Illecito spiare il contenuto della navigazione in internet del dipendente
Il datore di lavoro non
puo’ monitorare la navigazione in Internet del dipendente. Il Garante privacy ha
vietato a una società l’uso dei dati relativi alla navigazione in Internet di
un lavoratore che, pur non essendo autorizzato, si era connesso alla rete da un
computer aziendale. Il datore di lavoro, dopo aver sottoposto a esame i dati del
computer, aveva accusato il dipendente di aver consultato siti a contenuto
religioso, politico e pornografico, fornendone l’elenco dettagliato.
Per contestare l’indebito
utilizzo di beni aziendali, afferma il Garante nel suo provvedimento, sarebbe
stato in questo caso sufficiente verificare gli avvenuti accessi a Internet e i
tempi di connessione senza indagare sui contenuti dei siti. Insomma, altri tipi
di controlli sarebbero stati proporzionati rispetto alla verifica del
comportamento del dipendente.
"Non è ammesso spiare
l’uso dei computer e la navigazione in rete da parte dei lavoratori", commenta
Mauro Paissan, componente del Garante e relatore del provvedimento. "Sono in
gioco la libertà e la segretezza delle comunicazioni e le garanzie previste
dallo Statuto dei lavoratori. Occorre inoltre tener presente che il semplice
rilevamento dei siti visitati puo’ rivelare dati delicatissimi della persona:
convinzioni religiose, opinioni politiche, appartenenza a partiti, sindacati o
associazioni, stato di salute, indicazioni sulla vita sessuale".
Nel caso sottoposto al
giudizio del Garante, dopo una prima istanza, senza risposta, rivolta alla
società, il lavoratore aveva presentato ricorso al Garante contestando la
legittimità dell’operato del datore di lavoro.
La società aveva allegato
alla contestazione disciplinare notificata al lavoratore, in seguito licenziato,
numerose pagine dei file temporanei e dei cookies originati sul suo computer
dalla navigazione in rete, avvenuta durante sessioni di lavoro avviate con la
password del dipendente. Da queste pagine, copiate direttamente dalla directory
intestata al lavoratore, emergevano anche diverse informazioni particolarmente
delicate che la società non poteva raccogliere senza aver prima informato il
lavoratore. Sebbene infatti i dati personali siano stati raccolti nel corso di
controlli informatici volti a verificare l’esistenza di un comportamento
illecito, le informazioni di natura sensibile, in grado di rivelare ad esempio
convinzioni religiose e opinioni sindacali o politiche, potevano essere trattate
dal datore di lavoro senza consenso solo se indispensabili per far valere o
difendere un diritto in sede giudiziaria. Indispensabilità che non è emersa
dagli elementi acquisti nel procedimento.
Illecito anche il
trattamento dei dati relativi allo stato di salute e alla vita sessuale.
Secondo il Codice della privacy infatti tale tipo di trattamento puo’ essere
effettuato senza consenso solo se necessario per difendere in giudizio un
diritto della personalità o un altro diritto fondamentale. La società in
questo caso intendeva invece far valere diritti legati allo svolgimento del
rapporto di lavoro.
Internet: proporzionalità
nei controlli effettuati dal datore di lavoro – 2 febbraio 2006
IL GARANTE PER LA
PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, in
presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe
Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe
Fortunato, componenti e del dott. Giovanni Buttarelli, segretario generale;
Esaminato il ricorso
presentato da XY, rappresentato e difeso dagli avv.ti Alfredo Sigillo’ Massara e
Vincenzo Sigillo’ presso il cui studio ha eletto domicilio
nei confronti di
ZK S.p.A. rappresentata e
difesa dall’avv. Maurizio Maggio presso il cui studio ha eletto domicilio;
Visti gli articoli 7, 8 e
145 ss. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno
2003, n. 196);
Viste le osservazioni
dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del
regolamento del Garante n. 1/2000;
Relatore il dott. Mauro
Paissan;
PREMESSO
Il ricorrente ha ricevuto
dalla casa di cura resistente, presso cui prestava servizio come addetto
all’accettazione e al banco referti, una contestazione disciplinare relativa ad
accessi ad Internet non autorizzati effettuati sul luogo di lavoro.
Il ricorrente ha chiesto il
blocco e la cancellazione dei dati personali che lo riguardano relativi a tali
accessi, ai sensi dell’art. 7 Codice. La resistente li aveva documentati
producendo numerose pagine -allegate alla contestazione disciplinare- recanti,
in particolare, informazioni relative ai "file"
temporanei e ai "cookie"
originati, sul computer utilizzato dal ricorrente, dalla navigazione in rete
avvenuta durante sessioni di lavoro avviate con la password del ricorrente
medesimo.
Non avendo ricevuto
riscontro, il ricorrente ha presentato ricorso al Garante ai sensi degli art.
145 e s. del Codice, ritenendo illecito il trattamento.
Il ricorrente ha sostenuto
che tra i dati in questione comparivano anche alcune informazioni di carattere
sensibile idonee a rivelare, in particolare, convinzioni religiose, opinioni
sindacali, nonchè gusti e tendenze sessuali posto che numerosi file fanno
riferimento a siti Internet a contenuto pornografico. La resistente avrebbe
trattato tali dati senza alcun consenso e senza informare preventivamente circa
la possibilità di effettuare controlli sui terminali d’ufficio nè
l’interessato, nè il "sindacato interno
all’azienda (…), in aperto spregio all’articolo 4 dello Statuto dei lavoratori
che prevede che tale attività puo’ avvenire solo previo consenso del sindacato
o dell’ispettorato del lavoro". Il ricorrente ha pertanto ribadito
le sue precedenti istanze chiedendo anche di porre a carico del soccombente le
spese sostenute per il procedimento.
A seguito dell’invito ad
aderire formulato da questa Autorità in data 7 novembre 2005 ai sensi
dell’art. 149, comma 1, del Codice, la resistente ha risposto con memoria del 29
novembre 2005 con la quale, considerando il ricorso inammissibile (dal momento
che il ricorrente, contestando "fermamente
di avere mai operato le azioni oggetto della contestazione disciplinare",
non sarebbe legittimato a proporlo), ha ritenuto lecito il trattamento citando
casi analoghi di controllo dei lavoratori ritenuti leciti in giurisprudenza e
dichiarando, in particolare, che:
-
"i
fatti su cui si fonda il ricorso (…) traggono origine dal licenziamento per
giusta causa intimato" al ricorrente "a
seguito dell’accertamento (…) di alcune gravi violazioni poste in essere dal
lavoratore e che, per la parte che interessa questo procedimento, ha
riguardato l’illecito accesso ad Internet dai computer aziendali in uso allo
stesso (…), l’appropriazione indebita del materiale cartaceo utilizzato per
stampare i risultati della navigazione, nonchè il danneggiamento della rete
aziendale a causa dei virus informatici introdottisi, fatti per i quali si è
provveduto a proporre relativa querela"; -
il ricorrente non è
stato preventivamente informato di possibili controlli informatici in
considerazione del fatto che gli accessi ad Internet, "in
virtù delle mansioni affidate al lavoratore, non sarebbero dovuti avvenire"; -
ZK S.p.A. è comunque "dotata
di un manuale della qualità accessibile a tutti i dipendenti della clinica
che hanno in uso i terminali aziendali (…), essendo consultabile dal computer
cliccando su apposita icona"; il manuale avverte i lavoratori sia
della circostanza che "per la salvaguardia dei dati si procederà a backup periodici ed
all’installazione e manutenzione di opportuni programmi antivirus",
sia del fatto che "gli elaboratori sono
da considerarsi beni aziendali affidati al lavoratore per lo svolgimento delle
sue mansioni; ogni utilizzo per fini privati deve essere evitato"; -
la società non era
obbligata a raccogliere il consenso che non è richiesto (art. 24 del Codice)
quando il trattamento, come nel caso di specie, nasce dalla "legittima
esigenza di far valere i propri diritti, anche ai fini della loro tutela in
giudizio. E cio’, sia rispetto al rapporto di lavoro con il XY ed alla sua
risoluzione, sia rispetto alla tutela di patrimonio ed attività aziendale,
nonchè alla finalità di quest’ultima, rilevante sotto il profilo sociale,
operando la ZK S.p.A. nel campo della sanità accreditata (…) e, quindi,
inserita nell’ampio sistema previsto dal nostro ordinamento per garantire il
diritto, di rilevanza costituzionale, alla salute del cittadino"; -
gli artt. 2, 3 e 4 dello
Statuto dei lavoratori non farebbero "venire
meno il potere dell’imprenditore, ai sensi degli artt. 2086 e 2104 c.c., di
controllare direttamente o mediante propria organizzazione gerarchica
l’adempimento delle prestazioni cui sono tenuti i lavoratori, e cosi’ di
accertare eventuali mancanze specifiche dei dipendenti medesimi già commesse
o in corso di esecuzione"; per poter applicare il divieto di
controllo a distanza dei lavoratori di cui all’art. 4 della l. n. 300/1970, "è
necessario che il controllo riguardi (direttamente o indirettamente)
l’attività lavorativa, mentre devono ritenersi certamente fuori dall’ambito
di applicazione della norma i controlli diretti ad accertare condotte illecite
del lavoratore (cd. controlli difensivi)"
(cfr. Cass. n. 4746/2002), quali quelli messi in atto nel caso di specie; -
"l’utilizzo
privato dell’elaboratore aziendale costituisce illecito contrattuale a carico
del lavoratore"; pertanto, la società poteva porre lecitamente in
essere i necessari controlli difensivi volti a far valere i propri diritti.
Nell’audizione del 6
dicembre 2005 il ricorrente ha rilevato che dalla motivazione delle sentenze
citate dalla controparte risulta che nei predetti casi il controllo dei
lavoratori è stato considerato lecito in quanto il trattamento di dati
personali sarebbe "stato breve e non
eccedente, ovvero effettuato limitatamente ai tempi di connessione e non ai
contenuti".
Con memoria del 13 gennaio
2006 (successiva alla proroga del termine per la decisione sul ricorso disposta
da questa Autorità, ai sensi dell’art. 149, comma 7, del Codice, il 6 dicembre
2005), la resistente ha ribadito di ritenere lecito il trattamento ed ha
comunicato che, su richiesta del ricorrente, è stata fissata la data di
convocazione delle parti per il tentativo obbligatorio di conciliazione ai sensi
degli artt. 410 e ss. c.p.c.; cio’, confermerebbe la volontà del ricorrente "di
adire l’autorità giudiziaria al fine di far valere l’illegittimità del
licenziamento".
Nella memoria pervenuta il
25 gennaio 2006, il ricorrente ha ribadito le proprie richieste ed ha rilevato
in particolare che:
-
l’unica
password utilizzata dal
ricorrente era la "password utente"
che consente di avviare la sessione di lavoro sul
computer, mentre nessuna
password era pr