Lexmeeting. Il controllo dei lavoratori: internet e posta elettronica in azienda. Dott. Davide Venturi Avv. Antonio Zama

Transcript

1 Studio Legale Lucchini Gattamorta e Associati Lexmeeting Bologna, Hotel Europa, 11 maggio 2007 Seminario: Il controllo dei lavoratori: internet e posta elettronica in azienda Relatori: Dott. Davide Venturi Avv. Antonio Zama 1

2 Obiettivo rivoluzione nuove tecnologie fornire spunti di riflessione e soluzioni operative per gestire i rapporti con i dipendenti risposte concrete, valevoli per casi specifici 2

3 Bilancia dei diritti Internet, posta elettronica, gprs, rfid, tecnologie biometriche, come strumenti di lavoro, di implementazione della privacy e della sicurezza aziendale, ma anche di potenziale controllo dei lavoratori 3

4 Vantaggi e rischi gestione processi decisionali gestione risorse umane e finanziarie gestione e protezione beni intangibili gestione adempimenti antiriciclaggio gestione processi 231 gestione privacy e sicurezza gestione sicurezza sul lavoro controllo dei lavoratori mobbing orizzontale e verticale deterioramento rapporti aziendali 4

5 Rivoluzione funzioni aziendali L organigramma aziendale subisce una scomposizione in forza di specifiche funzioni A fronte delle diverse funzioni svolte da uffici / organi, deve corrispondere l espresso conferimento di compiti e poteri ai componenti, che li pongano in posizione distinta (nei limiti della funzione svolta), anche ai fini della disciplina privacy, rispetto agli organi di governance 5

6 Avvertimento Nonostante le prescrizioni del Garante Privacy, non sempre è chiaramente individuabile la condotta da tenere, anche perché il Garante non ha tenuto conto dell impatto nel nostro ordinamento di discipline normative che comportano la diretta responsabilità dell ente/società 6

7 Fonti Provvedimento Garante 1 marzo 2007 Provvedimento Garante 23 novembre 2006 Altre decisioni del Garante Codice Privacy Statuto dei Lavoratori Giurisprudenza Prassi degli uffici competenti 7

8 Principi guida Contemperamento interessi datore di lavoro dipendenti trasparenza e correttezza finalità (determinate, esplicite, legittime) pertinenza e non eccedenza necessità e proporzionalità 8

9 Regole generali e adempimenti Il datore di lavoro deve trattare i dati nella misura meno invasiva possibile ; le attività di monitoraggio devono essere svolte solo da soggetti preposti ed essere mirate sull'area di rischio, tenendo conto della normativa sulla protezione dei dati e, se pertinente, del principio di segretezza della corrispondenza Informativa Disciplinare Mansionario per incaricati del trattamento 9

10 Informativa I dipendenti-interessati (a prescindere dalla tipologia del contratto di lavoro!) hanno il diritto di essere informati preventivamente, e in modo chiaro, sui trattamenti di dati che li riguardano. Eventuali finalità da indicare: esigenze organizzative, produttive e di sicurezza del lavoro; esercizio di un diritto in sede giudiziaria; tutela del datore di lavoro da condotte illecite. Devono essere indicate le principali caratteristiche dei trattamenti, nonché il soggetto o l'unità organizzativa ai quali i lavoratori possono rivolgersi per esercitare i propri diritti, ed i soggetti deputati ad effettuare eventuali controlli. 10

11 Disciplinare, contenuto misure per assicurare sicurezza sistema comportamenti non tollerati nella navigazione tolleranza e modalità utilizzo personale informazioni memorizzate modalità di eventuali controlli conseguenze disciplinari per violazioni rimedi per garantire continuità lavorativa 11

12 Disciplinare, limiti il datore di lavoro può controllare (direttamente o attraverso la propria struttura) l'effettivo adempimento della prestazione lavorativa e il corretto utilizzo degli strumenti di lavoro, rispettando la libertà e la dignità dei lavoratori, in particolare per ciò che attiene al divieto di installare "apparecchiature per finalità di controllo a distanza dell'attività dei lavoratori 12

13 Condotte vietate, esempi lettura e registrazione sistematica dei messaggi di posta elettronica ovvero dei relativi dati esteriori, al di là di quanto tecnicamente necessario per svolgere il servizio ; riproduzione ed eventuale memorizzazione sistematica delle pagine web visualizzate dal lavoratore; lettura e registrazione dei caratteri inseriti tramite la tastiera o analogo dispositivo; analisi occulta di computer portatili affidati in uso. 13

14 Condotte ammesse ( forse ) Il datore di lavoro, utilizzando sistemi informativi per esigenze produttive o organizzative (ad es., per rilevare anomalie o per manutenzioni) o, comunque, quando gli stessi si rivelano necessari per la sicurezza sul lavoro, può avvalersi legittimamente, nel rispetto dello Statuto dei lavoratori (art. 4, comma 2), di sistemi che consentono indirettamente un controllo a distanza (c.d. controllo preterintenzionale) e determinano un trattamento di dati personali riferiti o riferibili ai lavoratori. 14

15 Condotte ammesse ( forse ) il datore di lavoro è chiamato a promuovere ogni opportuna misura, organizzativa e tecnologica volta a prevenire il rischio di utilizzi impropri (da preferire rispetto all'adozione di misure "repressive") e, comunque, a "minimizzare" l'uso di dati riferibili ai lavoratori PREVENZIONE vs. REPRESSIONE ma se non è possibile? 15

16 Onere della prova Trattamento di dati come attività pericolosa Inversione dell onere della prova: a carico del titolare la dimostrazione di avere adottato tutti gli accorgimenti possibili ed idonei a scongiurare il danno Il datore di lavoro ha l'onere di adottare tutte le misure tecnologiche volte a minimizzare l'uso di dati identificativi (c.d. privacy enhancing technologies, PETs). Risarcibilità danni anche non patrimoniali (morale, esistenziale, biologico) 16

17 Utilizzo internet, disposizioni generali Il datore di lavoro, per ridurre il rischio di usi impropri della "navigazione" in Internet deve adottare opportune misure che possono, così, prevenire controlli successivi sul lavoratore. Tali controlli, leciti o meno a seconda dei casi, possono determinare il trattamento di informazioni personali, anche non pertinenti o idonei a rivelare convinzioni religiose, filosofiche o di altro genere, opinioni politiche, lo stato di salute o la vita sessuale. 17

18 Utilizzo internet, prassi ammesse individuazione di categorie di siti considerati correlati o meno con la prestazione lavorativa; configurazione di sistemi o utilizzo di filtri che prevengano determinate operazioni; trattamento di dati in forma anonima o tale da precludere l'immediata identificazione di utenti; eventuale conservazione nel tempo dei dati strettamente limitata al perseguimento di finalità organizzative, produttive e di sicurezza. 18

19 Utilizzo posta elettronica Sui limiti al potere di controllo preventivo o successivo del datore di lavoro, il Garante Privacy appare più rigoroso rispetto alla giurisprudenza ed alla dottrina che si sono espressi sul punto: può risultare dubbio se il lavoratore, in qualità di destinatario o mittente, utilizzi la posta elettronica operando quale espressione dell'organizzazione datoriale o ne faccia un uso personale pur operando in una struttura lavorativa (!?) 19

20 Utilizzo posta elettronica, suggerimenti configurazione di indirizzi di posta elettronica condivisi tra più lavoratori; attribuzione al lavoratore di un diverso indirizzo destinato ad uso privato del lavoratore; gestione di assenze programmate e/o improvvise mediante messaggi di risposta, intervento di autorizzati ( fiduciario ), ecc. 20

21 Controllo utilizzo nuove tecnologie Deve essere preferito un controllo preliminare su dati aggregati. Possono essere adottate misure che consentano la verifica di comportamenti anomali, nel caso in cui un evento dannoso o una situazione di pericolo non sia stato impedito con preventivi accorgimenti tecnici. Deve essere privilegiato il controllo anonimo, che può concludersi con un avviso generalizzato relativo ad un rilevato utilizzo anomalo degli strumenti aziendali. 21

22 Controllo utilizzo nuove tecnologie Va esclusa l'ammissibilità di controlli prolungati, costanti o indiscriminati. Il Garante mostra di non conoscere alcune problematiche derivanti dall introduzione nel nostro ordinamento della responsabilità dell ente (in particolare Decreto Legislativo 231) che impongono l attivazione di misure di tutela e di controllo che, alla luce dei propri interventi, potrebbero essere considerate illecite: BILANCIAMENTO DI INTERESSI 22

23 Problemi probatori La conservazione dei dati personali relativi agli accessi al traffico telematico (file di log) è sottoposta a rigidi vincoli anche temporali, che possono tenere conto: di esigenze tecniche o di sicurezza; dell'indispensabilità del dato rispetto all'esercizio o alla difesa di un diritto in sede giudiziaria; dell'obbligo di custodire o consegnare i dati per ottemperare ad una specifica richiesta dell'autorità giudiziaria o della polizia giudiziaria. 23

24 Problemi probatori L attenta applicazione delle misure di sicurezza (credenziali, autorizzazioni, misure logiche e fisiche) può determinare una più ampia efficacia probatoria dei messaggi di posta elettronica, anche in carenza delle condizioni previste dalla disciplina sulla firma elettronica qualificata e sulla PEC 24

25 Applicazioni operative Studiare il superamento delle possibili lacune del sistema derivanti dall applicazione miope delle misure previste dal Garante 25

26 Utilizzo posta elettronica Può ritenersi legittimo un controllo sull attività a determinate condizioni CONTROLLI DIFENSIVI realizzati per tutelare l azienda da comportamenti colposi e dolosi posti in essere dai dipendenti e/o vertici aziendali e in grado di danneggiarla Occorre individuare i limiti entro cui operare 26

27 Clausola di salvezza Nei limiti previsti, i datori di lavoro privati e gli enti pubblici economici, possono effettuare lecitamente il trattamento dei dati personali diversi da quelli sensibili: a) se ricorrono gli estremi del legittimo esercizio di un diritto in sede giudiziaria (art. 24, comma 1, lett. f) del Codice ); b) in caso di valida manifestazione di un libero consenso; c) anche in assenza del consenso, ma per effetto del provvedimento 1 marzo 2007 che individua un legittimo interesse al trattamento in applicazione della disciplina sul c.d. bilanciamento di interessi (art. 24, comma 1, lett. g), del Codice ). 27

28 Controllo posta elettronica, Garanti UE Il motivo in grado di legittimare controlli della corrispondenza elettronica si può reperire nell'articolo 7, lettera f) della direttiva e consiste nel fatto che tale trattamento risulti necessario per il perseguimento degli interessi legittimi del responsabile del trattamento oppure dei terzi cui vengono comunicati i dati tale legittimazione non può prevalere sui diritti e sulle libertà fondamentali del lavoratore dipendente, tra cui rientra all'occorrenza il diritto fondamentale alla segretezza della corrispondenza (Documento di lavoro Garanti UE, 29 maggio 2002) 28

29 Applicazioni operative Ipotizzare un potere di accesso di soggetti specificamente individuati ai contenuti delle comunicazioni elettroniche aziendali, effettuato previa idonea informativa ai dipendenti (e, cautelativamente, con l assenso delle organizzazioni sindacali) per finalità specifiche connesse al sistema 231 (ed eventualmente con impossibilità di utilizzare i dati acquisiti per altre finalità) I controlli potrebbero avvenire successivamente ad una segnalazione ricevuta, ovvero a campione 29

30 Applicazioni operative Realizzare un interazione tra i documenti centrali nei sistemi 196 e 231. Nel DPS e nel Disciplinare per l utilizzazione della posta elettronica (e degli altri strumenti di nuova tecnologia) dovrebbero essere indicate le misure adottate in conformità alla disciplina di cui al

31 Controllo posta elettronica, giurisprudenza L' aziendale appartiene al datore di lavoro e pertanto in relazione al reato di cui all'articolo 616 Codice Penale il fatto non sussiste qualora, anche in presenza di adeguata policy aziendale, il datore di lavoro acceda alla casella personalizzata del dipendente (Tribunale di Torino, Sezione Distaccata di Chivasso, Sentenza 15 settembre 2006, n. 143) 31

32 Controllo posta elettronica, giurisprudenza Il lavoratore che utilizza - per qualunque fine - la casella di posta elettronica, aziendale, si espone al rischio che anche altri lavoratori della medesima azienda che, unica, deve considerarsi titolare dell indirizzo - possano lecitamente entrare nella sua casella (ossia in suo uso sebbene non esclusivo) e leggere i messaggi (in entrata e in uscita) ivi contenuti, previa consentita acquisizione della relativa password la cui finalità non è certo quella di proteggere la segretezza dei dati personali contenuti negli strumenti a disposizione del singolo lavoratore bensì solo quella di impedire che ai predetti strumenti possano accedere persone estranee alla società (Tribunale di Milano - Giudice per le indagini preliminari, Ordinanza 10 maggio 2002) 32

33 Controllo posta elettronica, giurisprudenza Ai fini dell'operatività del divieto di utilizzo di apparecchiature per il controllo a distanza dell'attività dei lavoratori previsto dall'art. 4 legge n. 300 del 1970, è necessario che il controllo riguardi (direttamente o indirettamente) l'attività lavorativa, mentre devono ritenersi certamente fuori dell'ambito di applicazione della norma sopra citata i controlli diretti ad accertare condotte illecite del lavoratore (cosiddetti controlli difensivi), quali, ad esempio, i sistemi di controllo dell'accesso ad aule riservate o, come nella specie, gli apparecchi di rilevazione di telefonate ingiustificate (Cassazione - Sezione Lavoro, Sentenza 3 aprile 2002, n.4746) 33

34 Violazione cartella protetta Il comportamento posto in essere dal dipendente che accede ad una cartella protetta sul server aziendale di cui non possiede le credenziali autorizzative, configura una responsabilità contrattuale del dipendente, in relazione alla violazione dello spazio riservato di un soggetto titolare del diritto di disporre delle informazioni ivi contenute e quindi di escludere l'accesso indesiderato di terzi. Tale comportamento è riconducibile alla inosservanza dell'obbligo di fedeltà di cui all'articolo 2105 Codice Civile, che, secondo consolidata giurisprudenza, vieta qualsiasi condotta in contrasto con i doveri connessi all'inserimento nella struttura del lavoratore dell'impresa e sia comunque idonea a ledere irrimediabilmente il presupposto fiduciario del rapporto. 34

35 Violazione cartella protetta La Cassazione ha pertanto confermato la sentenza di secondo grado (della Corte d appello di Trento) che aveva a sua volta confermato quella del Tribunale di Rovereto che aveva giudicato legittimo il licenziamento del dipendente resosi colpevole della condotta sopra descritta. Tutto ciò, ha affermato la Cassazione, indipendentemente dal contenuto dei dati raccolti nella cartella oggetto dell accesso, come pure dalla sussistenza degli estremi della fattispecie dell accesso abusivo ad un sistema informatico, prevista e punita dall'articolo 615ter Codice Penale. (Corte di Cassazione - Sezione Lavoro, Sentenza 7 novembre gennaio 2007, n. 153). 35

36 Negligenza dipendente Risulta assolutamente dimostrato che il danno erariale oggetto della richiesta di risarcimento in favore dell Amministrazione danneggiata è riferibile al comportamento gravemente colposo del convenuto, in servizio presso l Ufficio Locale dell Agenzia delle Entrate di Acireale, dalla cui postazione informatica, lasciata incustodita ed attiva (con la password personale assegnata al dipendente inserita), è stato operato illecitamente, il 30 novembre 2001, l indebito sgravio di imposta in favore di un contribuente. 36

37 Negligenza dipendente In particolare, la negligenza del convenuto è consistita nella violazione delle disposizioni di servizio impartite dalla Direzione Centrale Audit e Sicurezza dell Agenzia delle Entrate agli operatori incaricati del trattamento di dati sensibili mediante procedura informatica, acquisite agli atti del giudizio, che impongono lo spegnimento del personal computer al termine della giornata di lavoro, eseguendo l apposita procedura di spegnimento e, nell ipotesi di momentaneo allontanamento, l attivazione della funzione di blocco della postazione oppure, ove non sia possibile il blocco, lo spegnimento dell apparecchiatura. 37

38 Negligenza dipendente D altra parte, l assunzione di responsabilità da parte del sig. C., in sede di inchiesta amministrativa, esime il Collegio dall esprimere ulteriori valutazioni in ordine alla addebitabilità del danno contestato dal Procuratore Regionale allo stesso convenuto, il quale deve essere condannato al risarcimento del danno di euro 6.408,06, in favore della Amministrazione danneggiata che, - come precisato in udienza dal Pubblico Ministero - è la Regione siciliana, alla quale affluiscono, nella loro totalità, i tributi riscosso tramite ruolo o tramite versamenti diretti. La predetta somma di euro 6.408,06 dovrà essere maggiorata con la rivalutazione monetaria, da calcolarsi con decorrenza dal 22 aprile 2004, data della notifica al convenuto dell atto di invito a dedurre e costituzione in mora, e con gli interessi legali, dalla data di pubblicazione della presente sentenza e fino al soddisfo. (Corte dei Conti - Sicilia, Sentenza 2 marzo 2005, n. 390) 38

39 Navigazione in internet Il Collegio non condivide le conclusioni prospettate dalla difesa, relativamente all'asserita possibilità per la quale chiunque avrebbe potuto navigare in internet con il p.c. in dotazione all'odierno convenuto e la password avrebbe potuto essere conosciuta da altri soggetti, quali gli addetti al C.E.D., sul rilievo che, se ciò non si può certamente escludere in via di fatto, residua, tuttavia, un comportamento negligente, inescusabile e gravemente colposo del Dr. R.M., il quale, per sua espressa ammissione, si allontanava dal proprio ufficio per diverse ore al giorno lasciando il locale aperto ed il p.c. acceso, incustodito e con la parola chiave inserita. Il contegno serbato con sistematicità dal citato Dirigente, connotato dal mancato esercizio di quelle minime, possibili e semplici cautele procedimentali che la situazione richiedeva, da considerarsi oltremodo censurabile, poiché posto in essere da una figura lavorativa che ricopriva un ruolo di vertice nell'organigramma dell'ente locale, depone a favore di una diretta imputabilità del danno, sotto il profilo eziologico, all'odierno convenuto. 39

40 Navigazione in internet Atteso che lo stipendio mensile lordo del convenuto ammontava a lire e che lo stesso risulta aver effettuato nel periodo considerato, in media, 36 ore settimanali, con una retribuzione oraria pari a lire , l'ufficio Requirente ha quantificato il danno patrimoniale, ottenuto moltiplicando la predetta misura oraria per il totale delle ore trascorse collegandosi a siti non istituzionali (250), in lire , cui sono state aggiunte, applicando sempre un procedimento induttivo, lire a titolo di costo del servizio telefonico pro quota. Ribatte la difesa che le rilevazioni dei files di Log, se da un lato consentono di verificare l'esistenza e la durata di un collegamento alla rete, non sono ovviamente in grado di dimostrare che il soggetto connesso sia, in quel determinato intervallo temporale, dedito esclusivamente alla consultazione del sito ricercato, ben potendo dedicarsi ad ogni altra attività lavorativa rientrante nelle proprie mansioni, pur se il p.c. rimane, durante le ore medesime, collegato ad internet; in altre parole, non sarebbe in alcun modo possibile ritenere accertata e provata la precisa coincidenza tra ore di collegamento e ore prive di qualsivoglia prestazione lavorativa, per trarre l'esistenza e l'entità di un danno che, in base soltanto ai suddetti elementi, non è determinato, né logicamente determinabile. 40

41 Navigazione in internet Questi Giudici reputano non rispondente ai canoni dell'efficienza e dell'efficacia della prestazione lavorativa da rendere a fronte della retribuzione percepita, lo svolgimento del lavoro di ufficio che presenti continue parentesi temporali dedicate alla connessione a siti non istituzionali della rete internet, quantomeno in relazione alle ore interessate dall'attività in rassegna. non si può escludere che alcune connessioni ai siti non istituzionali siano rimaste attive per diversi minuti nel corso di ciascuna giornata, anche per mera dimenticanza, nel periodo in cui il predetto Dirigente svolgeva le proprie funzioni istituzionali in ufficio o presso altri luoghi, lasciando il p.c. sempre acceso sin dalla mattina come evidenziato nell'atto defensionale. In relazione alle delineate osservazioni in ordine alla quantificazione del danno, il Collegio ravvisa la necessità di ricorrere, nella fattispecie in esame, al potere equitativo demandato dall'articolo 1226 del Codice Civile, riducendo l'importo contestato dalla Procura Regionale a tale titolo e ritenendo raggiunta la prova a carico dell'odierno convenuto di un danno patrimoniale per l'importo di Euro 5.000,00, comprensivi di rivalutazione monetaria ed interessi, in base alle risultanze del procedimento penale, della perizia tecnica redatta dal Prof. M. e dei rilevamenti elaborati dal C.E.D. del Comune di Arona. (Corte dei Conti - Piemonte, Sentenza 13 novembre 2003, 1856) 41

42 Scaricamento programmi Dai dati emergenti dall'elevato contenuto tecnico delle rassegnate relazioni peritali più sopra richiamate, è possibile affermare che il virus che ha determinato, in successiva propagazione, l'arresto e la temporanea inutizzabilità del sistema informatico in dotazione alla Direzione Prov.le del Lavoro di Potenza, è stato contratto dal computer assegnato al dipendente, attraverso la copia di files non funzionali assolutamente all'attività lavorativa. 42

43 Scaricamento programmi La condotta serbata dal dipendente nella fattispecie in esame si manifesta come connotata da colpa grave in quanto, pur non essendo evidentemente preordinata alla contrazione del virus, è tuttavia segnata dalla piena e consapevole volontà di utilizzare uno strumento informatico in dotazione dell'ufficio presso il quale egli prestava servizio, e quindi annoverabile tra i beni strumentali all'ottimale esecuzione ed adempimento di compiti strettamente istituzionali, per realizzare invece scopi e finalità di carattere eminentemente personale: l'evento dannoso in questo modo verificatosi - contrazione e propagazione successiva del virus con i conseguenti ingiustificati costi - rappresenta così la conseguenza prossima, prevedibile ed evitabile, della iniziale condotta volitiva. 43

44 Scaricamento programmi Il dipendente poteva e doveva astenersi dall'eseguire operazioni non pertinenti con l'attività lavorativa propria tanto in ragione del generalizzato dovere di osservanza delle regole organizzative dell'ufficio che non consentono lo svolgimento di operazioni diverse da quelle riconducibili alle mansioni assegnate, quanto, e soprattutto, in virtù della conoscibilità dei pericoli derivanti dalla non corretta utilizzazione del sistema informatico, conoscibilità resa possibile dall'intervento di specifiche comunicazioni diramate dalla Direzione Prov.le del Lavoro di Potenza in data e , ed indirizzate al personale tutto della sede locale. (Corte dei Conti - Basilicata, Sentenza 17 gennaio 2006, n. 83) 44

45 Studio Legale Lucchini Gattamorta e Associati Grazie per l attenzione e arrivederci, Antonio Zama 45