LAV17053 – Oggetto: Lavoro. Decisione del Garante per la privacy in materia di accesso, da parte del datore di lavoro, alle e-mail e agli smartphone aziendali.

Roma, 24 Febbraio 2017

LAV17053
SM

Oggetto: Lavoro. Decisione del Garante per la privacy in materia di accesso, da parte del datore di lavoro, alle e-mail e agli smartphone aziendali.

Nella newsletter del Garante per la privacy n.424 del 17 Febbraio 2017, è stata pubblicata la decisione n.547 del 22 Dicembre 2016, con la quale il Garante ha posto dei limiti al potere del datore di lavoro di accedere alle e-mail e agli smartphone aziendali.

In particolare, la decisione evidenzia che il datore di lavoro, sebbene abbia la facoltà di verificare l’esatto adempimento della prestazione lavorativa e il corretto utilizzo degli strumenti di lavoro da parte dei dipendenti, deve in ogni caso salvaguardarne la libertà e la dignità; per cui, in applicazione dei principi di liceità e correttezza del trattamento di dati personali, il datore di lavoro deve informare in modo chiaro e dettagliato i lavoratori (anche su base individuale), circa le modalità di utilizzo degli strumenti aziendali e l’eventuale svolgimento di controlli. In mancanza di ciò, prosegue il Garante, si può determinare nel lavoratore una legittima aspettativa circa l’uso legittimo di questi strumenti anche a fini privati.

Nella fattispecie analizzata, il Garante ha ritenuto illegittimo il trattamento dei dati personali effettuato dalla società datrice, giudicandolo in contrasto con i principi di liceità, necessità, pertinenza e non eccedenza, tenuto conto dei seguenti aspetti:

• il server conservava per 10 anni i contenuti  delle e-mail aziendali, un periodo ritenuto eccessivo rispetto alle ordinarie necessità di gestione dei servizi di posta elettronica, comprese le esigenze di sicurezza dei sistemi;
• per prassi aziendale, gli indirizzi di posta elettronica degli ex dipendenti non erano immediatamente disattivati ma rimanevano attivi per altri 6 mesi, senza dare a questi ultimi la possibilità di consultare l’e-mail e senza predisporre  un’adeguata informativa per i mittenti; 
• l’impresa aveva libero accesso ai dati dello smartphone aziendale tramite un’applicazione che, da remoto, permetteva di avere il pieno controllo dell’apparecchio, consentendo non solo il backup di tutti i dati contenuti in memoria (compresi quelli privati) ma anche altre operazioni invasive della privacy come, ad esempio, la cancellazione delle informazioni sul telefono e l’invio del contenuto a società terze.

Pertanto, dall’analisi di tutti questi aspetti è emerso che la condotta dell’azienda contrasta con la disciplina di settore in materia di controlli a distanza che, anche dopo le ultime modifiche all’art. 4 della Legge 300/70 (impianti audiovisivi e altri strumenti di controllo), non consente l’effettuazione di attività idonee (anche indirettamente) a realizzare il controllo massivo, prolungato e indiscriminato dell’attività del lavoratore.

Il testo del provvedimento del Garante, è disponibile al link sottoindicato.

Cordiali saluti.