Verona, 9 Maggio Palazzo della Gran Guardia

Transcript

1 L EVOLUZIONE TECNOLOGICA DELLA SICUREZZA FISICA IN UNA VISIONE GLOBALE E INTEGRATA Verona, 9 Maggio 2014 Palazzo della Gran Guardia In collaborazione con:

2 Gabriele Faggioli Adjunct Professor MIP-Politecnico di Milano Nuove tecnologie: privacy e impatti sindacali

3 Scenario normativo Negli ultimi 22 anni si è assistito a una vera e propria rivoluzione nel settore del diritto delle nuove tecnologie L evoluzione tecnologica ha infatti determinato l introduzione nel nostro panorama giuridico di nuovi concetti giuridici, di nuovi beni tutelati, di nuove fattispecie incriminatrici, di nuove forme contrattuali Si pensi in via esemplificativa: Al software (d.lgs 518/92 l. 633/41) e alle forme nuove di licenza (open source) Alla frode informatica (art. 640 ter c.p.) Al domicilio informatico (art. 615 ter c.p.) Ai virus (art. 615 quinquies c.p.) Alla posta elettronica (art. 616 c.p.) Alla tutela dei dati personali (d.lgs 196/03) Alle problematiche della digital forensics

4 Il 2011 e il 2012 sono stati caratterizzati da importanti novità nel settore normativo della sicurezza dei sistemi informativi con due linee di condotta contrapposte una di semplificazione e una di aggravamento: Abolizione decreto Pisanu (semplificazione) Provvedimento Garante per la protezione dei dati personali 12 maggio 2011 inerente la tracciabilità degli accessi ai dati bancari (aggravamento per mondo bancario) Decreto legge n. 70/2011 Semestre Europeo - Prime disposizioni urgenti per l'economia successivamente convertito con legge n 106/2011 (semplificazione) Decreto Legge n. 201/2011, noto come Decreto Salva Italia, contenente le Disposizioni urgenti per la crescita, l'equità e il consolidamento dei conti pubblici, convertito con la legge del 22 dicembre 2011, n. 214 (semplificazione) Decreto Semplificazioni 5/2012 approvato il convertito con la legge 4 aprile 2012 n. 35 (semplificazione) Decreto Legislativo n. 69/2012 (aggravamento per settore telco) Decreto Legislativo n. 70/2012 (modifica codice comunicazioni elettroniche per settore telco) Corte di cassazione 23 febbraio 2010 e 23 febbraio 2012 (controllo sui lavoratori e strumentazioni informatiche e telematiche) Dec. Pres. Cons n (infrastrutture critiche) (burocrazia e potenziale aggravamento) E all orizzonte: il nuovo Regolamento UE sostitutivo della direttiva 95/46 CE

5 Evoluzione giurisprudenziale 2002 Cassazione 4746 «controlli difensivi liberi» 2007 Cassazione «i sistemi di controlli accessi» 2010 Cassazione 4375 «il content filtering» 2012 Cassazione 2722 «obbligo di diligenza e altre aggressioni»

6 Attività preventive e attività reattive. Attività preventive: Quali informazioni devo raccogliere? Quali informazioni posso raccogliere? Per cosa posso usare le informazioni che vengono raccolte? Quali controlli preventivi possono essere posti in essere? Se dovessero servire le informazioni, come occorre acquisirle e mantenerle?

7 Attività preventive e attività reattive. Attività reattive: Quali fattispecie potrebbe configurare? Quali competenze occorre coinvolgere (tecniche - HR relazioni industriali legali)? Quali procedure e tempistiche prescrizionali occorre rispettare? Quali informazioni ci sono in azienda? Quali sono le fonti? Per quanto tempo sono conservate? Per quali motivi sono raccolte e mantenute? Le informazioni presenti possono essere prodotte in sede processuale? Le informazioni presenti potranno essere considerate dal magistrato in sede processuale a fondamento di una decisione? Come occorre agire per raccogliere le evidenze digitali? Garanzie per il lavoratore? Metodologie?

8 L articolo 4 dello Statuto dei Lavoratori E vietato l'uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dell'attività dei lavoratori Gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori, possono essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro provvede la Direzione Regionale del Lavoro omissis

9 Le norme applicabili al controllo sui lavoratori: D.lgs. 196/03 Art. 113 (Raccolta di dati e pertinenza)» Resta fermo quanto disposto dall'articolo 8 della legge 20 maggio 1970, n. 300 Art. 114 (Controllo a distanza)» Resta fermo quanto disposto dall'articolo 4 della legge 20 maggio 1970, n Art. 616 c.p.: violazione, sottrazione, soppressione di corrispondenza. Chiunque prende cognizione del contenuto di una corrispondenza chiusa a lui non diretta è punito ( ) Per "corrispondenza" si intende quella epistolare, telegrafica, telefonica, informatica o telematica ovvero effettuata con ogni altra forma di comunicazione a distanza

10 Corte di Cassazione, sentenza n del 12 luglio 2007 CASO Una società al fine di agevolare i propri dipendenti muniti di autovettura, ha predisposto per essi un locale garage ove posteggiare le automobili durante l orario di lavoro, inserendo, tuttavia, un congegno di sicurezza volto a consentire l ingresso a tale garage solo mediante un meccanismo elettronico attivato da un badge personale assegnato a ciascun dipendente, lo stesso che attivava l ingresso agli uffici Oltre a consentire l elevazione della sbarra di ingresso e di uscita dal garage, il meccanismo rilevava dal badge e registrava l identità di chi passava nonché l orario del passaggio Ciò permetteva dunque, mediante l incrocio di tali dati con quelli rilevati all ingresso negli uffici, di controllare il rispetto o non degli orari di ingresso, uscita, e presenza sul luogo di lavoro.

11 Corte di Cassazione, sentenza n del 12 luglio 2007 CASO Tale apparecchiatura - a differenza di quella analoga installata agli ingressi dell'ufficio - non era stata concordata con le rappresentanze sindacali, né era stata autorizzata dall'ispettore del lavoro La società, successivamente, incrociando i dati ricavati dall ingresso e uscita dagli uffici con quelli rilevati dall apparecchio installato in garage ha irrogato la sanzione del licenziamento ad un dipendente che si assentava ripetutamente dall ufficio durante il normale orario di lavoro Il dipendente ha impugnato il licenziamento per la presunta illegittimità dei controlli in quanto posti in essere dalla società in violazione del disposto di cui all art. 4 comma 2 dello Statuto dei Lavoratori

12 Corte di Cassazione, sentenza n del 12 luglio 2007 DECISIONE L apparecchiatura di controllo è stata installata per il vantaggio dei dipendenti, ma è utilizzabile anche in funzione di controllo dell'osservanza da parte di questi dei loro doveri di diligenza nel rispetto dell'orario di lavoro e della stessa correttezza della esecuzione della prestazione lavorativa Consegue a tale rilievo la necessità, ex art. 4, comma 2, dello Stat. lav., che l'istallazione della contestata apparecchiatura sia oggetto di accordo con le r.s.a. o consentita dall'intervento dell'ufficio pubblico, affinché i dipendenti ne possano avere piena conoscenza e possano eventualmente essere stabilite in maniera trasparente misure di tutela della loro dignità e riservatezza Nel caso di specie, costituisce circostanza divenuta pacifica, in seguito alla espletata istruttoria in sede di merito, che nessun accordo, neppure tacito, è al riguardo intervenuto tra la direzione aziendale e le r.s.a. e non è stato in alcun modo interessato l'ufficio pubblico in sede di istallazione e funzionamento delle apparecchiature in questione, che consentono, per i rilievi appena esposti, "la possibilità di controllo a distanza dell'attività dei lavoratori"

13 Corte di Cassazione, sentenza n del 12 luglio 2007 DECISIONE Per tale ragione il controllo operato nei confronti del dipendente, mediante l'incrocio dei dati, legittimamente acquisiti in quanto comunque concordati, rilevati agli ingressi dell'ufficio con quelli registrati alla sbarra di passaggio del garage aziendale, è stato effettuato illegittimamente e quindi i risultati di tale controllo sull'attività dello stesso non possono essere posti a fondamento dell'intimato licenziamento Pertanto, la società resistente va condannata a reintegrare il dipendente nel suo posto di lavoro ed a risarcirgli il danno, versandogli una indennità corrispondente alla retribuzione globale di fatto di dal giorno del licenziamento a quello della effettiva reintegrazione

14 La giurisprudenza in materia di controlli difensivi (sentenza Corte di Cassazione n del 23 febbraio 2010) Caso Ad una lavoratrice, è stato intimato il licenziamento attraverso due distinte contestazioni disciplinari relative ad un utilizzo illegittimo della rete internet aziendale dovuto a ripetuti accessi per esigenze estranee all attività lavorativa. La lavoratrice ha impugnato entrambi i licenziamenti davanti al Tribunale di Milano, il quale ne ha dichiarato l illegittimità. Il Tribunale, quanto al primo licenziamento, riteneva che i fatti contestati, sintetizzabili nell'accesso a Internet per ragioni non di servizio in contrasto con il regolamento aziendale del , fossero stati rilevati e registrati da un programma di controllo informatico centralizzato (Super Scout), in violazione della L. n. 300 del 1970, art. 4, comma 2, con la conseguente inutilizzabilità dei dati acquisiti. In ogni caso riteneva violate le regole di proporzionalità e gradualità delle sanzioni disciplinari. Quanto, poi, al secondo licenziamento, il giudice riteneva la contestazione tardiva, poiché i fatti contestati erano in parte antecedenti alla prima contestazione disciplinare e in parte una duplicazione dei fatti già contestati e per i mesi precedenti la prima contestazione, sicuramente conoscibili con il programma Super Scout. Avverso la detta sentenza proponeva appello la società datrice di lavoro, deducendo in relazione al primo licenziamento, che i controlli attuati, in quanto volti contro comportamenti illeciti espressamente vietati dalla società, non erano inibiti dalla L. n. 300 del 1970, art. 4, e che il comportamento contestato, costituente grave inadempimento degli obblighi aziendali, così come portati a conoscenza della lavoratrice attraverso il regolamento aziendale, giustificava il licenziamento per giusta causa.

15 La giurisprudenza in materia di controlli difensivi (sentenza Corte di Cassazione n del 23 febbraio 2010) Caso La Corte d'appello di Milano confermava la sentenza appellata e condannava l'appellante al pagamento delle spese. In sintesi la Corte medesima, riteneva applicabile ai fatti addebitati ed accertati a sostegno del primo licenziamento la L. n. 300 del 1970, art. 4, comma 2, con conseguente indispensabilità di un accordo sindacale o, in mancanza, dell'autorizzazione della Direzione provinciale del lavoro, e concludeva negando qualsivoglia valore probatorio ai dati acquisiti in violazione dell'art. 4 citato, non utilizzabili in causa. La Corte, poi, ha rilevato la mancanza del nesso di proporzionalità fra gli addebiti e la sanzione in relazione sia alla durata dei collegamenti, sia all'assoluta mancanza di precedenti contestazioni ad altri dipendenti per fatti analoghi, sia alla mancanza di precedenti disciplinari in capo alla lavoratrice. Contro tale sentenza la società datrice di lavoro presentava ricorso ritenendo in particolare che, la corte di merito, premesso che "i controlli rivolti a esclusiva finalità di tutela del patrimonio aziendale ricadono al di fuori del campo di applicazione dell'art. 4" citato, avrebbe male interpretato ed applicato il detto articolo, in sostanza "parificando i controlli difensivi a quelli sull'attività lavorativa".

16 La giurisprudenza in materia di controlli difensivi (sentenza Corte di Cassazione n del 23 febbraio 2010) Decisione In sintesi, la finalità di controllo a difesa del patrimonio aziendale non è da ritenersi sacrificata dalle norme dello Statuto dei lavoratori. Passando a questo punto alla questione di inutilizzabilità, il principio si afferma nei seguenti termini: "gli artt. 4 e 38 dello Statuto dei lavoratori implicano l'accordo sindacale a fini di riservatezza dei lavoratori nello svolgimento dell'attività lavorativa, ma non implicano il divieto dei cd. controlli difensivi del patrimonio aziendale da azioni delittuose da chiunque provenienti. Pertanto in tal caso non si ravvisa inutilizzabilità ai sensi dell'art. 191 c.p.p. di prove di reato acquisite mediante riprese filmate, ancorché sia perciò imputato un lavoratore subordinata.

17 La giurisprudenza in materia di controlli difensivi (sentenza Corte di Cassazione n del 23 febbraio 2010) Decisione La Corte di Cassazione ha successivamente richiamato la sentenza del medesimo organo (n /2007) in base alla quale: "il legislatore ha inteso contemperare l'esigenza di tutela del diritto dei lavoratori a non essere controllati a distanza e quello del datore di lavoro, o, se si vuole, della stessa collettività, relativamente alla organizzazione, produzione e sicurezza del lavoro, individuando una precisa procedura esecutiva e gli stessi soggetti ad essa partecipi". L insopprimibile esigenza di evitare condotte illecite da parte dei dipendenti non può assumere portata tale da giustificare un sostanziale annullamento di ogni forma di garanzia della dignità e riservatezza del lavoratore", per cui "tale esigenza" "non consente di espungere dalla fattispecie astratta i casi dei c.d. controlli difensivi ossia di quei controlli diretti ad accertare comportamenti illeciti dei lavoratori, quando tali comportamenti riguardino l'esatto adempimento delle obbligazioni discendenti dal rapporto di lavoro e non la tutela di beni estranei al rapporto stesso". In tale ipotesi, si tratta, infatti, secondo la Corte, comunque di un controllo c.d. "preterintenzionale" che rientra nella previsione del divieto "flessibile" di cui all'art. 4 citato, comma 2.

18 La giurisprudenza in materia di controlli difensivi (sentenza Corte di Cassazione n del 23 febbraio 2010) Decisione Secondo la Corte, sul punto la sentenza impugnata si è attenuta a tali principi e con motivazione congrua e priva di vizi logici ha affermato che i programmi informatici che consentono il monitoraggio della posta elettronica e degli accessi Internet sono necessariamente apparecchiature di controllo nel momento in cui, in ragione delle loro caratteristiche, consentono al datore di lavoro di controllare a distanza e in via continuativa durante la prestazione, l'attività lavorativa e se la stessa sia svolta in termini di diligenza e di corretto adempimento (se non altro, nel nostro caso, sotto il profilo del rispetto delle direttive aziendali)". "ciò è evidente laddove nella lettera di licenziamento i fatti accertati mediante il programma Super Scout sono utilizzati per contestare alla lavoratrice la violazione dell'obbligo di diligenza sub specie di aver utilizzato tempo lavorativo per scopi personali (e non si motiva invece su una particolare pericolosità dell'attività di collegamento in rete rispetto all'esigenza di protezione del patrimonio aziendale) La Corte si Cassazione ha quindi confermato l applicabilità al caso di specie l'art. 4, comma 2 citato, negando la utilizzabilità dei dati acquisiti dal citato programma in violazione di tale norma.

19

20 XXXXXX

21

22

23 XXXXXX

24

25