Gli ultimi orientamenti in tema di controlli a distanza e licenziamenti. (avv. Mara Parpaglioni)

Transcript

1 Convegno AGI Lombardia, AIDP Gruppo Lombardia, con il patrocinio dell Ordine degli avvocati di Milano Gli ultimi orientamenti in tema di controlli a distanza e licenziamenti IL CODICE IN MATERIA DI PROTEZIONE DEI DATI PERSONALI RISPETTO AL VECCHIO E AL NUOVO ART. 4 ST.LAV. (avv. Mara Parpaglioni) 1

2 In realtà l art. 4 St.Lav. era già stato modificato dalla legge n. 675/96 sul trattamento dei dati personali. Normativa di derivazione Comunitaria (attuazione della direttiva 95/46/Ce), quindi fonte di rango superione che detta, come norma generale, il quadro entro cui opera la norma speciale dettata degli artt. 4 e 8 St.Lav. (ai quali rinviano gli attuali artt. 113 e 114 Codice privacy). 2

3 Seppure infatti lo Statuto dei lavoratori è stata una norma di avanguardia anche nel settore delle riservatezza, la legge n. 675/96 (e, poi, il testo unico del Codice della privacy) è la norma che si è occupata più di altre di tutelare i diritti fondamentali della persona rispetto alla sempre maggiore intrusività nella sfera personale delle nuove tecnologie. 3

4 In realtà, l introduzione della l. n. 675/1996 ha costituito una rivoluzione copernicana nell ambito dei rapporti di lavoro, passata invece quasi sotto silenzio tra gli operatori del settore che hanno continuato per lo più ad applicare l art. 4 St.lav. senza tener in alcun conto il nuovo quadro generale che, invece, incideva necessariamente sul piano sistematico-interpretativo dell art. 4 St.lav.. 4

5 La legge n. 675/1996 ha infatti introdotto nel nostro ordinamento un vero e proprio Diritto alla protezione di dei dati personali che ci riguardano (oggi art. 1 Codice privacy). Che non è più il semplice diritto alla riservatezza inteso come diritto a essere lasciati soli, ma un diritto all autodeterminazione informativa. 5

6 Espressa finalità della legge è infatti quella di garantire che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell interessato, con particolare riferimento alla riservatezza, all identità personale e al diritto alla protezione dei dati personali (oggi art. 2 Codice privacy). 6

7 Con l introduzione del diritto alla protezione dei propri dati è stato operato in primo luogo un completo capovolgimento di prospettiva, a differenza dal passato. I dati raccolti dal datore di lavoro non sono di sua proprietà, ma rimangano sempre di proprietà del lavoratore, anche dopo che lo stesso li ha ceduti. 7

8 Il lavoratore infatti (anche nei casi di esclusione del consenso previsti dalla legge) deve sempre essere informato sulle modalità del trattamento dei propri dati e mantiene un diritto di controllo sugli stessi per tutta la durata del trattamento (artt. 7, 8 e 13 Codice privacy), che è sempre limitato allo scopo inizialmente determinato e per il tempo necessario al suo raggiungimento.. 8

9 Dove per trattamento dei dati è bene ricordare che deve intendersi: la raccolta, la registrazione, l organizzazione, la conservazione, la consultazione, l elaborazione, la modificazione, la selezione, l estrazione, la modificazione, la selezione, l estrazione, il raffronto, l utilizzo, l interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione, e la distruzione (art. 4, lett. a, Codice privacy). 9

10 Fondamentale è poi l art. 11 (Codice privacy). a) I dati personali devono essere trattati in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti, legittimi e utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi; c) esatti e se necessario aggiornati; d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono stati raccolti o successivamente trattati; e) conservati in forma che consenta l identificazione dell interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali sono stati raccolti o successivamente trattati. 10

11 Il secondo comma dell art. 11 stabilisce poi espressamente che i dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati. 1

12 Altro cardine della normativa sulla privacy è costituito dal principio di necessità che consiste l obbligo di ridurre al minimo l utilizzo di dati personali e di dati identificativi (oggi art. 3, Codice privacy) necessari per il raggiungimento dello scopo. 12

13 Gli artt. 3 e 11 (dell attuale Codice della privacy), pertanto, già rappresentavano i principi in base ai quali i datori di lavoro di concerto con le rappresentanze sindacali o, in difetto, l ispettorato del lavoro dovevano stabilire le modalità del trattamento dei dati effettuato in applicazione del vecchio 2 comma, dell art. 4 St.lav. Come d altronde indicato nelle Linee guida del Garante per posta elettronica e internet del

14 C è poi una particolare tutela per i dati sensibili (ex art. 26 Codice privacy). In quanto suscettibili di essere utilizzati a fini discriminatori (riguardanti la salute, l orientamento sessuale, le origini etniche e razziali). Altri dati sensibili (sulle opinioni politiche, sindacali, ect.) presuppongono la loro manifestazione in pubblico per lo stesso esercizio del diritto e delle relative libertà, con maggior rischio di discriminazione in quanto la riservatezza non costituisce a tal fine uno strumento idoneo di garanzia. 14

15 L espresso divieto di operare schedature (art.14 Codice privacy) serve per garantire il libero esercizio di diritti fondamentali. In tutti questi casi pertanto più che di tutela della privacy si deve parlare di difesa del principio di uguaglianza (S.Rodotà), o di garanzia del principio di non discriminazione (L. Ventura). 15

16 Per il trattamento dei dati sensibili è quindi sempre necessario il consenso scritto dell interessato. Può essere ammesso il trattamento senza il consenso solo previa autorizzazione del Garante (art. 26 Codice privacy). 16

17 E inoltre necessaria la Notificazione al Garante in caso di trattamento di dati genetici, biometrici, di geolocalizzazione, idonei a rivelare la vita sessuale o la sfera psichica, per i trattamenti con l ausilio di strumenti elettronici volti a definire il profilo o la personalità dell interessato, ect. (ex art. 37 Codice privacy). 17

18 Per semplificare gli adempimenti, il Garante ha previsto che nell ambito lavorativo non è necessario il consenso per il trattamento dei dati comuni e sensibili se il trattamento riguarda l esecuzione del contratto e per adempiere a obblighi di legge, regolamento, normativa comunitaria o della contrattazione collettiva e ha previsto un autorizzazione generale per il trattamento dei dati sensibili in ambito lavorativo (artt. 24 e 26 Codice Privacy). Fermo restando sempre l obbligo di informativa (ex art. 13 Codice privacy) 18

19 Un trattamento di dati al di fuori però dei suddetti casi (l esecuzione del contratto e per adempiere a obblighi di legge, regolamento, normativa comunitaria o della contrattazione collettiva), necessita del consenso libero e informato del lavoratore con riferimento a un trattamento specificamente e chiaramente individuato (artt. 13 e 23 Codice Privacy), se non anche la Notificazione del trattamento al Garante (ex art. 37 Codice Privacy). 19

20 Problematiche connesse al vecchio testo del art. 4 St.Lav. 1- Non erano comprese le esigenze di tutela del patrimonio aziendale, per cui una parte della giurisprudenza aveva affermato la non applicabilità dell art. 4 St.Lav. in caso di c.d. controlli difensivi relativi a comportamenti illeciti dei dipendenti (Cass. n. 4746/2002); 2- Data la potenziale capacità di controllo a distanza dell attività dei lavoratori derivante dell installazione di strumenti di lavoro quali computer, centralini elettronici, smartphone, servizi internet e di posta elettronica, era necessaria l adozione della procedura stabilita dal 2 co., dell art. 4 St.Lav. (cfr. Linee Guida del Garante per posta elettronica e internet del ). 20

21 Con una recente sentenza la Cassazione (Cass. Civ., I Sez., n / ) intervenendo su provvedimento del Garante dell , con riferimento all utilizzo di software di registrazione degli accessi ai siti internet dei dipendenti, di conservazione dei messaggi di posta elettronica e per l utilizzo di un centralino telefonico elettronico ha ritenuto applicabile il vecchio testo dell art. 4 St.Lav., chiarendo i seguenti principi di diritto (in conformità alle Linee Guida del Garante per posta elettronica e internet del ). 21

22 Quando l attività di vigilanza a distanza, attivata dal datore di lavoro per qualsiasi finalità, permetta anche la mera possibilità di controllo dell attività lavorativa fornita dal prestatore di lavoro, l attività non è consentita se non a seguito del positivo espletamento delle procedure di garanzie di aui all art. 4 St.Lav., comma 2, St.Lav.. Non è possibile ritenere che il datore di lavoro possa liberamente utilizzare impianti e apparecchiature di controllo per qualsiasi finalità (di tutela dei beni aziendali, di accertamento e prevenzione dei comportamenti illeciti dei dipendenti, ecc.) eludendo il positivo esperimento delle procedure previste nell art. 4, co. 2, in esame, quando derivi anche solo la possibilità di controllo a distanza dell attività dei lavoratori, a prescindere dalle sue intenzioni 2

23 l esigenza di evitare condotte illecite da parte dei dipendenti (non) può assumere portata tale da giustificare un sostanziale annullamento di ogni forma di garanzia della dignità del lavoratore. 23

24 Sulla raccolta dei dati di accesso a internet su base individuale ha affermato quanto segue: La norma (art. 8 St.Lav. n.d.s.) prevede che è vietato al datore di lavoro effettuare indagini, anche a mezzo di terzi sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione professionale del lavoratore. Ed acquisire e conservare dati che contengono (o possono contenere) simili informazioni importa già l integrazione della condotta vietata, perché si risolve in una indagine non consentita sulle opinioni e condotte del lavoratore, anche se i dati non sono successivamente utilizzati. Non è necessario sottoporre i dati raccolti ad alcun particolare trattamento per incorrere nell illecito, poiché la mera acquisizione e conservazione della disponibilità di essi comporta la violazione della prescrizione legislativa. 24

25 Se infatti l Autorità Garante accerta l illegittimità del trattamento, a seguito di ispezione o su denuncia dell interessato, può ai seni dell art. 143 (del Codice privacy) disporre il blocco o vietare, in tutto o in parte, il trattamento illecito. Non solo quindi i dati sono inutilizzabili ma la violazione del provvedimento del Garante comporta la reclusione da 3 mesi a 2 anni (art. 170 Codice privacy). 25

26 Il nuovo art. 4 St.Lav. ha cercato di risolvere due ordini di problemi: - Il 1 comma include infatti l esigenze di tutela del patrimonio aziendale, tra i casi in cui è ammessa l adozione di strumenti che permettono anche la possibilità di controllo a distanza dei lavoratori, escludendo così la legittimità di controlli difensivi preventivi, generalizzati e con tecniche particolarmente invasive della dignità della persona; 26

27 - Il 2 comma esclude la necessità della procedura sindacale/amministrativa prevista dal 1 comma per gli strumenti di lavoro utilizzati per rendere la prestazione lavorativa e per gli strumenti di registrazione degli accessi e delle presenze, eliminando così l obbligo di attivare la procedura prima dell istallazione stessa di questi strumenti, indipendentemente dall uso che si intenda fare dei dati così raccolti. 27

28 Il nuovo testo dell art. 4 St.Lav. non ha però abrogato le norme del Codice privacy, anzi, le richiama espressamente e deve ovviamente essere letto alla luce della legge delega n. 183/2015, che all art. 1, co. 7, lett. f) che stabilisce esclusivamente una revisione della disciplina dei controlli a distanza, sugli impianti e sugli strumenti di lavoro, tenendo conto dell'evoluzione tecnologica e contemperando le esigenze produttive ed organizzative dell'impresa con la tutela della dignità e della riservatezza del lavoratore. 28

29 Non solo, ma è recente (il 18 dicembre 2015) è stato raggiunto l accordo sul testo del Regolamento sulla tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione dei dati (formalizzato nel gennaio 2016, approvato il 14 aprile 2016 e che entrerà in vigore nel 2018). 29

30 Il Regolamento avente efficacia diretta in tutti gli Stati membri, si aggiunge alla Carta dei diritti fondamentali dell Unione europea che prevede trai diritti fondamentali dell uomo il diritto alla protezione dei dati personali (art. 8) e al Trattato per il funzionamento dell Unione europea che riconosce a ogni persona il diritto alla protezione dei dati di carattere personale che la riguardano (art. 16). 30

31 Il Regolamento tra le tante norme prevede il divieto di profilazione sancendo il diritto di chiunque: a non essere sottoposto a una misura che produca effetti giuridici o significativamente incida sulla sua persona, basata unicamente su un trattamento automatizzato destinato a valutare taluni aspetti della sua personalità o ad analizzare o prevederne in particolare il rendimento professionale, la situazione economica, l ubicazione, lo stato di salute, le preferenze sessuali, l affidabilità o il comportamento (art. 20 del Regolamento). 31

32 Alla luce anche di queste norme di rango superiore, si deve chiarire, pertanto, che la liberalizzazione degli strumenti utilizzati per rendere la prestazione lavorativa, non riguarda l installazione di software che permettono il monitoraggio, il filtraggio, il controllo, la tracciatura, costanti e indeterminati degli accessi a internet o a servizi di posta elettronica, per il cui impiego è vietato ai sensi del 1 comma del nuovo art. 4 St.Lav. o, comunque, è necessaria la procedura sindacale/amministrativa dettata dalla stessa norma. 3 2

33 Ciò è stato espressamente chiarito dal Garante per la protezione dei dati personali con il provvedimento del 13/7/2016, n. 303 e dal Ministero del Lavoro e delle Politiche sociali con la nota del 18/6/

34 Grandi contrasti interpretativi suscita, poi, il 3 comma del nuovo art. 4 St.Lav. che prevede che i dati legittimamene raccolti ai sensi dei primi due commi possono essere utilizzabili a tutti i fini connessi al rapporto di lavoro. A condizione che sia data la lavoratore adeguata informazione delle modalità d uso degli strumenti e di effettuazione dei controlli e nel rispetto del d.lgs. n. 196/2003 (La seconda parte recepisce in tutta evidenza le Linee Guida del Garante per posta elettronica e internet del Codice privacy). 34

35 Sull espressione possono essere utilizzati a tutti i fini connessi al rapporto di lavoro, il Garante in sede di audizione consultiva su materie che riguardano la privacy, aveva espresso parere negativo, ritenendola fuorviante rispetto ai principi espressi dal Codice privacy, dato che il trattamento di dati per fini ulteriori rispetto a quelli inizialmente dichiarati è per legge illegittimo (art. 11 Codice privacy). 35

36 Ciò non di meno, la norma in questione deve essere interpretata in modo conforme al Codice privacy, come d altronde espressamente previsto dallo stesso art. 4 St.Lav. Bisogna quindi trovare una soluzione interpretativa coerente con l intero sistema normativo. 36

37 In applicazione quindi del Codice privacy se il datore di lavoro effettua un trattamento ulteriore, non inizialmente dichiarato, dei dati raccolti per finalità diverse da quelle organizzative, produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale o dal semplice funzionamento della strumentazione di lavoro, il trattamento è illegittimo in quanto: - privo del consenso del lavoratore (art. 23 e 26); - privo dell informativa (art. 13); - In violazione delle norme sulle modalità di trattamento (ex art. 11); - non coperto dall Autorizzazione generale del Garante (art. 40); - privo in taluni casi della Notificazione al Garante (art. 37); - violazione del divieto di profilazione (art. 14) - violazione per il trattamento di dati che presentano rischi specifici (art. 17); - violazione dell art. 8 e 15 St.Lav. 37

38 La violazione delle dette norme comporta una serie di sanzioni: - la violazione degli artt. 23, 26, 13, 14 e 11 comporta l inutilizzabilità dei dati (ai sensi dell art. 11, 2 comma, Codice privacy); - l omessa informativa comporta la sanzione di cui all art. 161 Codice privacy; - l omessa o incompleta notificazione comporta la sanzione amministrativa di cui all art. 163 Codice privacy; - la violazione dell art. 17 sui trattamenti che comportano specifici rischi e dell art. 26 sui dati sensibili comporta illecito penale (ex art. 167, 2 co.); - la violazione degli art. 113 e 114 sui controlli a distanza (art. 4 St.lav.) e sulle opinioni dei lavoratori (art. 8 St.Lav.) comporta la sanzione penale di cui all art. 38 St.Lav. 38

39 L unico caso in cui il Codice privacy ammette l utilizzazione di dati in altre operazioni è quello in cui ciò avvenga in termini compatibili con tali scopi iniziali (art. 11, lett. b, Codice privacy). 39

40 Lo stesso Codice della privacy esemplifica in quali casi un trattamento è considerato compatibile con diversi scopi per i quali i dati sono stati in precedenza raccolti o trattati, cioè quando il trattamento ulteriore è effettuato per scopi storici, statistici o scientifici (ex art. 99, Codice privacy). 40

41 Il trattamento dei dati per scopi storici, statistici o scientifici, operando su dati resi anonimi, può infatti essere effettuato anche oltre il limite del periodo di tempo necessario per conseguire i diversi scopi per i quali i dati sono stati inizialmente raccolti o trattati (ex art. 99, Codice privacy). 41

42 Nel caso di specie, il caso che rileva di più è quello degli scopi statistici. Il datore di lavoro può quindi riutilizzare i dati legittimamente raccolti ai sensi dei commi 1 e 2 dell art. 4 St.lav. per elaborare statistiche di produttività e/o rendimento (per settori e categorie). Può anche elaborare statistiche sui dati di accesso alla rete internet, a specifici siti e alla posta elettronica ai fini della tutela del sistema informatico (sempre in forma anonima), per grupppi, aree o settori (cfr. Linee Guida del Garante per posta elettronica e internet del ). 42

43 A seguito dell utilizzo dei dati raccolti in forma statistica per settore, area e gruppo di lavoro, il datore di lavoro che riscontri anomalie deve avvertire i lavoratori di cessare le attività non consentite. Solo in caso di riscontro successivo di ulteriori anomalie può adottare misure atte alla raccolta di prove, con forme legittime, su eventuali illeciti commessi dai dipendenti (previa adeguata informazione ai lavoratori sulle modalità d uso degli strumenti e di effettuazione dei controlli). 43

44 Ciò, anche senza il consenso del lavoratore (ai sensi dell art. 24 Codice privacy), per far valere o difendere un diritto in sede giudiziaria. Esclusi però i dati sensibili perché deve trattarsi di diritti di pari rango (ai sensi dall art. 26 Codice privacy). Eventualmente, anche utilizzando investigazione difensive ai sensi della l. n. 397/2000, sempre nel rispetto del relativo Codice di condotta sulle investigazioni difensive (Allegato 6 al Codice privacy) e nel rispetto dell Autorizzazione generale rilasciata dal Garante in materia. 4

45 L utilizzo in sede giudiziaria di dati raccolti illegittimamente, comporta l inutilizzabilità dei dati con la conseguente non imputabilità dei fatti al lavoratore e quindi configurandosi un caso di insussistenza del fatto, con diritto alla reintegra, ex art. 18 St.Lav. (nei casi di consistenza numerica). Se poi il trattamento illegittimo dei dati configura un caso più grave di controllo sui dati sensibili o di profilazione, si tratta di un caso di discriminazione ex art. 8 St.Lav. con diritto alla reintegra sulla base di una prova anche solo statistica (indipendentemente dalla consistenza numerica). 45