Il Garante Privacy stabilisce che non si possono controllare email e la navigazione web, meglio dispone dei limiti specifichi alle novità del Jobs Act, in base alle quali pc, smartphone sono strumenti informatici che l’impresa può utilizzare senza procedure sindacali.
Infatti il provvedimento dell’Autorità n.303 del 13 luglio 2016 raffigura di fatto la prima interpretazione autorevole delle modifiche all’articolo 4 dello Statuto dei Lavoratori previste dall’articolo 23 del dlgs 151/2015, attuativo del Jobs Act che ricordiamo, afferma «non è necessario alcun accordo né autorizzazione preventiva, e l’installazione dell’impianto o la dotazione dello strumento al dipendente è di per sé legittima, ricorrendone i requisiti di legge». Quindi ciò implica la possibilità di acquisire informazioni sull’attività dei lavoratori. Per i Consulenti del Lavoro, ai sensi del terzo ed ultimo comma del nuovo articolo 4 dello Statuto, le informazioni raccolte in conseguenza dell’installazione legittima di un impianto software possono essere utilizzate per qualsiasi fine connesso al rapporto di lavoro (anche per i rilievi di natura disciplinare). Al lavoratore deve comunque essere data adeguata informazione sulle modalità d’uso da parte dell’azienda degli strumenti tecnologici e sull’effettuazione di controlli, rispettando le indicazioni del codice privacy. Rammentiamo a questo proposito una posizione del Ministero del Lavoro, che ha chiarito: se il pc o lo smartphone o lo strumento di lavoro fornito al dipendente viene modificato (ad esempio, appunto con l’istallazione di appositi software di localizzazione o filtraggio) per controllare il lavoratore, si fuoriesce dall’ambito della disposizione perché «da strumento che serve al lavoratore per rendere la prestazione il pc, il tablet o il cellulare divengono strumenti che servono al datore per controllarne la prestazione»
Capiamo allora nello specifico di cosa tratta il provvedimento del Garante e quali sono i controlli dichiarati illeciti e leciti.
Controlli illeciti
Il Garante ha assicurato che indirizzi IP e MAC Address , che consentono l’identificazione univoca del pc tramite un sistema di numeri , sono da considerarsi dati personali. come anche la raccolta e conservazione dei file di log , relativi al traffico internet contenenti, tra gli altri, il MAC Address, l’indirizzo IP, le informazioni sull’accesso ai servizi web, sull’utilizzo della posta elettronica e sulle connessioni di rete. Viene dunque decretato che i software utilizzati per tali scopi non sono indispensabili per l’attività dei lavoratori, anche perchè operano in background con modalità non percepibili dall’utente.
Ricordiamo il fatto che non possono essere considerati strumenti di lavoro ma di controllo a distanza del dipendente, la registrazione sistematica dei dati relativi al MAC Address e i dati relativi alla connessione ai servizi di rete. Di conseguenza, è illecito il trattamento dei dati così raccolti.
Controlli leciti
Possono invece essere considerati leciti questi strumenti di lavoro”
- il servizio di posta elettronica offerto ai dipendenti (mediante attribuzione di un account personale);
- altri servizi della rete aziendale, fra cui anche il collegamento a siti internet;
- sistemi e misure che consentono il fisiologico e sicuro funzionamento della rete aziendale messa a disposizione del lavoratore (ad esempio: sistemi di logging per il corretto esercizio del servizio di posta elettronica, con conservazione dei soli dati esteriori, contenuti nella cosiddetta “envelope” del messaggio, per una breve durata non superiore comunque ai sette giorni; sistemi di filtraggio anti-virus che rilevano anomalie di sicurezza nelle postazioni di lavoro o sui server per l’erogazione dei servizi di rete; sistemi di inibizione automatica della consultazione di contenuti in rete inconferenti rispetto alle competenze istituzionali, senza registrazione dei tentativi di accesso);
- altri strumenti utili al conseguimento di una elevata sicurezza della rete aziendale: sistemi di protezione perimetrale, firewall, in funzione antintrusione e sistemi di prevenzione e rilevamento di intrusioni, IPS/IDS, agenti su base statistica o con il ricorso a sorgenti informative esterne.
