La modalità d'utilizzo della mail aziendale da parte di un lavoratore e la possibilità per questo di effettuare comunicazioni elettroniche extralavorative sul posto di lavoro sono temi che fanno sempre discutere e che vengono spesso portati all'attenzione delle massime Corti nazionali ed europee, la quali continuano a rivalutare la questione da diverse prospettive. Ultima tra tutte queste sentenze è una recente decisione della CEDU (giudizio 05/09/2017 su ricorso n. 61496/08).
I giudici, di volta in volta, sono portati a decidere quale interesse debba prevalere: se, da un lato, vada protetta maggiormente la segretezza della corrispondenza del prestatore di lavoro (tutelata costituzionalmente e a livello europeo) oppure, dall'altro lato, vada dato maggior rilievo all'interesse del datore di lavoro ad un corretto utilizzo dei servizi messi a disposizione dell'azienda per finalità prettamente lavorative.
Sebbene, fino alla pronuncia in questione, sia stato favorito maggiormente il datore di lavoro, il quadro generale sembrerebbe ora mutato: un monitoraggio incondizionato del lavoratore potrebbe violare, infatti, l'articolo 8 della Convenzione Europea per la Salvaguardia dei Diritti dell'Uomo (CEDU).
È necessaria una regolamentazione aziendale che consenta al lavoratore di proteggere maggiormente la propria privacy e di essere informato sulle modalità dei controlli, che non possono in alcun caso essere a sorpresa e a discrezione del datore.
Nell'articolo andrò ad analizzare il caso portato all'attenzione della Corte e le motivazioni che hanno portato a ribaltare le decisioni precedenti.
Il caso
Il caso in questione, svoltosi in Romania, riguarda il dipendente di una società privata che, su richiesta dei dirigenti della stessa, aveva creato un account Yahoo Messenger per facilitare le compravendite con i clienti.
La società, dopo qualche tempo, informava il dipendente di aver monitorato le sue comunicazioni e, di conseguenza, di aver rilevato che quest'ultimo utilizzava il proprio account per scopi non professionali: venivano, infatti, riscontrate comunicazioni private dello stesso con il fratello e con la fidanzata. Quest'utilizzo dell'account professionale violava le norme interne dell'azienda e, per tale motivo, il lavoratore veniva licenziato.
Il dipendente, però, si opponeva al licenziamento presentando apposito ricorso e adducendo, come motivazione di base, una violazione delle proprie comunicazioni private, tutelate dalla Costituzione e dall'articolo 8 della CEDU ("1. Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e della propria corrispondenza. 2. Non può esservi ingerenza di una autorità pubblica nell'esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria alla sicurezza nazionale, alla pubblica sicurezza, al benessere economico del paese, alla difesa dell'ordine e alla prevenzione dei reati, alla protezione della salute o della morale, o alla protezione dei diritti e delle libertà altrui.").
Le motivazioni del dipendente venivano rigettate sia in primo grado che in appello, in quanto i giudici ritenevano che il contenuto del regolamento aziendale fosse chiaro e che il monitoraggio fosse l'unica modalità idonea a rilevare il comportamento illecito.
Anche il suo successivo ricorso alla Corte Europea dei Diritti dell'Uomo veniva respinto in quanto, nonostante fosse stata rilevata una violazione dell'articolo 8 della Convenzione suddetta, si riteneva ragionevole l'utilizzo delle registrazioni all'interno di un procedimento disciplinare: il datore di lavoro poteva, dunque, a detta della Corte, ragionevolmente verificare se il dipendente svolgesse correttamente il proprio operato all'interno dell'orario lavorativo.
Contro tale pronuncia, tuttavia, il dipendente presentava ricorso presso la Grande Camera della Corte di Strasburgo (organo che analizza i casi più complessi), la quale ha ribaltato in modo netto l'esito delle precedenti sentenze.
A detta della Corte, infatti, vi è stata un'irragionevole violazione dell'articolo 8, in quanto le comunicazioni sul posto di lavoro rappresentano un'esplicazione del concetto di "vita privata" e nessun datore di lavoro può ridurre a zero la vita sociale e privata di un impiegato, neppure durante l'orario lavorativo.
Dunque, anche sul posto di lavoro, seppure con alcune restrizioni, bisogna rispettare la vita privata e la privacy del dipendente, che possono essere soltanto limitate ma non totalmente vietate.
Secondo la Corte, infatti, non è sufficiente che il dipendente sia a conoscenza del divieto imposto dall'azienda, ma è necessario che il lavoratore sia previamente informato della possibilità di monitoraggio delle proprie comunicazioni e delle modalità con cui questo controllo viene effettuato.
E', inoltre, necessario effettuare un bilanciamento tra privacy del dipendente e rischi per la società ed indicare quando, al verificarsi di determinati elementi di rischio, si possano effettuare determinati comportamenti: non si possono, cioè, utilizzare questi mezzi discrezionalmente, ma solamente come ultima soluzione utile.
Le specificazioni del Garante
Sul caso si è espresso anche il Garante per la protezione dei dati personali che in un'intervista ha specificato quando e in che misura il monitoraggio sulle comunicazioni private da parte del datore può essere ammesso.
In primo luogo, è necessario che il lavoratore venga informato da parte dell'azienda delle modalità d'uso prettamente professionali e non personali della mail e delle eventuali conseguenze disciplinari in caso di violazioni.
Il monitoraggio può, inoltre, essere utilizzato solamente per provare l'inadempimento contrattuale del lavoratore, senza che si effettui in alcun caso un sindacato sul contenuto delle comunicazioni: bisogna esclusivamente verificare se queste sono di carattere personale o professionale.
Infine, i controlli devono essere mirati nel tempo e nell'oggetto, dunque non incondizionati, e devono rispettare i principi di necessità, finalità, legittimità e correttezza, proporzionalità e non eccedenza del trattamento.
Da quanto esposto deriva che il monitoraggio deve essere utilizzato solo come mezzo estremo e residuale: ad esempio, per evitare di incorrere in virus all'interno del PC sarebbe preferibile bloccare le minacce preventivamente con appositi sistemi di protezione e non verificare, in seguito, attraverso il monitoraggio, da quale sito sia stata causata l'infezione.
Utile, a tal fine, potrebbe essere l'adozione di un'apposita progettazione preventiva degli strumenti tramite i quali effettuare i controlli per ridurre al minimo il rischio d'invasività del monitoraggio e di violazione della privacy dei dipendenti.