Il Garante della Privacy si è espresso più volte sulla materia: vietato spiare la navigazione dei dipendenti. Ma questo non significa libertà assoluta. Metodi e regole per un giusto controllo

La tutela della privacy vale anche sul posto di lavoro, in particolare per quanto riguarda le abitudini di navigazione e l'uso della posta elettronica. Il Garante per la privacy si è espresso più volte in tal senso, con pochi margini d'interpretazione, e spesso ne abbiamo dato conto. Tuttavia, non bisogna confondere la tutela della privacy come l'assoluta libertà di fare ciò che si vuole sul posto di lavoro. Non si può controllare l'uomo nelle sue scelte di navigazione, nemmeno sul lavoro, ma il controllo sull'uso del tempo e delle attrezzature aziendali rientra in qualche modo tra i diritti del datore di lavoro. È su questo stretto crinale: libertà e privacy individuale da una parte, diritti del datore dall'altra, che si gioca la possibilità di verificare i contenuti della navigazione dei dipendenti.

Metodi e regole

Dal punto di vista aziendale, quindi, si tratta di trovare un giusto compromesso tra i sacrosanti diritti del lavoratore e la possibilità di analizzare e capire i punti deboli della struttura nel suo approccio alle tecnologie, soprattutto in presenza di atti estremi (illeciti o danni alla sicurezza dei sistemi). I due capisaldi da tenere presente al riguardo sono la normativa sulla privacy, il Codice sulla privacy (Dlgs 196/2003) e successive modifiche, e la normativa sul lavoro, in particolare lo statuto dei lavoratori (legge 300/1970) e successive integrazioni. In pratica, è vietato il controllo intenzionale sull'attività del lavoratore, come sancito dai richiami legislativi, ma è consentita un'attività di verifica per la salvaguardia delle proprie risorse e del patrimonio aziendale. Così almeno si sono espressi più volte nel merito i tribunali di primo e secondo grado.

I principi ispiratori del giusto controllo

Potremmo quindi dire che è ammesso un "giusto controllo" per concrete esigenze di sicurezza, organizzative o gestionali, che non sia finalizzato a individuare dati sensibili dei propri dipendenti. Per rendere attuale questa concezione bisogna attenersi rigorosamente ad alcuni principi.
Trasparenza. Il datore di lavoro deve informare adeguatamente e tempestivamente i propri dipendenti delle azioni che intende intraprendere (per esempio il controllo dei log file delle singole macchine) e degli strumenti di cui intende dotarsi per farlo. In particolare deve spiegare i motivi per cui è necessario ricorrere a tali attività, concertando eventualmente insieme alle rappresentanze dei lavoratori tempi e modi d'inizio dell'attività di controllo.
Scopo. Ovviamente, non tutti gli scopi sono ammessi. Lo sono sicuramente la prevenzione e la ricerca di fonti di danno alla sicurezza aziendale o di comportamenti illeciti. Ancora lo può essere, dal punto di vista organizzativo, la necessità della continuità di servizio.
Pertinenza. I file log esaminati devono essere pertinenti allo scopo indicato e comunicato tempestivamente. Allo stesso tempo, non devono essere raccolti più dati di quelli necessari a centrare l'obiettivo.
Sicurezza. I dati ottenuti devono essere conservati con estrema cura e secondo i criteri indicati anche dal codice sulla Privacy e successive modifiche. In particolare, non devono essere in alcun modo divulgati pubblicamente.

Un esempio concreto

Imporre le decisioni aziendali ai dipendenti, anche se qualche volta necessario, non è mai la strada migliore per risolvere le possibili controversie alla base. Nella ricerca di una concertazione e di un accordo ampio esistono diverse possibilità di movimento. Sicuramente, richiamarsi al principio di trasparenza con comunicazioni tempestive, adeguate ed eventualmente concordate, è un buon modo di procedere. In casi aziendali complessi, tuttavia, potrebbe non essere sufficiente. Anche in questi casi, però, è opportuno perseguire la strada del dialogo e cercare di arrivare a compromessi accettabili. Per esempio, nell'analisi dei log file a fini organizzativi, di sicurezza o di prevenzione o repressione di illeciti si può ricorrere a un sistema di controllo disgiunto. Si possono dotare tutti i dipendenti di un codice d'accesso al Web personale, sulla base del quale sono registrati i log file. A quel punto, i manager aziendali avrebbero in mano soltanto i log file abbinati a codici (senza conoscere a quale persona fanno riferimento) per le loro analisi del caso. L'associazione, invece, tra codice e dipendente - il passaggio che trasforma i dati in dati personali sensibili - sarebbe nelle mani di una persona terza - il responsabile della sicurezza o il responsabile informatico - che non vede il contenuto dei log file. Là dove si rendesse necessario per gli scopi prefissati, si potrebbe facilmente ricostituire l'accoppiata log file-nome del dipendente, per prendere le iniziative del caso, magari avendo preventivamente allertato e spiegato la situazione ai rappresentanti dei lavoratori

Fonte: businessonline.it