Posta elettronica aziendale del dipendente: condizioni di legittimità per l’accesso del datore di lavoro

di Avv. Giovanni Reho, Avv. Marco D’Andrea – L’accesso del datore di lavoro all’account di posta elettronica aziendale di un proprio dipendente è una questione che si colloca al crocevia tra il potere di controllo datoriale, la tutela del patrimonio aziendale e il diritto alla riservatezza del lavoratore.

La normativa e la giurisprudenza hanno delineato un quadro di condizioni rigorose che devono essere rispettate affinché tale accesso sia considerato legittimo.

La norma cardine è l’art. 4 dello Statuto dei Lavoratori (Legge n. 300/1970). Questo articolo distingue due categorie di strumenti:

1. Strumenti di controllo a distanza (art. 4, co 1):

Impianti audiovisivi e altri strumenti che consentono un controllo a distanza dell’attività lavorativa possono essere installati solo per specifiche esigenze (organizzative, produttive, sicurezza, tutela del patrimonio) e previo accordo sindacale o autorizzazione dell’Ispettorato del Lavoro.

1. Strumenti per l’esecuzione della prestazione lavorativa (art. 4, co 2):

Questa categoria, che include il computer e la casella di posta elettronica aziendale, è esclusa dal regime autorizzatorio del comma 1.

L’account e-mail è, infatti, considerato uno strumento utilizzato dal lavoratore per rendere la prestazione lavorativa.

Tuttavia, l’art. 4, co 3 del menzionato Statuto, stabilisce un presupposto fondamentale per l’utilizzabilità delle informazioni raccolte tramite entrambe le tipologie di strumenti, anche a fini disciplinari.

Ciò è possibile solo a due condizioni e ovvero che sia stata fornita al lavoratore adeguata informazione sulle modalità d’uso degli strumenti e di effettuazione dei controlli e che sia rispettata la normativa in materia di protezione dei dati personali (Regolamento UE 2016/679).

La prima condizione si traduce nella necessità per il datore di lavoro di adottare e comunicare efficacemente una policy aziendale che disciplini in modo trasparente e dettagliato l’uso degli strumenti informatici.

Tale policy deve specificare in modo chiaro e trasparente: (a) le modalità di utilizzo della posta elettronica aziendale e degli altri strumenti; (b) i limiti all’utilizzo per scopi personali; (c) le finalità e le modalità dei possibili controlli da parte del datore di lavoro; (d) la tipologia di dati che possono essere raccolti e i tempi di conservazione; (e) le sanzioni disciplinari applicabili in caso di violazione delle regole.

La giurisprudenza ha confermato che la pubblicazione della policy sulla intranet aziendale, l’invio tramite e-mail a tutti i dipendenti o la menzione sul cedolino paga costituiscono modalità idonee a garantire la conoscibilità da parte dei lavoratori. In assenza di una policy chiara e debitamente comunicata, i dati raccolti sono, di regola, inutilizzabili a fini disciplinari.

A questi obblighi si aggiungono quelli previsti dal Decreto Trasparenza, che impongono al datore di lavoro di informare i lavoratori sull’utilizzo di sistemi decisionali o di monitoraggio automatizzati nonché il rispetto dei principi del Regolamento UE 2016/679 (GDPR).

Si evidenzia inoltre che in caso di assenza del dipendente, l’accesso all’account dovrebbe avvenire solo se strettamente necessario per la continuità operativa, con modalità il meno intrusive possibile e, preferibilmente, informando il lavoratore.

Si segnala che in un quadro distinto e più restrittivo, la giurisprudenza ha elaborato la figura dei cosiddetti controlli difensivi in senso stretto, ovvero quelli finalizzati non a monitorare la prestazione, ma a tutelare il patrimonio aziendale o a reprimere condotte illecite.

Questi controlli sono ritenuti esterni al perimetro applicativo dell’art. 4, co 1, e quindi eseguibili senza le relative procedure, ma solo a condizioni estremamente rigorose.

In particolare, tali controlli devono originare (a) da un fondato sospetto sulla commissione di un illecito, basato su indizi concreti (b) devono essere effettuati “ex post”, nel senso che la raccolta dei dati deve iniziare solo dopo l’insorgere del sospetto (c) devono assicurare un corretto bilanciamento tra l’interesse datoriale e la tutela della dignità e riservatezza del lavoratore

Esiste, invece, un divieto assoluto per il datore di lavoro di accedere all’account di posta elettronica personale del dipendente, anche se questo viene consultato tramite strumenti aziendali. L’accesso alla corrispondenza privata è tutelato a livello costituzionale e penale.

Al momento della cessazione del rapporto, il datore di lavoro dovrebbe disattivare automaticamente l’account di posta elettronica aziendale del dipendente. Se fosse necessario recuperare contenuti professionali, tale operazione dovrebbe avvenire, se possibile, prima della cessazione del rapporto e in presenza del lavoratore stesso.

Avv. Giovanni Reho, Avv. Marco D’Andrea, rehoandpartners

Comments

comments