Utilizzo della posta elettronica e di Internet nei luoghi di lavoro: le linee guida del Garante per la protezione dei dati personali

Transcript

1 Utilizzo della posta elettronica e di Internet nei luoghi di lavoro: le linee guida del Garante per la protezione dei dati personali Seminario 3 maggio 2007 Relazione di Lia Giannotta (Garante per la protezione dei dati personali) Schema 1. Introduzione. Nuove tecnologie sul luogo di lavoro. La vita privata tutelabile è anche quella che si svolge all interno del luogo di lavoro: art. 8 della Convenzione europea per la salvaguardia dei diritti dell uomo e delle libertà fondamentali. Corte europea dei diritti dell uomo (Niemitz contro Germania, 16 dicembre 1992, n /88; Halford contro Regno Unito, 25 giugno 1997, n /92; Copland contro Regno Unito, 3 aprile 2007 n /00). art. 2 della Costituzione repubblicana. Codice in materia di protezione dei dati personali (D.Lgs. 30 giugno 2003, n. 196). Prima scomposizione del provvedimento del Garante del 1 marzo Il richiamo alla L. 20 maggio 1970, n. 300 (Statuto dei lavoratori): artt. 113, 114 e 184, comma 3, Codice privacy. Essenziale partizione dei trattamenti di dati personali dei lavoratori effettuati per verificare il corretto utilizzo di posta elettronica e Internet nel rapporto di lavoro: riconducibilità al primo o secondo comma, art. 4, 1

2 Statuto dei lavoratori. Divieto di utilizzare sistemi preordinati all analisi sistematica dei messaggi di posta elettronica e della navigazione in Internet. Sistemi che comportano un controllo c.d. preterintenzionale. Particolare procedura prevista dal comma 2 dell art. 4: accordo con le rappresentanze sindacali aziendali oppure istanza all Ispettorato del lavoro. Principi generali in materia di protezione dei dati personali (art. 11 del Codice) applicabili: trasparenza (inammissibilità di controlli occulti), necessità (minimizzare per quanto possibile l utilizzo di dati personali del lavoratore), proporzionalità e pertinenza (graduazione dei controlli). Contenuto formale del dispositivo: divieto, prescrizioni, linee guida. 2. Cornice giuridica. Testi normativi a livello nazionale. Un quadro normativo che presenta alcune incertezze. Principi applicabili devono essere tratti da: Art. 15 Cost. Art. 616 c.p. Violazione, sottrazione e soppressione della corrispondenza. Art. 49, D.Lgs. 7 marzo 2005 n. 82, Codice dellʹamministrazione digitale, Segretezza della corrispondenza trasmessa per via telematica. L. 20 maggio 1970, n. 300 (Statuto dei lavoratori) artt. 4 e 8. Codice in materia di protezione dei dati personali (D. Lgs. n. 196/2003). Norme del codice civile: artt. 2086, 2087, 2104, 2105 e Allegato VII, par. 3, D. Lgs. 19 settembre 1994, n. 626 e succ. mod. in materia di sicurezza sul lavoro. L elemento di novità è costituito dalla disciplina sulla protezione dei dati personali che deve essere coordinata con la normativa di settore. Ulteriore elemento innovativo è l inserimento di un nuovo soggetto istituzionale, il Garante per la protezione dei dati personali, nella trattazione delle materie lavoristiche. Testi normativi adottati a livello sopranazionale. 2

3 In ambito comunitario e internazionale principi applicabili devono essere tratti da: - Convenzione per la salvaguardia dei diritti dell uomo e delle libertà fondamentali, 4 novembre 1950, art. 8 Ogni persona ha diritto al rispetto della sua vita privata e familiare, del suo domicilio e della sua corrispondenza. - Convenzione sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale, Strasburgo 28 gennaio 1981, n Direttiva 95/46/CE relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati. - Direttiva 2002/58/CE che istituisce un quadro normativo comune per le reti e i servizi di comunicazione elettronica (spec. artt. 5 sulla riservatezza della comunicazioni e 6 sui dati di traffico). Documenti adottati nel contesto sopranazionale. - Consiglio d Europa, Recommendation No. R(89) 2 on the protection of personal data used for employment purposes (18 gennaio 1989). - Gruppo di lavoro articolo 29, parere 8/2001 sul trattamento dei dati nel contesto lavorativo, 13 settembre Gruppo di lavoro articolo 29, Documento di lavoro riguardante la vigilanza sulle comunicazioni elettroniche sul posto di lavoro, WP 55, 29 maggio Commissione europea, Consultation on data protection, Second stage consultation with the Community social partners on the protection of personal data in the employment context (31 ottobre 2002). Il dibattito internazionale su nuove tecnologie e rapporto di lavoro. - Regno Unito, Information Commissioner, The Employment Practices Code, 2005; - Francia, Commission nationale de l informatique et des libertés, La cybersurveillance sur les lieux de travail, 2004; 3

4 - Olanda, Dutch Data Protection Authority, Working Well in Networks: Guidelines for monitoring e mail and employees use of Internet, 2002; - Belgio, Commission de la protection de la vie privée, Parere 10/2000, Avis dʹinitiative relatif à la surveillance par l employeur de l utilisation du système informatique sur le lieu de travail, Il provvedimento generale del Garante su Internet e e mail in azienda. Delimitazione dell ambito del provvedimento. Reciproci diritti e doveri di lavoratori e datori di lavoro: definizione delle modalità di uso degli strumenti aziendali, diritto di verificare che non si verifichino abusi. Diritto del lavoratore (e dei terzi) ad una sfera di riservatezza anche nelle relazioni professionali. Trasparenza. Il principio di trasparenza: contenuto. Principio di correttezza. Gli artt. 11, comma 1, lett. a) e b) (i dati devono essere raccolti e registrati per scopi determinati, espliciti e legittimi) e 13 Codice privacy. Art. 4, comma 2, l. n. 300/1970; Paragrafo 3, Allegato VII, D. Lgs. n. 626/1994 e succ. mod. Punto 3 della Raccomandazione n. R(89)2 del Consiglio d Europa. Gruppo art. 29, Opinion n. 8/2001 Wp 48, punto 9.1; Wp 55, punto Disciplinare interno. Possibile contenuto. a) comportamenti non tollerati rispetto alla navigazione in Internet; b) eventuale possibilità di utilizzare posta elettronica e Internet per fini personali oltre che per fini professionali (l eventuale uso moderato all interno del luogo di lavoro); c) quali informazioni relative all utilizzo di posta elettronica e Internet vengono memorizzate ed eventualmente conservate e chi può accedervi; d) quali controlli vengono effettuati sull uso dei mezzi, per quali finalità e con quali modalità; 4

5 e) quali conseguenze vengono ricollegate all abuso dei mezzi, anche sul piano disciplinare; f) quali soluzioni adottate per garantire la continuità dell attività lavorativa in caso di assenza del lavoratore; g) misure particolari adottate a garanzia di figure professionali tenute al segreto professionale (es. giornalisti e protezione delle fonti); h) prescrizioni sulla sicurezza. Non ogni attività di controllo sul corretto utilizzo dei mezzi di lavoro può ritenersi lecita solo perché dichiarata e resa nota ai lavoratori. Necessità e proporzionalità. Art. 3 Codice privacy: i sistemi informativi e i programmi informatici devono essere configurati riducendo al minimo lʹutilizzazione di dati personali e di dati identificativi in relazione alle finalità perseguite. Art. 11, comma 1, lett. d) Codice privacy: I dati trattati devono essere pertinenti e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati. La graduazione dei controlli. Inammissibilità di controlli prolungati, costanti o indiscriminati. Misure di tipo organizzativo: individuare esattamente quali sono i lavoratori cui è consentito l accesso a Internet e l uso della posta elettronica. Misure di tipo tecnologico: I. rispetto alla navigazione in Internet. L art. 8 dello Statuto dei lavoratori. Misure tecnologiche preventive: liste di siti correlati con l attività lavorativa; 5

6 liste di siti cui non è concesso l accesso, oppure filtri che impediscano determinate operazioni (download di file multimediali o programmi); trattare i dati per quanto possibile in forma anonima o aggregata (es. trattamento di file di log relativi ad un numero ampio di lavoratori dipartimento o reparto); conservare i dati solo per il tempo necessario per realizzare finalità organizzative o produttive o di sicurezza. II. rispetto alla posta elettronica. Problema di fondo: identificazione del destinatario della posta elettronica. Risposta definitiva potrebbe venire solo dal legislatore. Possibile lesione di diritti di terzi. Suggerimenti del Garante: - utilizzare, dove utile e possibile, indirizzi di posta elettronica condivisi; - valutare la possibilità di attribuire al lavoratore un diverso indirizzo destinato ad uso privato; - consentire l utilizzo di sistemi di risposta automatica che il lavoratore può attivare in caso di assenza programmata, che rinviino alle coordinate di altro soggetto; - se, in caso di assenza prolungata e improvvisa e per improrogabili necessità legate all attività lavorativa, sia necessario conoscere il contenuto di e mail, il lavoratore può essere messo in grado di delegare un proprio collega (fiduciario) incaricato di aprire i messaggi; - a tutela dei terzi, nei messaggi potrebbe essere inserito un avviso sulla eventuale natura non personale del messaggio stesso, precisando se le risposte potranno essere conosciute anche da soggetti diversi dal destinatario. Ulteriori punti del provvedimento. a) Conservazione dei dati: temporanea e programmata in modo tale da cancellare periodicamente i dati trattati. Alcune eccezioni. b) Criterio di legittimazione del trattamento e bilanciamento degli interessi. c) Attività degli amministratori di sistema e dei soggetti preposti alla manutenzione dei sistemi informatici: accorgimenti e cautele. 6

7 4. Casi applicativi su Internet e e mail in azienda. I provvedimenti del Garante per la protezione dei dati personali adottati precedentemente al marzo Comunicato 12 luglio 1999, Bollettino n. 9/1999, p. 96, doc. web n (equiparazione alla posta elettronica dei messaggi inviati ai newgroup). Provv. 29 aprile 2004, in Boll. gennaio/maggio 2004; doc. web n (Videosorveglianza. Richiamo dell art. 4, Statuto dei lavoratori): punti 2 e 4.1. Provv. Garante 5 ottobre 1998, in Boll. n. 6, p. 101, doc. web n Provv. 17 febbraio 2005, doc. web n Provv. 2 febbraio 2006, doc. web n ( navigazione in Internet del dipendente tramite computer aziendale). Provv. 18 maggio 2006, doc. web n (accesso a cartelle personali del lavoratore memorizzate nel computer aziendale). Provv. 7 giugno 2006, doc. web n Provv. 6 luglio 2006, doc. web n Provv. 9 novembre 2006, doc. web n La giurisprudenza italiana. Sui c.d. controlli difensivi: - Cass. 3 aprile 2002, n Cass. 6 marzo 2003, n Tribunale Torino 15 settembre Tribunale Perugina 24 maggio Tribunale di Milano 12 aprile 2005 e Tribunale di Roma 6 giugno Corte appello Milano 30 settembre 2005, n Tribunale Milano 14 giugno La giurisprudenza internazionale. Consiglio d Europa. Corte europea dei diritti dell uomo: - Niemitz contro Germania, 13710/88 cit.; - Halford contro Regno Unito, n /92, cit.; 7

8 - Copland contro Regno Unito, 3 aprile 2007 n /00. Controllo sistematico delle telefonate, e navigazione in Internet della dipendente di un college sul luogo di lavoro. La raccolta e la conservazione di dati relativi alle chiamate, così come quelli riferiti all uso di posta elettronica e Internet, all insaputa della ricorrente, costituiscono un interferenza con il diritto alla vita privata e alla segretezza della corrispondenza ai sensi dell art. 8 della Convenzione. I pareri del Ministero del lavoro, Dir. gen. Attività ispettiva. - Parere 6 giugno 2006 controlli a distanza di traffico telefonico. - Parere 28 novembre 2006 controlli a distanza di sistema informatico (utilizzo di computer palmare da parte degli informatori scientifici del farmaco). 8