Avv. Lucia Capelli - 15 Maggio 2024
Videosorveglianza, email, badge, log di sistema. La domanda non è se si può installare uno strumento, ma se quello che raccoglie sarà utilizzabile: nella maggior parte dei contenziosi l'illecito del dipendente c'era, ed è caduto il licenziamento.
Il quadro: due discipline che devono reggere insieme
Nel rapporto di lavoro convivono il Regolamento UE 2016/679 e l'art. 4 dello Statuto dei lavoratori. Non sono alternative: l'art. 88 del GDPR consente espressamente norme nazionali più specifiche per il contesto lavorativo, ed è la ragione per cui la disciplina italiana sui controlli a distanza resta pienamente in vigore.
Il punto di partenza è lo squilibrio tra le parti. Da qui deriva la regola che sorprende molte aziende: il consenso del dipendente, di regola, non è una base giuridica valida. Lo ha chiarito il Gruppo di lavoro ex art. 29 nel parere 2/2017 sul trattamento dei dati sul luogo di lavoro: dove il rifiuto può causare un pregiudizio, anche solo potenziale, il consenso non è libero e quindi non è valido. Le basi da utilizzare sono l'esecuzione del contratto, l'adempimento di obblighi di legge e, nei limiti in cui è ammesso, il legittimo interesse.
L'art. 4: la procedura, e in che ordine
Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere installati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale.
La procedura non lascia scelta sull'ordine: serve un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali (o, per imprese con unità in più province o regioni, con le associazioni sindacali comparativamente più rappresentative sul piano nazionale). Solo in mancanza dell'accordo si procede previa autorizzazione della sede territoriale dell'Ispettorato nazionale del lavoro. Non sono due strade tra cui il datore può scegliere.
Il comma 2 esclude da questa procedura gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e gli strumenti di registrazione degli accessi e delle presenze.
Il comma 3 è quello che conta di più, e vale in entrambi i casi: le informazioni raccolte sono utilizzabili a tutti i fini connessi al rapporto di lavoro — quindi anche in sede disciplinare — a condizione che sia data al lavoratore adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli, e nel rispetto della normativa sulla protezione dei dati. L'informativa non è un adempimento accessorio dell'eccezione: è la condizione di utilizzabilità di tutto.
Vale la pena aggiungere che la violazione dell'art. 4, comma 1, è assistita da sanzione penale attraverso il rinvio dell'art. 171 del Codice privacy all'art. 38 dello Statuto: per chi valuta le priorità, è un dato che cambia il quadro rispetto alla sola sanzione amministrativa.
I metadati della posta elettronica: la questione più diffusa e meno presidiata
È il tema su cui, negli ultimi due anni, si è concentrata l'attenzione dell'Autorità, e riguarda quasi tutte le aziende, spesso senza che se ne rendano conto.
I sistemi di gestione della posta elettronica — soprattutto quelli forniti in cloud — raccolgono per impostazione predefinita i metadati: mittente, destinatario, indirizzi dei server coinvolti, orari di invio e ricezione, dimensione del messaggio, presenza e dimensione degli allegati, in alcuni casi l'oggetto. E li conservano a lungo, senza che nessuno abbia deciso nulla.
Con il documento di indirizzo adottato con provvedimento del 6 giugno 2024, n. 364, il Garante ha indicato che la raccolta e conservazione dei soli metadati necessari ad assicurare il funzionamento delle infrastrutture del sistema di posta può avvenire, di norma, per un periodo limitato a pochi giorni: a titolo orientativo non oltre 21 giorni. Oltre quella soglia la conservazione resta possibile, ma solo in presenza di particolari condizioni che ne rendano necessaria l'estensione, adeguatamente comprovate secondo il principio di responsabilizzazione — il che significa, in concreto, documentarle nella valutazione d'impatto e nel registro dei trattamenti.
Il provvedimento sostituisce quello del dicembre 2023, che indicava un termine molto più breve, ed è espressamente qualificato come documento di indirizzo: non introduce nuovi obblighi, ma orienta le scelte tecniche e organizzative. L'indicazione dei ventuno giorni resta il riferimento operativo: in un provvedimento del luglio 2026 il Garante ha ritenuto adeguato e proporzionato proprio quel termine.
Tre cose da verificare, concretamente: quanto conserva il fornitore per impostazione predefinita, se quella configurazione è modificabile, e se chi può accedere a quei dati è individuato e tracciato.
I controlli difensivi: la distinzione che decide le cause
È la categoria più fraintesa, e la Cassazione l'ha ordinata con la sentenza n. 25732 del 22 settembre 2021, seguita da un orientamento costante.
I controlli a difesa del patrimonio aziendale che riguardano tutti i dipendenti, o gruppi di essi, nello svolgimento della prestazione che li pone a contatto con quel patrimonio — i cosiddetti controlli difensivi in senso lato — restano dentro il perimetro dell'art. 4, con tutte le sue garanzie.
I controlli difensivi in senso stretto sono quelli diretti ad accertare condotte illecite ascrivibili, sulla base di concreti indizi, a singoli dipendenti. Questi si collocano fuori dall'art. 4, ma a condizioni rigorose: devono essere mirati e attuati ex post, cioè dopo l'insorgere del fondato sospetto, e possono riguardare soltanto i dati acquisiti dopo quel momento. Il controllo retrospettivo su dati già archiviati non è ammesso, e l'onere di allegare e provare le circostanze e la loro collocazione nel tempo grava sul datore.
Restano comunque soggetti alla disciplina di protezione dei dati personali: essere fuori dall'art. 4 non significa essere fuori dal GDPR.
Perché il licenziamento cade anche quando l'illecito c'è
L'esito che si vede più spesso nei contenziosi è questo: il fatto contestato è provato, il comportamento del dipendente è realmente scorretto, e il licenziamento viene annullato perché la prova è stata acquisita male.
La base normativa è l'art. 4, comma 3, dello Statuto insieme all'art. 2-decies del Codice privacy, per cui i dati trattati in violazione della disciplina non possono essere utilizzati. Non è una regola meccanica — lo stesso art. 2-decies fa salve le disposizioni processuali sull'utilizzabilità degli atti nel giudizio, e il punto è discusso — ma nella pratica il rischio è concreto e ricorrente, in particolare quando il datore ha esaminato a ritroso dati raccolti prima che sorgesse il sospetto.
Gli account email dopo la fine del rapporto
È l'altra area di rischio ordinario. La linea del Garante è consolidata: gli account nominativi, riconducibili a una persona identificata o identificabile, vanno rimossi dopo la cessazione del rapporto. Prima della rimozione l'account va disattivato, adottando contestualmente sistemi automatici che informino i terzi e forniscano indirizzi alternativi a cui rivolgersi.
Il reindirizzamento automatico della posta in arrivo verso un altro account, prassi comunissima, è stato ritenuto trattamento illecito, contrario ai principi di liceità, minimizzazione e limitazione della conservazione. E il tempo di disattivazione deve essere ragionevole, parametrato ai tempi tecnici, non all'interesse dell'azienda a continuare a leggere.
La videosorveglianza non finisce con l'autorizzazione
Ottenuto l'accordo sindacale o l'autorizzazione dell'Ispettorato, restano gli adempimenti privacy: informativa e cartellonistica, valutazione d'impatto dove ne ricorrono i presupposti, definizione dei tempi di conservazione delle immagini, limitazione e tracciamento degli accessi. È la parte che viene tralasciata più spesso, e quella su cui si concentrano le contestazioni in caso di ispezione.
Il diritto di accesso del dipendente
L'istanza con cui un dipendente, spesso in prossimità di un contenzioso, chiede copia dei dati che lo riguardano va gestita nei termini dell'art. 15 del GDPR. Il limite operativo è il paragrafo 4: l'esercizio del diritto non deve ledere i diritti e le libertà altrui. È lì che si decide cosa consegnare e in che forma, e improvvisare la risposta sotto pressione è il modo più rapido per aggravare la posizione.
La domanda giusta
Non è «possiamo installarlo». È «che cosa potremo farne, se un giorno servirà». Uno strumento installato correttamente ma senza informativa, o con tempi di conservazione mai definiti, produce dati che l'azienda non potrà usare proprio nel momento in cui le servono.
Contenuto a carattere informativo, aggiornato all'8 settembre 2026: non sostituisce la consulenza legale sul caso concreto.
Lo Studio Legale Capelli affianca le imprese nella gestione dei controlli e dei dati dei dipendenti, dalla procedura sindacale o autorizzativa alla difesa nel contenzioso disciplinare.
Tag: Privacy, Controlli a distanza, Art. 4 Statuto dei lavoratori, GDPR, Metadati email