1. IL NUOVO TESTO DELL ARTICOLO 4 DELLO STATUTO DEI LAVORATORI: LA TUTELA DEI LAVORATORI TRAPRIVACY E CONTROLLI

Transcript

1 NEWSLETTER Numero 3 - NOVEMBRE Versione Italiana In questo numero: 1. IL NUOVO TESTO DELL ARTICOLO 4 DELLO STATUTO DEI LAVORATORI: LA TUTELA DEI LAVORATORI TRAPRIVACY E CONTROLLI 2. DECADUTA L AUTORIZZAZIONE AL TRASFERIMENTO DEI DATI IN USA

2 1. IL NUOVO TESTO DELL ARTICOLO 4 DELLO STATUTO DEI LAVORATORI: LA TUTELA DEI LAVORATORI TRA PRIVACY E CONTROLLI L articolo 23 del decreto legislativo 14 Settembre 2015 n. 151 ha modificato l articolo 4 dello Statuto dei Lavoratori. Vista l importanza della materia, riportiamo qui il testo integrale di tale articolo. 1. L articolo 4 della legge 20 maggio 1970, n. 300 è sostituito dal seguente: ART. 4. Impianti audiovisivi e altri strumenti di controllo. 1. Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali. In alternativa, nel caso di imprese con unità produttive ubicate in diverse province della stessa regione ovvero in più regioni, tale accordo può essere stipulato dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale. In mancanza di accordo gli impianti e gli strumenti di cui al periodo precedente possono essere installati previa autorizzazione della Direzione territoriale del lavoro o, in alternativa, nel caso di imprese con unità produttive dislocate negli ambiti di competenza di più Direzioni territoriali del lavoro, del Ministero del lavoro e delle politiche sociali. 2. La disposizione di cui al comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze. 3. Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalita' d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno2003, n. 196.». 2. L'articolo 171 del decreto legislativo 30 giugno 2003, n. 196, e' sostituito dal seguente: «Art. 171 (Altre fattispecie) La violazione delle disposizioni di cui all'articolo 113 e all'articolo 4,

3 primo e secondo comma, della legge 20 maggio 1970, n. 300, e' punita con le sanzioni di cui all'articolo 38 della legge n. 300 del 1970.». Il nuovo testo dell articolo 4 dello Statuto dei Lavoratori, approvato tra grandi polemiche, è dunque arrivato. Visto il poco tempo trascorso dalla emanazione della norma, al momento c è un grande vuoto interpretativo; l operazione di cercare di capire le conseguenze del nuovo testo non è un operazione semplice, non fosse altro per la complessità di una norma che, alla fine, è forse molto meno semplice di quanto non appaia ad un prima lettura. La prima differenza macroscopica che salta immediatamente agli occhi rispetto al vecchio art. 4 è la eliminazione del primo comma del vecchio testo, quello che, sic et simpliciter, vietava i controlli a distanza. Il divieto assoluto sui controlli a distanza, quindi, è scomparso, evitando quell esercizio (peraltro difficilissimo) attraverso il quale era possibile arrivare a ritenere lecito un controllo (a distanza, ovviamente). A partire dal 1985, infatti, la giurisprudenza ha cominciato ad elaborare ed applicare la teoria dei controlli c.d. difensivi (CASS. Sez. IV Penale, ), da cui il dilemma: se il controllo è per definizione vietato, come ed in base a quali criteri una attività vietata si trasforma in una attività consentita? Superato questo ostacolo, il nuovo testo comunque lascia ampio spazio a dubbi interpretativi. Il primo comma del nuovo testo ripropone quello che originariamente era il testo del secondo comma dell articolo 4, ma con varie modifiche. Prima di tutto: nel vecchio testo i presupposti di legittimità per l installazione delle apparecchiature di controllo erano che esse fossero necessarie per motivi organizzativi, produttivi e di sicurezza del lavoro. Nel nuovo testo è stato aggiunta la frase e per la tutela del patrimonio aziendale. La finalità di tutela del patrimonio aziendale, quindi, rientra ora tra i presupposti di legittimità, anche se, pur se il controllo fosse giustificato dalla necessità di tutela dei beni, è comunque sempre necessario l accordo sindacale. Voler tutelare gli asset dell azienda, cioè, di per sé non costituisce una esimente rispetto alla obbligatorietà dell accordo sindacale. Ma cosa succede se per caso l accordo non dovesse esserci, cioè se il datore di lavoro dovesse installare le apparecchiature di controllo senza accordo e senza aver esperito la

4 procedura autorizzativa presso le Direzioni Territoriali? Si applicherà, in questi casi, l articolo 38 dello Statuto, con la pena dell ammenda e dell arresto fino ad un anno (pena oblabile). La sanzione deriva dalla modifica all articolo 171 del codice privacy, di cui al terzo comma del testo dell articolo 23. Ricordo qui che la violazione dell articolo 4 e 8 dello Statuto erano state da tempo depenalizzate: il nuovo testo, con questo incrocio di richiami, reinserisce la norma e la fattispecie incriminatrice. C è quindi un aggravamento della situazione, da questo punto di vista, aggravamento che però sembra esser sfuggito alla maggior parte dei commentatori. Ma le vere novità sono contenute nei due commi successivi. Il nuovo comma 2 stabilisce, infatti, che siano esentati dall obbligo dell accordo sindacale gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e gli strumenti di registrazione degli accessi e delle presenze. La modifica, a nostro parere, è più che opportuna. Occorre fare una serie di premesse e dare una serie di spiegazioni a questa presa di posizione. Nel 1984 cinque alti dirigenti della IBM furono rinviati a giudizio e (fortunatamente) assolti per pretesa violazione dell articolo 4 dello Statuto in relazione all installazione di un nuovo programma di controllo degli accessi ai sistemi informativi. La tesi sostenuta dai sindacati (e dalla magistratura che operò l iniziale rinvio a giudizio) era pressappoco la seguente: i computer registrano qualsiasi evento macchina e, di conseguenza, mantengono traccia di tutti quegli eventi che sono collegati alla attività dei singoli utenti. Poiché, con il nuovo software di controllo degli accessi, ciascun operatore è identificabile attraverso un identificativo ed una password collegate a lui in maniera univoca ed inequivoca, questo costituisce un potenziale controllo a distanza; ergo, installare un sistema computerizzato richiede l accordo sindacale. Il computer infatti permette la verifica esatta dell attività svolta: quando un operatore ha aperto una sessione di lavoro, a quali archivi informatici ha avuto accesso, le risorse che ha impiegato, etc: il computer registra tutte le attività del lavoratore informatico. La tesi, portata agli estremi (e, in alcune sedi, lo è stata) richiedeva quindi l accordo sindacale per l installazione di qualsiasi sistema informativo che richiedesse l utilizzo di credenziali di accesso (user-id e password). Secondo alcuni, invece, si trattava tout-court di un controllo vietato in

5 violazione del primo comma dell articolo 4 e, di conseguenza, senza neanche la possibilità di una procedura autorizzativa. E ovvio che una tesi simile, che non aveva riscontro né precedenti in alcun altro paese europeo, costituiva una spada di Damocle tremenda ed un potenziale inibitore all introduzione di strumenti di lavoro che, nel mondo moderno, sono comune patrimonio di tutte le organizzazioni produttive. A questo si aggiunga che, col passare del tempo, questa situazione ha creato una contraddizione legislativa evidente. Per fare un solo esempio: proprio il codice privacy richiede che siano adottate misure di sicurezza per l accesso ai dati, misure che sono molto dettagliate e che non sono altro che quelle stesse misure che la tesi sopra esposta dichiarava vietate se installate in assenza di accordo sindacale. E ovvio che non era possibile dover vivere tra l incudine ed il martello: decidere cioè se era meglio violare lo Statuto del Lavoratori ed installare le misure di sicurezza, ovvero violare il codice privacy e non installarle. La modifica legislativa è quindi assolutamente opportuna. Il comma 3 del nuovo testo poi prevede la piena utilizzabilità dei dati a tutti i fini connessi al rapporto di lavoro. Ciò riguarda sia i dati raccolti tramite strumenti di controllo comma 1 -, sia quelli raccolti tramite strumenti di lavoro - comma 2 -. Apparentemente, quindi, le informazioni raccolte tramite gli strumenti di lavoro possono essere utilizzati anche per fini disciplinari, dando concretezza alla possibilità dei controlli difensivi di cui sopra. Il tutto, però, è condizionato dalla circostanza che sia data al lavoratore adeguata informazione delle modalità' d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno2003, n I punti salienti da approfondire (e su cui, ci si può scommettere, si incentrerà la giurisprudenza a venire) sono sostanzialmente due: cosa si deve intendere per strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa, ed in secondo luogo cosa sia la adeguata informazione nel rispetto di quanto disposto dal codice privacy. La prassi comune (che può variare a seconda delle varie realtà aziendali) è che ai lavoratori vengano assegnati beni quali un telefono fisso, un PC (spesso portatile), un cellulare, un tablet e/o un auto di servizio,

6 normalmente utilizzabile per uso promiscuo, una carta di credito, ecc. Il mix di questi beni può variare, come detto sopra, in funzione della realtà aziendale; quello che occorre verificare è quali di loro siano effettivamente utilizzati per rendere la prestazione. Se un dipendente utilizza un PC od un tablet, questo viene normalmente attrezzato con i vari SW in uso in azienda, che gli consentono di collegarsi e di utilizzare il sistema informativo dell azienda. Quindi questi programmi rientrano tra quelli che servono al lavoratore per rendere la prestazione. Ma questi strumenti possono essere utilizzati anche per fini personali: invio o ricezione di mail, telefonate, sms, ecc. Occorre quindi che l azienda abbia una chiara e trasparente policy in relazione al consentire o meno al dipendente un uso personale di questi strumenti. Inoltre, non può non essere ricordato che, spesso, questi strumenti sono dotati di GPS per la localizzazione dell apparecchio. Un sistema che consente la geolocalizzazione di un lavoratore in ogni momento della sua giornata può considerarsi rientrare tra gli strumenti di lavoro? Francamente no, così come non rientrano i c.d. programmi MDM (mobile device management), vere e proprie piattaforme informatiche che consentono di localizzare in ogni istante la posizione di un cellulare o un tablet. Ora, premesso che, al più, il datore di lavoro ha diritto di sapere dove si trovi un dipendente durante l orario di lavoro (ed ammesso che questo diritto esista), tale diritto cessa comunque dopo l orario di lavoro. Quindi, per fare un esempio, strumenti di questa natura richiedono tuttora l accordo sindacale per la loro installazione (oltre che la notifica al Garante e/o una verifica preliminare col Garante), considerando che la localizzazione potenzialmente avviene anche cessato l orario di lavoro. Un sistema MDM è giustificato dall alto costo degli strumenti affidati, dal fatto che tali strumenti spesso contengono importanti informazioni aziendali e dalla loro appetibilità (nonché anche dalla loro facile sottraibilità da parte di ladri). Essi però rientrano tra gli strumenti di controllo per la tutela dei beni aziendali e quindi tra quelli che richiedono il preventivo accordo sindacale. Lo stesso ragionamento vale per tutti quegli strumenti di potenziale controllo (SW di gestione delle reti, software di filtraggio degli accessi ad Internet, ecc), che servono al datore per meglio gestire le proprie risorse, ma che non possono ritenersi far parte degli strumenti di lavoro del dipendente. Per tutti questi programmi e per tutti questi strumenti resta in vigore la necessità dell accordo sindacale, né più e né meno di prima.

7 Per quanto riguarda poi il rispetto del codice privacy, ci sono varie osservazioni da fare. Primo: la legge sulla privacy, come è noto, richiede che siano resi noti finalità e modalità del trattamento dei dati. Sul punto, invito a leggere la decisione del Garante del 7 Aprile 2011, d.w (disponibile sul nostro sito: Si trattava di un ricorso svolto da una (ex) dipendente che eccepiva che il suo datore di lavoro avesse avuto accesso ad una serie di dati personali (prenotazioni alberghiere, foto di famiglia, dati sensibili riferiti a visite mediche, ecc) da lei memorizzati sul PC da lei usato in azienda. Secondo quanto accertato dal Garante l accesso a questi dati era avvenuto non tramite un accesso sul computer della reclamante, ma attraverso i back-up aziendali. Il dipendente non era stato assolutamente avvertito della effettuazione dei controlli (né tantomeno dei back-up) ed il relativo trattamento era risultato illecito e come tale sanzionato. La decisione ha premesso che pur avendo rammentato più volte che il datore di lavoro può riservarsi di controllare (direttamente o attraverso la propria struttura) l'effettivo adempimento della prestazione lavorativa e, se necessario, il corretto utilizzo degli strumenti di lavoro da parte dei dipendenti (artt. 2086, 2087 e 2104 cod. civ.) (cfr., da ultimo, Provv. 10 giugno 2010, doc. web n ; Provv. 24 febbraio 2010, doc. web n ; Provv. 23 dicembre 2010, doc. web n ), ha comunque chiarito che, nell'esercizio di tale prerogativa, debbono essere salvaguardati la libertà e la dignità dei lavoratori, nonché i principi fissati dall'art. 11 del Codice sul trattamento dei dati personali, che impongono, tra l'altro, di rendere note ai lavoratori le caratteristiche essenziali dei trattamenti, soprattutto se effettuati per finalità di controllo (cfr. p. 5.2 e 6.1 delle citate Linee guida). Non solo: il Garante non ha semplicemente dichiarato illecito il trattamento, ma anche eccessivo ed in violazione del principio di proporzionalità. Posto, infatti, che il regolamento interno dell azienda vietava l uso personale, una volta scoperto che sul pc della dipendente esisteva una cartella denominata personale, bastava questa evidenza per accertare la violazione, senza necessità di aprire la cartella stessa, di nuovo considerando che nessuna informativa in merito era stata fornita.

8 Il primo e fondamentale aspetto, quindi, riguarda la necessità di fornire una informativa completa ed esauriente sia sui possibili controlli, che sulle finalità e modalità del trattamento, non tralasciando nessuna delle potenziali possibilità di utilizzo e delle relative modalità e finalità. Per fare questo, occorre anche che la informativa sia accompagnata e completata da un adeguato regolamento sull uso aziendale delle risorse informatiche. Le due cose non possono non andare insieme, e ciascun documento deve richiamare e completare l altro. Se questa informativa (che è il caso di fornire adesso, proprio in virtù della modifica apportata alla legge) debba richiedere anche il consenso del lavoratore o meno non è questione che si possa risolvere qui: occorrerà infatti verificare sia il testo della informativa che le finalità perseguite per poter concludere nell uno o nell altro senso: non ci sono risposte univoche, ma ogni singola situazione andrà valutata nel merito della sua specificità. Inoltre, il richiamo al rispetto del codice privacy comporta anche il rispetto di tutta la copiosa normativa secondaria emessa dal Garante in relazione al trattamento dei dati nel rapporto di lavoro: quindi occorrerà verificare che siano rispettati tutti i provvedimenti in materia, per esempio, di geolocalizzazione (già richiamata sopra), le linee guida in materia di trattamento dei dati del lavoratore, i provvedimenti in materia di utilizzo dei dati biometrici nel rapporto di lavoro, il provvedimento sugli Amministratori di sistema, per non dimenticare poi l Autorizzazione Generale n.1 sul trattamento dei dati sensibili nel rapporto di lavoro. Un ultimo punto: nulla è cambiato per quanto riguarda la videosorveglianza: essa è sempre subordinata all accordo sindacale o all esperimento della procedura autorizzativa, segnalando, però, che nel testo del nuovo articolo 4 (a differenza di quanto previsto dal vecchio testo) non è richiesto che la Direzione Provinciale detti le prescrizioni per le modalità di uso degli impianti. La ragione è di facile spiegazione: se i controlli non sono più vietati, questa previsione non ha più ragione di essere. Parimenti il testo non prevede più la possibilità di impugnativa davanti al Ministero del Lavoro, il che però non elimina la possibilità di impugnativa secondo la disciplina generale di impugnazione degli atti amministrativi.

9 2. DECADUTA L AUTORIZZAZIONE AL TRASFERIMENTO DEI DATI IN USA In piena sintonia con quanto deciso dal Gruppo articolo 29 in seguito alla sentenza della Corte di Giustizia Europea sul caso Schrems (la posizione del Gruppo art. 29 è disponibile su ms_judgement.pdf, le notizie in merito alla sentenza Schrems sono disponibile nella sezione News del nostro sito, e sono state pubblicate rispettivamente il 2 ed il 6/10 u.s.), il 6 Novembre il Garante italiano ha pubblicato uno scarno comunicato stampa con cui ha dichiarato decaduta la propria Autorizzazione del 10 Ottobre 2001, d.w Il trasferimento in USA, quindi, secondo quanto riportato nel comunicato, potrà avvenire solo ed esclusivamente avvalendosi di strumenti quali, ad esempio, le clausole contrattuali standard o le regole di condotta adottate all'interno di un medesimo gruppo (le cosiddette BCR, Binding Corporate Rules). L'Autorità si è comunque riservata di effettuare controlli per verificare la liceità e la correttezza del trasferimento dei dati da parte di chi esporta i dati. ( La situazione, quindi, non appare al momento molto rosea, considerando la quantità di dati che quotidianamente vengono trasferiti negli USA. Ricordiamo qui che chiunque utilizzi strumenti di lavoro ormai entrati nell uso comune (Dropbox, GDrive, Onedrive, etc) non può non porsi il problema ed affrontarlo immediatamente. Lo stesso vale per chiunque abbia un fornitore negli USA od utilizzi dei server (anche se propri o di una società del gruppo) che siano fisicamente situati nel territorio americano. Val la pena ricordare che il trasferimento vietato (e da oggi vietato in base ad un Provvedimento del Garante) comporta la sanzione amministrativa

10 della pena pecuniaria da a euro (art ter), oltre alla sanzione penale della reclusione da uno a tre anni (art 167.2). Si tratta quindi di una materia da prendere assolutamente sul serio, per evitare problemi di sorta, potenzialmente molto pesanti.