Verifiche indiscriminate di e-mail sul lavoro: la pronuncia del Garante per la Privacy

Verifiche indiscriminate sulla posta elettronica e sulla navigazione web del personale si collocano in contrasto con il Codice della privacy e con lo Statuto dei lavoratori. Questa la sintesi della decisione adottata dal Garante per la protezione dei dati personali (Privacy, Registro dei provvedimenti n. 303 del 13 luglio 2016) per la che ha vietato a un’università il monitoraggio massivo delle attività in Internet dei propri dipendenti. Il caso era sorto proprio attraverso la denuncia del personale tecnico-amministrativo e docente, che lamentava la violazione della propria privacy e il controllo a distanza posto in essere dall’Ateneo stesso. Si tratta di una pronuncia rilevante in materia, idonea a porsi come precedente importante in un ambito delicato sia nella Pubblica Amministrazione che nell’impiego privato.

Nel corso dell’istruttoria, l’amministrazione ha respinto le accuse, sostenendo che l’attività di monitoraggio delle comunicazioni elettroniche era attivata saltuariamente, e solo in caso di rilevamento di software maligno e di violazioni del diritto d’autore o di indagini della magistratura. L’Università aveva inoltre aggiunto che non venivano trattati dati personali  dei dipendenti che si connettevano alla rete. L’istruttoria del Garante ha al contrario evidenziato che i dati raccolti erano chiaramente riconducibili ai singoli utenti, anche grazie al tracciamento puntuale degli indirizzi Ip e dei Mac Address (identificativo hardware) dei pc assegnati ai dipendenti.

L’infrastruttura adottata dall’Ateneo, diversamente da quanto affermato, consentiva poi la verifica costante e indiscriminata degli accessi degli utenti alla rete e all’e-mail, utilizzando sistemi e software che non possono essere considerati, in base alla normativa, “strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa”.

All’interno del provvedimento il Garante ha inoltre evidenziato che l’Università avrebbe dovuto privilegiare misure graduali che rendessero assolutamente residuali i controlli più invasivi, legittimati solo in caso di individuazione di specifiche anomalie (come ad esempio) la rilevata presenza di virus. In ogni caso, si sarebbero dovute prima adottare misure meno limitative per i diritti dei lavoratori.