Lezione n. 12. Internet e posta elettronica in azienda: Vincoli al controllo

Transcript

1 Lezione n. 12 Internet e posta elettronica in azienda: Vincoli al controllo

2 Gli strumenti che consentono il Internet Registrazione dei log di accesso/connessione Registrazione dei log di navigazione Strumenti che impediscono l accesso a determinati siti Strumenti che impediscono l accesso a determinati siti e al contempo registrano i tentativi di accesso controllo Posta elettronica Registrazione dei dati dell e.mail (data, ora, mittente destinatario) Registrazione del contenuto dell e.mail Strumenti che impediscono il download di certi file Strumenti che impediscono la ricezione o l invio di e.mail che contengono determinate parole

3 Il diritto dell impresa al controllo del corretto utilizzo delle strutture e degli strumenti aziendali *Art cc L imprenditore è il capo dell impresa e da lui dipendono gerarchicamente i suoi collaboratori *Art cc L imprenditore è tenuto ad adottare nell esercizio dell impresa le misure, che secondo la particolarità del lavoro, l esperienza e la tecnica, sono necessarie a tutelare l integrità fisica e la personalità morale dei prestatori di lavoro *Art cc Il prestatore di lavoro ( ) deve osservare le disposizioni per l esecuzione e per la disciplina del lavoro impartite dall imprenditore e dai collaboratori di questo dai quali gerarchicamente dipende. *Art cc I padroni e i committenti sono responsabili per i danni arrecati dal fatto illecito dei loro domestici e commessi nell esercizio delle incombenze a cui sono adibiti. *Norme che impongono l adozione di misure di sicurezza dei sistemi (ad esempio la normativa in materia di computer crimes o quella a tutela della sicurezza dei dati personali)

4 Il diritto dell impresa Si rinviene nel nostro ordinamento, quindi, il diritto dell impresa: - a scegliere gli strumenti di lavoro del lavoratore, sempre nel rispetto della sua sicurezza - a controllarne l utilizzo

5 Sentenza Cassazione 18 febbraio 1997 n Lo statuto dei lavoratori non esclude il potere dell imprenditore, ex art e 2104 c.c., di controllare direttamente e mediante la propria organizzazione interna il corretto adempimento delle prestazioni lavorative e, quindi, di accertare mancanze specifiche dei dipendenti commesse o in corso di esecuzione, e ciò indipendentemente dalle modalità di controllo, che può avvenire anche in maniera occulta senza che vi ostino nè il principio di buona fede nell esecuzione dei rapporti, nè il divieto di cui all articolo 4 riferito esclusivamente all uso di apparecchiature per il controllo a distanza.

6 I limiti al potere di controllo Statuto dei lavoratori articolo 4 articolo 8 Per i lavoratori pubblici articolo 55 del decreto legislativo 29/93 che richiama lo Statuto dei lavoratori Normativa a tutela dei dati personali Normativa a tutela della corrispondenza

7 Statuto dei lavoratori: articolo 4 E vietato l uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dei lavoratori. Gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive, ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell attività dei lavoratori, possono essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede l ispettorato del lavoro dettando, ove occorra, le modalità per l uso di tali impianti.

8 Cosa stabilisce l articolo 4? Divieto assoluto di installazione ed uso di apparecchiature esclusivamente destinate al controllo dell attività dei lavoratori Divieto derogabile di installazione di apparecchiature che rispondono ad esigenze produttive, organizzative o di sicurezza e che rendono possibile il controllo dell attività dei lavoratori

9 Interpretazioni giurisprudenziali relative all articolo 4 Il divieto sussiste anche: quando il controllo è discontinuo, a meno che non si esaurisca nel momento in cui in cui il lavoratore consapevole si presti ad essere controllato (Trib. Milano ) quando i lavoratori sono stati preavvertiti (Cass del ) quando le apparecchiature siano state solo installate ma non siano ancora funzionanti (Cass del ) Il divieto non sussiste: (!) quando comporta il controllo della condotta illecita del dipendente e non l attività lavorativa svolta dal lavoratore (Cass del )

10 Condizioni alla deroga del divieto 1) Il sistema deve essere necessario per ragioni organizzative, produttive o di sicurezza del lavoro Per i lavoratori del settore privato: 2) Accordo con le rappresentanze sindacali o in mancanza con la commissione interna. Se non si raggiunge l accordo, il datore di lavoro può chiedere l intervento dell Ispettorato del lavoro Per i lavoratori del settore pubblico: 2) Delibera di Giunta, sentiti gli organismi rappresentativi dei dipendenti

11 Sentenza L'art. 4 della legge 20 maggio 1970 n. 300, che vieta il controllo a distanza dell'attività dei lavoratori, anche come mera possibilità di controllo ad insaputa del prestatore d'opera, disciplina distintamente le due ipotesi dell'impianto di apparecchiature finalizzate al controllo a distanza (primo comma) e di apparecchiature per fini produttivi, ma tali comunque da presentare la possibilità di fornire anche il controllo a distanza del dipendente. Mentre le apparecchiature di cui al primo comma sono assolutamente vietate, data la loro odiosità, il loro contrasto con i principi della costituzione ed il danno che possono arrecare alla stessa produttività del lavoratore, quelle di cui al secondo comma sono consentite soltanto a condizione che il datore di lavoro osservi quanto tassativamente previsto nello stesso comma secondo ed, eventualmente, dai successivi, senza che peraltro il lavoratore possa reagire al di fuori dei mezzi di tutela apprestati dallo stesso art. 4 citato. Cass. Sez. Lav., sent. n del ,

12 Statuto dei lavoratori: articolo 8 E fatto divieto al datore di lavoro, ai fini dell assunzione, come nel corso dello svolgimento del rapporto di lavoro, di effettuare indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell attitudine professionale del lavoratore.

13 Normativa a tutela dei dati personali Obbligo di informativa Consenso (quando richiesto o per il trattamento di dati sensibili) Autorizzazione del Garante per il trattamento di dati sensibili Rispetto dei principi di cui all articolo 3 di necessità del trattamento e all articolo 11 di pertinenza e non eccessività dei dati Artt. 113 e 114 TU Privacy

14 Articoli 113 e 114 TU Privacy art. 113 (Raccolta di dati e pertinenza) Resta fermo quanto disposto dall art. 8 della legge 300/70 art. 114 (Controllo a distanza) Resta fermo quanto disposto dall art. 4 della legge 300/70

15 Linee Guida del Garante su internet e posta elettronica nei rapporti di lavoro Definizione delle modalità d uso degli strumenti Definizione delle modalità di controllo Informativa ai lavoratori Sono vietati i trattamenti finalizzati al controllo del lavoratore ai sensi dello Statuto dei lavoratori

16 Normativa a tutela della corrispondenza Articolo 15 della Costituzione La libertà e la segretezza della corrispondenza e di ogni altra forma di comunicazione sono inviolabili ( ) Articoli 616 e 618 c.p.(estratto) E reato prendere cognizione del contenuto di una corrispondenza chiusa diretta ad altri, sottrarre una corrispondenza chiusa o aperta, distruggerla, rivelarne il contenuto. Per corrispondenza si intende anche quella informatica o telematica ovvero effettuata con ogni altra forma di comunicazione a distanza

17 Legittimità degli strumenti che consentono il controllo Sulla base delle considerazioni fatte, si verificano uno per uno gli strumenti che consentono il controllo del lavoratore e se ne individuano le condizioni perché il loro ricorso sia legittimo

18 Strumenti Registrazione dei log di connessione Registrazione dei log di navigazione Strumenti che impediscono l accesso a determinati siti Strumenti che registrano i tentativi di accedere ai siti vietati Art. 4 SL Internet Riferimento normativo rilevante Art. 4 SL decr. leg. 196/03 Art. 4 SL decr.leg. 196/03 Art. 8 SL decr.leg. 196/03 Art. 8 SL Condizioni di legittimità Accordo con i sindacati Informativa e consenso Accordo con i sindacati,informativa e Consenso Divieto Si tratta di strumenti legittimi se si limitano ad impedire l accesso Accordo con i sindacati,informativa e Consenso Divieto

19 Sentenza Tribunale Milano 14 giugno 2001 Integra gli estremi della giusta causa di licenziamento il comportamento di una dipendente che, al posto di svolgere la prestazione lavorativa, effettua per più giorni collegamenti Internet di circa due ore ciascuno come dimostrato dai dati del provider nonché dal fatto che le connessioni internet scompaiono quasi del tutto nei giorni di assenza della dipendente stessa.

20 Aspetti di rilievo della fattispecie 1. il servizio internet veniva fornito da un provider 2. in un primo periodo non vi era possibilità di rilevare quale computer fosse collegato alla rete. La prova viene desunta dalla coincidenza del venir meno dei collegamenti all assenza della lavoratrice dall ufficio 3. in un secondo periodo, il datore di lavoro chiede al provider di rilevare i collegamenti delle singole macchine. I log evidenziano che i collegamenti avvenivano dal computer della lavoratrice.

21 Questioni aperte la sentenza non pone il problema della legittimità della rilevazione dei log, anche perchè marginale rispetto alla vicenda (solo in un secondo tempo i dati di connessione sono associati a computer determinati e quindi a persone identificate) la fattispecie solleva però la questione della legittimità della rilevazione dei log da parte di un soggetto terzo, l internet provider.

22 Sentenza Cassazione del 13 settembre 2002 Può rinvenirsi la fattispecie del peculato d uso nel caso del dipendente pubblico che usi illegittimamente il telefono d ufficio, ricorrendone per fini privati oltre i margini della normale tolleranza

23 Aspetti di rilievo della fattispecie Rapporto tra PA e dipendente pubblico Il decreto del Ministro della funzione pubblica del 31 marzo 1994 stabilisce che "salvo casi eccezionali dei quali informa il dirigente dell ufficio, il dipendente non utilizza le linee telefoniche dell ufficio per effettuare chiamate personali". Le chiamate effettuate erano 64 in due mesi

24 Questioni aperte La sentenza nulla dice a proposito della legittimità della registrazione del numero e della durata delle telefonate. Sulla legittimità di tali registrazioni si è pronunciata la giurisprudenza meno recente che condiziona a quanto stabilito dall articolo 4 dello statuto dei lavoratori...

25 ...la legittimità delle registrazioni dei centralini telefonici l uso di un elaboratore con funzioni di centralino telefonico, quando in tal modo è possibile rilevare analiticamente i dati relativi a ogni singola telefonata effettuata dai dipendenti e quando è possibile per alcuni utenti inserirsi nelle telefonate di altri mediante la cosiddetta «intrusione» (Pretura Milano, 9 novembre 1984); l impiego di un centralino telefonico automatico atto a rilevare e a registrare, tramite una stampante, tutta una serie di dati, quali il numero dell apparecchio interno chiamante, il numero dell utente esterno, la data, l ora e il minuto d inizio, la durata e il numero degli scatti di ogni singola conversazione, e con possibilità di inclusione diretta in linea (Pretura Milano, 4 ottobre 1988); accordo con le rappresentanze sindacali

26 Sentenza Cassazione Sez. lav. 8259/00 il Tribunale di Verona, seguendo un iter argomentativo lineare e corretto, ha ritenuto l'inammissibilità dell'unico mezzo di prova dedotto dalla società a fondamento della propria domanda, ed avente il seguente tenore: " vero che a seguito dell'installazione di telecamera a circuito chiuso risultava che la responsabile degli ammanchi era la predetta G. L., come da fotogramma che si produce", Ciò. in quanto detto mezzo di prova, oltre ad essere formulato in maniera generica ed implicante un giudizio non consentito ai testi, era diretto a fornire la dimostrazione di u fatto mediante uno strumento, il cui impiego per finalità di controllo a distanza dell'attività dei lavoratori era espressamente vietato dall'art. 4 statuto dei lavoratori. Detto art. 4, infatti, sancisce, al suo primo comma, il divieto di utilizzazione di mezzi di controllo a distanza, tra i quali, in primo luogo, gli impianti audiovisivi, sul presupposto - espressamente precisato nella "Relazione ministeriale" - che la vigilanza sul lavoro, ancorché necessaria nell'organizzazione produttiva, vada mantenuta in una dimensione "umana", e cioè non esasperata dall'uso di tecnologie che possono rendere la vigilanza stessa continua e anelastica, eliminando ogni zona di riservatezza e di autonomia nello svolgimento del lavoro. Lo stesso articolo, tuttavia, al secondo comma, prevede che esigenze organizzative, produttive ovvero di sicurezza del lavoro possano richiedere l'eventuale installazione di impianti ed apparecchiature di controllo, dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori. In tal caso è prevista una garanzia procedurale a vari livelli, essendo la installazione condizionata all'accordo con le rappresentanze sindacali aziendali o con la commissione interna, ovvero, in difetto, all'autorizzazione dell'ispettorato del lavoro. In tal modo il legislatore ha inteso contemperare l'esigenza di tutela del diritto dei lavoratori a non essere controllati a distanza e quello del datore di lavoro, o, se si vuole, della stessa collettività,. relativamente alla organizzazione, produzione e sicurezza del lavoro, individuando una precisa procedura esecutiva e gli stessi soggetti ad essa partecipi.

27 Sentenza Cassazione 4746 del 3 aprile 2002 Ai fini della operatività del divieto di utilizzo di apparecchiature per il controllo a distanza dell attività dei lavoratori ex art. 4 legge 300/70, è necessario che il controllo riguardi l attività lavorativa, mentre devono ritenersi certamente fuori dall ambito di applicazione della norma i controlli diretti ad accertare condotte illecite del lavoratore (cd controlli difensivi) quali, ad esempio, i sistemi di controllo dell accesso ad aree riservate o, appunto, gli apparecchi di rilevazione di telefonate ingiustificate.

28 Questioni aperte La sentenza esclude l applicazione dell articolo 4 ai cosiddetti controlli difensivi, quelli volti a rilevare i comportamenti illeciti. Così facendo, però, pare consentire anche i controlli sui comportamenti leciti. Il che è in evidente contrasto con l articolo 4 che dice è vietato l uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dei lavoratori (...) Se il ragionamento della Cassazione fosse coerente, quando troverebbe applicazione l articolo in questione?

29 Corte dei conti sez. Piemonte 1856/03 Per quanto concerne la prima censura, incentrata sul divieto di utilizzare, da parte del datore di lavoro, impianti audiovisivi ed altre apparecchiature finalizzate a svolgere un controllo a distanza dei lavoratori, con conseguente violazione della normativa a tutela della privacy, questi Giudici ritengono che la stessa debba essere disattesa. Il Collegio, infatti, non ravvisa nell'operato del Comune di Arona alcun comportamento invasivo preordinato al controllo recondito dell'attività del proprio dipendente, ma semplicemente l'impiego, con verifiche svolte ex post, di un tipo di software in uso a molte Pubbliche Amministrazioni in grado di registrare i dati inerenti agli accessi degli utenti collegati alla rete, non solo per finalità di repressione di comportamenti illeciti, ma anche per esigenze statistiche e di controllo della spesa. Del resto, non risulta che i controlli siano stati concomitanti all'attività lavorativa dell'odierno convenuto, ma sono stati disposti soltanto a posteriori, in funzione di significative e ripetute anomalie rappresentate da incursioni di virus provenienti da siti non istituzionali; l'utilizzabilità e l'efficacia nel presente giudizio dell'intero materiale probatorio raccolto, quindi, non può essere, ad avviso di questi Giudici, posta in discussione. Sulla specifica questione, il Collegio non condivide le conclusioni prospettate dalla difesa, relativamente all'asserita possibilità per la quale chiunque avrebbe potuto navigare in internet con il p.c. in dotazione all'odierno convenuto e la password avrebbe potuto essere conosciuta da altri soggetti, quali gli addetti al C.E.D., sul rilievo che, se ciò non si può certamente escludere in via di fatto, residua, tuttavia, un comportamento negligente, inescusabile e gravemente colposo del Dr. R.M., il quale, per sua espressa ammissione, si allontanava dal proprio ufficio per diverse ore al giorno lasciando il locale aperto ed il p.c. acceso, incustodito e con la parola chiave inserita. Il contegno serbato con sistematicità dal citato Dirigente, connotato dal mancato esercizio di quelle minime, possibili e semplici cautele procedimentali che la situazione richiedeva, da considerarsi oltremodo censurabile, poiché posto in essere da una figura lavorativa che ricopriva un ruolo di vertice nell'organigramma dell'ente locale, depone a favore di una diretta imputabilità del danno, sotto il profilo eziologico, all'odierno convenuto.

30 Corte di Appello di Milano, 30 settembre 2005 I programmi informatici che consentono il monitoraggio della posta elettronica e degli accessi ad internet violano, da un lato, l'art. 8 dello Statuto dei Lavoratori, posto che il monitoraggio e la conservazione per un certo lasso di tempo dei dati acquisiti può concretare trattamenti dei dati sensibili che consentono al datore di lavoro di acquisire indicazioni sulle "opinioni politiche, religiose o sindacali" del singolo dipendente o, più in generale, su altri interessi fatti estranei alla sfera "dell'attitudine professionale" cui l'art. 8 rigorosamente limita il diritto d'indagine del datore; dall'altro, l'art. 4 dello stesso Statuto, ove non sia attivata la procedura prevista per l'istallazione delle apparecchiature necessarie per soddisfare esigenze aziendali di cui al comma 2, posto che certamente sono strumenti idonei ad attuare un controllo a distanza dell'attività dei lavoratori.

31 Provvedimento del Garante del 14 febbraio 2006 Proporzionalità nei controlli effettuati dal datore di lavoro. Il Garante privacy ha vietato a una società l'uso dei dati relativi alla navigazione in Internet di un lavoratore che, pur non essendo autorizzato, si era connesso alla rete da un com puter aziendale. Il datore di lavoro, dopo aver sottoposto a esame i dati del computer, aveva accusato il dipendente di aver consultato siti a contenuto religioso, politico e pornografico, fornendone l'elenco dettagliato. Per contestare l'indebito utilizzo di beni aziendali, afferm a il Garante nel suo provvedim ento, sarebbe stato in questo caso sufficiente verificare gli avvenuti accessi a Internet e i tem pi di connessione senza indagare sui contenuti dei siti. Altri tipi di controlli sarebbero stati proporzionati rispetto alla verifica del com portam ento del dipendente

32 Posta elettronica Strumenti Registrazione dei dati di e.mail (data,mittente destinatario) Registrazione del contenuto dell e.mail Strumenti che impediscono la ricezione di certi file Strumenti che impediscono la ricezione di e.mail che contengono determinate parole Riferimento normativo rilevante Art. 4 SL Decr. leg. 196/03 Artt. 616 e 618 cp Art. 8 SL Condizioni di legittimità Accordo con i sindacati Informativa e consenso Attenzione: tutela dei terzi Divieto (?) Si tratta di strumenti legittimi se si limitano a fare quanto indicato (?) Si tratta di strumenti legittimi se si limitano a fare quanto indicato (?)

33 Sentenza Corte Costituzionale 81/93 l'ampiezza della garanzia apprestata dall'art. 15 della Costituzione alle comunicazioni che si svolgono tra soggetti predeterminati entro una sfera giuridica protetta da riservatezza è tale da ricomprendere non soltanto la segretezza del contenuto della comunicazione, ma anche quella relativa all'identità dei soggetti e ai riferimenti di tempo e di luogo della comunicazione stessa.

34 La posta aziendale è tutelata anche nei cfr del datore di lavoro? Il datore di lavoro è tenuto a conservare (e quindi conoscere) la corrispondenza aziendale (art codice civile) ha quindi diritto di accedere alla mail box aziendale per conoscere la corrispondenza aziendale ma se in essa è conservata anche la corrispondenza personale?

35 Ordinanza Tribunale Milano GUP 10 maggio 2002 L accesso da parte di terzi alla casella di posta elettronica aziendale in uso al lavoratore sebbene protetta da codici identificativi, non costituisce violazione della sfera privata del lavoratore, non essendo in tal caso configurabile un diritto all utilizzo esclusivo e privato.

36 Aspetti di rilievo della fattispecie Durante un periodo di assenza per ferie della dipendente, la sua responsabile entra nella casella di posta allo scopo dichiarato di accedere alle e. mail relative alla clientela In quell occasione, rileva come la dipendente ricevesse e inviasse anche e.mail attinenti progetti estranei all attività lavorativa Per tale ragione, il datore di lavoro procede al licenziamento della dipendente

37 Questioni aperte Punti salienti della ordinanza la funzione svolta dagli identificativi è solo quella di proteggere i predetti strumenti dall accesso di persone estranee alla società. Infatti, si dice, è consentito lo scambio di password Il riferimento alla normativa a tutela dei dati personali è inconferente con la questione La casella di posta elettronica è da considerarsi equiparata ai normali strumenti di lavoro dell impresa e quindi in uso ai dipendenti per le sole attività aziendali Aspetti problematici Lo scambio di password non è ammesso dal dpr 318/99 Affermazione apodittica. La questione non è affrontata dall ordinanza In quanto strumenti di lavoro, si pone il problema del controllo a distanza del lavoratore, che l ordinanza non affronta

38 Tribunale di Torino15 settembre 2006 Le attrezzature lavorative tra cui quelle informatiche devono considerarsi direttamente correlate alla funzione del soggetto che rappresenta l impresa e solo in via mediata si considerano assegnate al singolo dipendente. L indirizzo di posta elettronica aziendale, al di là dell uso solo apparentemente personale da parte del dipendente quale principale utilizzatore aziendale, può sempre essere a disposizione di soggetti diversi, appartenenti alla stessa impresa. Anche se nell estensione dell indirizzo di posta elettronica compare il nome del dipendente che procede all invio, i messaggi inviati attraverso l e. mail aziendale rientrano nel normale scambio di corrispondenza che l impresa intrattiene. Pertanto, in caso di accesso alla casella di posta elettronica aziendale del dipendente da parte dell impresa, non può ravvisarsi una violazione dell art. 616 c.p. Non sussiste infatti un diritto esclusivo del lavoratore ad accedere al proprio computer aziendale e a utilizzare in via esclusiva e riservata la propria casella di posta elettronica aziendale

39 L utilizzo di strumenti che impediscono la ricezione di determinati file o di determinati messaggi Alcune questioni: 1. è legittimo impedire la ricezione di determinati messaggi? 1. diritto dell impresa a regolare l uso dello strumento 2. divieto di sottrarre la corrispondenza 2. è legittimo accedere alla corrispondenza per verificare la presenza di determinate parole o determinati contenuti? 1. divieto dell impresa a regolare l uso dello strumento 2. divieto di accedere al contenuto della corrispondenza 3. l accesso è effettuato da un software (non direttamente dal datore lavoro)

40 L accesso alla posta da parte del provider Working Party 29, Opinion n. 2 del Screening dell e. mail a protezione dei virus Legittimo a tutela della sicurezza del sistema a condizione che: Il contenuto dell e degli allegati rimanga segreto Se il virus viene individuato, il software deve dare adeguate garanzie di confidenzialità; Se viene effettuato lo scanning del contenuto, deve essere fatto in modo automatico e solo per quello scopo Screening dell e. mail per evitare lo spamming Legittimo a tutela della sicurezza del sistema. Si suggerisce: Di dare agli utenti la possibilità di scegliere o meno il servizio antispam (che tipo etc.); Di dare agli utenti la possibilità di installare il filtro antispam direttamente presso il loro terminale Screening dell e. mail per evitare contenuti predeterminati Non giustificato a tutela della sicurezza del sistema