del trattamento dei dati; le modalità di esercizio dei diritti previsti dalla normativa privacy.

La Cassazione (n. 18168/2023) ha ribadito che il datore di lavoro deve dimostrare di aver effettivamente portato a conoscenza del lavoratore sia la possibilità che le comunicazioni effettuate tramite strumenti aziendali possano essere monitorate, sia la natura, la portata e il livello di invasività del monitoraggio. La mera pubblicazione di un disciplinare interno non è sufficiente se non contiene regole dettagliate sulla conservazione e il trattamento dei dati raccolti e se non è accompagnata da un’informativa ai sensi dell’art. 13 GDPR (Corte d’Appello Roma n. 4371/2023).

L’accordo sindacale o l’autorizzazione amministrativa

L’installazione di impianti e sistemi di controllo è subordinata a un accordo collettivo con le rappresentanze sindacali o, in mancanza, a un’autorizzazione dell’Ispettorato nazionale del lavoro. Questa procedura non riguarda gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa, come il computer o il telefono aziendale, ma si applica ai sistemi di monitoraggio aggiuntivi.

La DPIA per i sistemi di monitoraggio

Quando il trattamento, per l’uso di nuove tecnologie e per la sua natura, presenta un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento deve effettuare una valutazione d’impatto (DPIA) prima di procedere al trattamento. Il criterio della ‘larga scala’ e del ‘trattamento sistematico’ sono indicatori del rischio. La DPIA deve contenere una descrizione del trattamento, una valutazione della necessità e proporzionalità, una stima dei rischi e le misure adottate per mitigarli.

L’inutilizzabilità dei dati raccolti illegittimamente

La conseguenza più rilevante del mancato rispetto degli obblighi informativi e procedurali è l’inutilizzabilità dei dati raccolti a fini disciplinari. La Cass. n. 18168/2023 e la Corte d’Appello di Roma (n. 4371/2023) hanno confermato questo principio. Questo significa che un datore di lavoro che ha installato un sistema di monitoraggio senza accordo sindacale o senza informativa adeguata non potrà utilizzare i dati così raccolti per sostenere un procedimento disciplinare, anche se quei dati provano effettivamente una condotta illecita del dipendente.

Il divieto di sorveglianza continua e generalizzata

La Corte Costituzionale (n. 164/2022) ha sottolineato che la disciplina dei controlli a distanza è espressione di un bilanciamento tra le esigenze dell’impresa e la tutela della dignità e libertà del lavoratore, e che ogni deroga deve essere interpretata restrittivamente. La giurisprudenza ha chiarito che il controllo a distanza non può mai tradursi in una sorveglianza costante e generalizzata che annulli ogni spazio di riservatezza e autonomia del lavoratore. L’uso di software di monitoraggio che consenta un controllo continuo, dettagliato e non selettivo dell’attività lavorativa è stato ritenuto illegittimo, anche in presenza di esigenze organizzative, se non accompagnato da adeguate garanzie e limitazioni.