Legittimità dell indagine endoaziendale sulla posta elettronica di dipendenti e

Transcript

1 Legittimità dell indagine endoaziendale sulla posta elettronica di dipendenti e collaboratori a cura di Emanuele Andreis Gli strumenti informatici offrono rilevanti possibilità di controllo dei comportamenti umani. Nell ambito di un rapporto di lavoro, questi mezzi risultano (per lo più 1 ) a disposizione dei datori di lavoro, a tutela del patrimonio aziendale e dell adempimento da parte dei dipendenti della prestazione lavorativa. L utilizzo di detti strumenti suscita vaste problematiche relative a possibili violazioni della dignità dei lavoratori nonché della riservatezza dei dati estraibili. Il tema è di particolar interesse 2 se si pensa alla possibilità di svolgere indagini interne tramite uno strumento di uso quotidiano per la maggior parte delle persone: la casella di posta elettronica fornita dall azienda a collaboratori e dipendenti. Opportuno punto di partenza è costituito dalle disposizioni che garantiscono al datore di lavoro il controllo sui propri dipendenti: gli artt. 2086, 2094, 2104 e 2105 c.c., che prevedono le prerogative del datore e gli obblighi del dipendente, che vanno letti unitariamente alla luce degli artt. 41 e 42 della Costituzione che, tutelano l iniziativa imprenditoriale e la proprietà privata. D altro canto, occorre tenere anche in considerazione i limiti sia generali (lo stesso art. 41 Cost., al proprio secondo comma, precisa che tale libertà di impresa non possa recare danni a sicurezza, libertà e dignità umane), sia specifici. Punto focale è costituito dall art. 4 Statuto dei lavoratori (l. 300/1970), arricchito dalle più recenti garanzie di riservatezza dei dati personali. 1 L accesso abusivo al sistema informatico aziendale, da parte di collaboratori e dipendenti, è un tema che è stato più volte oggetto dell attenzione della Cassazione, suscitandone una pronuncia a sezioni unite: la n. 4694/ Nello scorso mese di Marzo 2014 se ne è occupato M. SOFFIENTINI, in aziendale: controlli del datore di lavoro, in Dir. & Pratica del Lavoro, marzo 2014, n. 10, pp ; qualche mese prima, con particolari sottolineature problematiche, M. MISCIONE, I controlli intenzionali, preterintenzionali e difensivi sui lavoratori in contenzioso continuo, in Lavoro nella Giur., 2013, n. 9, p

2 L art. 4 St. lav. in effetti vieta l uso di impianti audiovisivi e altre apparecchiature per finalità di controllo a distanza dell attività dei lavoratori (I comma), prevedendo però che qualora siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma ( ) derivi anche la possibilità di controllo a distanza dell attività dei lavoratori, possono essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede la direzione provinciale del lavoro, dettando, ove occorra, le modalità per l uso di tali impianti (II comma). Essendo pacifica la riferibilità della posta aziendale alla tipologia descritta nel secondo comma, si profilerebbe la prospettiva di doverne concordare con rappresentanze sindacali (o D.P.L.) l utilizzo con finalità ispettive e/o di controllo Tuttavia è bene comprendere che questi adempimenti vengono richiesti per gli strumenti di controllo, laddove il controllo abbia ragioni tutelabili. A differenza di questi e delle videocamere che ne sono un esempio particolarmente paradigmatico 3 la posta elettronica aziendale non nasce come strumento di controllo, bensì come strumento operativo, la cui funzione di controllo è solo eventuale e pertanto la sua installazione/dotazione non impone di per sé gli adempimenti di cui sopra. In generale, poi, tradizionalmente l applicazione di tale severa disciplina veniva sempre esclusa qualora si trattasse di controlli difensivi (l orientamento prende le mosse da Cass. civ., sez. lav., 3 aprile 2002 n. 4746), ossia quel controllo diretto ad accertare comportamenti illeciti dei lavoratori, quando tali comportamenti riguardino l'esatto adempimento delle obbligazioni discendenti dal rapporto di lavoro e non la tutela di beni estranei ai rapporto stesso (Cass. civ., sez. lav., 17 luglio 2007, n ). Sebbene sia emerso un orientamento più restrittivo su tali controlli, che ha affermato l applicabilità dell art. 4, II co., St. lav. all esame degli accessi a internet e posta elettronica fatti dai dipendenti (Cass. civ., sez. lav., n del 2010; conf. Cass. civ., sez. lav., 1 ottobre 2012, n ), tale indirizzo si concentra su controlli costanti 3 cfr. M. POLACCHINI, Videosorveglianza e potere di controllo del datore di lavoro, in Diritto e Pratica del lavoro, 2013, n. 26, pp

3 dell attività lavorativa e non su indagini alla ricerca di prove di violazioni di cui si è già avuto indizio (e che dunque si pongono come successive rispetto alle violazioni). Sono intervenute alcune sentenze che hanno individuato proprio nell intervento ex post dell indagine difensiva l elemento discretivo rispetto alle fattispecie sussumibili sotto l art. 4: il datore ha compiuto il suo accertamento ex post, ovvero dopo l'attuazione del comportamento addossato al dipendente, quando erano emersi elementi di fatto tali da raccomandare l'avvio di un'indagine retrospettiva. Ad avviso del Collegio, tale fattispecie è estranea al campo di applicazione dell'art. 4 dello statuto dei lavoratori. Nel caso di specie, infatti, il datore di lavoro ha posto in essere un attività di controllo sulle strutture informatiche aziendali che prescindeva dalla pura e semplice sorveglianza sull'esecuzione della prestazione lavorativa degli addetti ed era, invece, diretta ad accertare la perpetrazione di eventuali comportamenti illeciti (poi effettivamente riscontrati) dagli stessi posti in essere. ( ) Questa forma di tutela egli poteva giuridicamente esercitare con gli strumenti derivanti dall'esercizio dei poteri derivanti dalla sua supremazia sulla struttura aziendale. Tale situazione, ad una lettura attenta, è già esclusa dal campo di applicazione dell'art. 4 dalla sopra citata giurisprudenza (che già esclude dai controlli difensivi vietati quelli aventi ad oggetto la tutela di beni estranei al rapporto di lavoro, v. Cass. n del 2007 cit.) (Cass. civ., sez. lav., 23 febbraio 2012, n. 2722; nonché la seguente Cass. civ., sez. lav., 14 marzo 2012, n. 5371). Alle pronunce qui rassegnate si è sostanzialmente conformata, di volta in volta, la giurisprudenza di merito che si è occupata di questioni affini, restringendo le possibilità di controllo solo laddove questo non seguisse indizi di specifiche violazioni (cfr., inter alia, Trib. Firenze Sez. lavoro, Sent., 1 febbraio 2013; Trib. Taranto, sez. lavoro, Sent. 28 novembre 2012; Trib. Ferrara, Sez. Lavoro, 21 agosto 2012; Trib. Milano Sez. lavoro, Sent., 29 febbraio 2012, quest ultima pare interessante in quanto ha giustificato i controlli sulla posta di un dipendente sospettato di violare le normative interne, danneggiare l immagine della società e attentare in via non particolarmente significativa al suo patrimonio. Sulla scorta di tale decisione, si potrebbero giustificare 3

4 indagini analoghe di fronte a violazioni più marginali, ma che per la loro diffusione abbiano più significative potenzialità lesive del patrimonio aziendale, ovvero delle quali si possa rilevare una maggiore tipicità: il comportamento del dirigente coinvolto in detta vicenda non era espressamente vietato da alcuna norma, pertanto le indagini sarebbero a fortiori giustificate qualora la violazione cui seguono sia relativa a specifiche norme contrattuali). Ciò viene corroborato, con ulteriori spunti interessanti, dalla V sez. penale della Suprema Corte, la quale non solo ha dichiarato penalmente irrilevante l accesso alla posta elettronica del dipendente da parte del datore di lavoro, bensì ne ha riconosciuto la piena legittimità qualora il datore di lavoro disponga delle chiavi di accesso (password) (cfr. Cass. pen., sez. V, 19 dicembre 2007, n ). Anche le Linee Guida del Garante della Privacy (Lavoro: le linee guida del Garante per posta elettronica e internet, in Gazzetta Ufficiale n. 58 del 10 marzo 2007; Del. n. 13 del 1 marzo 2007, con aggiornamenti del 2010 e del 2012) in tutte le loro formulazioni confermano la possibilità di controlli da parte del datore di lavoro in 4 L'art. 616 c.p., comma 1 punisce infatti la condotta di "chiunque prende cognizione del contenuto di una corrispondenza chiusa, a lui non diretta, ovvero sottrae o distrae, al fine di prenderne o di farne da altri prendere cognizione, una corrispondenza chiusa o aperta, a lui non diretta, ovvero, in tutto o in parte, la distrugge o sopprime". Sicchè, quando non vi sia sottrazione o distrazione, la condotta di chi si limita a "prendere cognizione" è punibile solo se riguarda "corrispondenza chiusa". Chi "prende cognizione" di "corrispondenza aperta" è punito solo se l'abbia a tale scopo sottratta al destinatario ovvero distratta dalla sua destinazione. Ciò posto, e indiscussa l'estensione della tutela anche alla corrispondenza informatica o telematica ( art. 616 c.p., comma 4), deve tuttavia ritenersi che tale corrispondenza possa essere qualificata come "chiusa" solo nei confronti dei soggetti che non siano legittimati all'accesso ai sistemi informatici di invio o di ricezione dei singoli messaggi. Infatti, diversamente da quanto avviene per la corrispondenza cartacea, di regola accessibile solo al destinatario, è appunto la legittimazione all'uso del sistema informatico o telematico che abilita alla conoscenza delle informazioni in esso custodite. Sicchè tale legittimazione può dipendere non solo dalla proprietà, ma soprattutto dalle norme che regolano l'uso degli impianti. E quando in particolare il sistema telematico sia protetto da una password, deve ritenersi che la corrispondenza in esso custodita sia lecitamente conoscibile da parte di tutti coloro che legittimamente dispongano della chiave informatica di accesso. Anche quando la legittimazione all'accesso sia condizionata, l'eventuale violazione di tali condizioni può rilevare sotto altri profili, ma non può valere a qualificare la corrispondenza come "chiusa" anche nei confronti di chi sin dall'origine abbia un ordinario titolo di accesso. ( ) Ne consegue che del tutto lecitamente T.G. prese cognizione della corrispondenza informatica aziendale della sua dipendente, utilizzando la chiave di accesso di cui legittimamente disponeva, come noto alla stessa M.R.. Infatti, secondo le prescrizioni del provvedimento del Garante per la protezione dei dati personali n. 13 dell'1 marzo 2007, i dirigenti dell'azienda accedono legittimamente ai computer in dotazione ai propri dipendenti, quando delle condizioni di tale accesso sia stata loro data piena informazione 4

5 caso di ricerca di violazioni, limitandosi a suggerire la predisposizione e pubblicizzazione in azienda di una sorta di vademecum che descriva le modalità di utilizzo degli strumenti informatici ed eventualmente illustri la facoltà, i presupposti e i limiti dell accesso agli stessi da parte del datore 5. Sebbene in dottrina prevalga una maggiore cautela 6 e qualche dubbio sulla necessità delle aziende di evitare le procedure di cui all art. 4, co. II, St. lav. 7, l approdo interpretativo conferma in maniera piuttosto uniforme 8 quanto finora descritto. Sulla scorta della disciplina come elaborata dalla giurisprudenza si può dunque affermare che un azienda ben potrebbe dopo essersi imbattuta in indizi di violazioni ai codici comportamentali in qualunque modo rilevanti sul patrimonio aziendale predisporre un indagine sulla posta elettronica aziendale fornita ai dipendenti sospettati alla ricerca di prove più complete delle scorrettezze indiziate 9. Inoltre, anche alla luce della giurisprudenza penale, a rendere pienamente legittimo il ricorso all accesso alla posta del dipendente potrà anche essere la disponibilità in capo all azienda delle chiavi di accesso 10 o, quanto meno, di un sistema di accesso, 5 C. ZOLI al riguardo rileva che, benché siano una delibera da più parti ritenuta eccessivamente garantista a favore dei lavoratori e tale da svolgere una funzione di supplenza legislativa in tema di diritti fondamentali di questi ultimi, a ben vedere, essa in realtà ha in buona misura avallato l'orientamento più rigoroso della giurisprudenza prevalente (in Il controllo a distanza del datore di lavoro: l'art. 4 l. n. 300/1970 tra attualità ed esigenze di riforma, in Rivista Italiana di Diritto del Lavoro, 2009, I, pp. 485, 488 ss.). 6 Si segnalano per preoccupazioni garantiste della riservatezza dei lavoratori, inter alia, C. ZOLI, ult.op.cit.; R. LATTANZI, Dallo Statuto dei lavoratori alla disciplina di protezione dei dati personali, ibid., 2011, I, p M. MISCIONE, I controlli, cit., 8 analizzando le due procedure alternative, ritiene che né l accordo con i sindacati, né soprattutto l intervento della DPL siano ostacoli particolarmente significativi all adozione dei controlli in azienda. 8 Oltre alle opere citate nelle ultime due note, si veda anche P. TULLINI, Comunicazione elettronica, potere di controllo e tutela del lavoratore, in Riv. it. dir. lav., III, 2009, pp. 323 e ss., la quale tenendo conto specificamente delle Linee Guida del Garante approfondisce ulteriormente alcuni aspetti procedurali. 9 M. MISCIONE, I controlli, cit., 8, manifesta alcuni dubbi sull univocità della tesi qui dedotta (limitandosi però, conclusivamente, ad accettarla con il solo limite che gli indizi siano seri ). 10 Pertanto, anche in assenza di indizi, ben può il datore di lavoro aprire la posta aziendale del dipendente per urgenze aziendali (e non per indagini), come potrebbe occorrere durante una malattia (in termini, non ha riconosciuto gli estremi di una violazione ai doveri contrattuali neppure Trib. Milano, 1 aprile 2014, Crivelli-Dompé; alle medesime conclusioni giunge, analizzando la sentenza della V sezione penale, M. MISCIONE, I controlli, cit., 8). Ciò può suggerire che, qualora il datore leggendo la posta del 5

6 ricorrere ai quali sia una eventualità preventivamente segnalata ai lavoratori-utenti (del sistema di posta elettronica). Per esempio, un sistema spesso adottato dalle aziende ed effettivamente in grado di soddisfare il requisito ora formulato è quello di indicare tale possibilità di controllo, nell ambito delle proprie linee guida e direttive volte alla disciplina della messaggistica informatica, chiarendo in quali circostanze vi si possa ricorrere (scelta di cui si è già specificata la conformità alle indicazioni del Garante per la privacy). Il disciplinare può prevedere limiti all uso della posta elettronica, consentendone l uso ai soli fini di lavoro, con divieto di inviare e ricevere sulla casella aziendale posta privata; può prevedere una ordinaria attività di controllo al fine di ricercare virus o files danneggiati; può prevedere il divieto di scaricare programmi e allegati non relativi all attività lavorativa (giochi ecc.) e la possibilità di difesa da tali potenziali offese; può prevedere il trasferimento della posta aziendale inc aso di assenza per malattia del lavoratore e molto altro ancora. Per quanto riguarda, poi, l eventuale adozione di provvedimenti disciplinari sulla base dei risultati delle indagini, cui si è detto esser lecito ricorrere, occorre rammentare il ridotto valore probatorio di s non certificate: debbono pertanto ritenersi rientranti nel novero dei documenti informatici previsti dall'art c.c., e, sostanzialmente, rientranti nei documenti elettronici a firma leggera di cui all'art. 21 D.Lgs. n. 82/2005 che, sotto la rubrica al comma I prevede; Il documento Informatico, cui è apposta una firma elettronica, sul piano probatorio è liberamente valutabile in giudizio, tenuto conto delle sue caratteristiche oggettive di qualità e sicurezza. (Trib. Taranto Sez. lavoro, Sent., ). In ogni caso, di tali provvedimenti è stata spesso ammessa la legittimità (cfr., inter alia, Cass. civ., sez. lav., 23 febbraio 2012, n. 2722; Trib. Milano, sez. lav., 29 febbraio 2012), malgrado ciò sarebbe in tal caso opportuna una valutazione complessiva della violazione effettivamente perpetrata dal dipendente assente per esigenze produttive incontrasse indizi di violazioni potenzialmente danneggianti l azienda, ben potrebbe disporre un indagine sulla posta del dipendente, in tal caso qualificabile come controllo difensivo. 6

7 dipendente e del danno subito dall azienda al fine di definire una procedura sanzionatoria proporzionata e non incorrere in censure giudiziarie, le quali spesso si sono appuntate proprio su tale profilo (cfr. Trib. Taranto Sez. lavoro, Sent., ; Trib. Ferrara, Sez. Lavoro, 18 maggio agosto 2012). Un ultima precisazione è, infine, d obbligo: la disciplina finora evidenziata riguarda espressamente i lavoratori dipendenti; non gli agenti né tutti quei collaboratori autonomi, rispetto ai quali non si riscontrano in alcun modo decisioni al riguardo. In un rapido confronto tra questa tipologia di lavoratori e quella dei dipendenti, occorre notare che, se da una parte non si configura negli stessi ampi termini il potere di controllo del datore di lavoro (qui mandante), da un altra risultano ancora meno estesi i limiti cui dovrebbe sottostare il controllo per la minore regolamentazione del contratto di agenzia e, inoltre, anche nei loro confronti rimarrà immutata l attenzione del preponente rispetto ai danni al proprio patrimonio aziendale, anche declinato sul piano dell immagine dell impresa che può venire compromessa da alcune condotte degli agenti. 7