Controlli sul telefono aziendale e privacy del lavoratore: quando c'è diritto al risarcimento
Il datore di lavoro che monitora smartphone o dispositivi aziendali oltre i limiti di legge espone il dipendente a una lesione della riservatezza. Non ogni controllo è vietato, ma quelli privi dei presupposti dell'art. 4 dello Statuto dei Lavoratori possono aprire la strada a segnalazioni al Garante e ad azioni risarcitorie davanti al giudice del lavoro.
Inquadramento normativo
Il controllo del datore di lavoro sugli strumenti tecnologici assegnati al dipendente è disciplinato dall'art. 4 della Legge 300/1970 (Statuto dei Lavoratori). La norma consente l'impiego di impianti e strumenti dai quali derivi anche un controllo a distanza dell'attività lavorativa solo in presenza di esigenze organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale, e a condizione che vi sia un accordo con le rappresentanze sindacali o, in mancanza, un'autorizzazione dell'Ispettorato Territoriale del Lavoro (ITL).
Un presupposto ulteriore è l'informativa preventiva: il lavoratore deve essere informato in modo chiaro sulle modalità d'uso degli strumenti e sull'eventuale controllo. A questo si aggiungono il GDPR (Regolamento UE 2016/679) e il D.Lgs. 196/2003 (Codice della Privacy), che impongono liceità, proporzionalità e minimizzazione nel trattamento dei dati personali. La violazione di questi principi legittima l'intervento del Garante per la protezione dei dati personali.
Controlli difensivi e controlli ex art. 4
Un punto spesso frainteso riguarda i cosiddetti controlli difensivi. La Cassazione sezione lavoro distingue i controlli difensivi "in senso stretto", diretti ad accertare condotte illecite già in corso o sospettate del singolo lavoratore, dai controlli riconducibili al perimetro dell'art. 4, che presuppongono accordo o autorizzazione e informativa.
I primi, secondo l'orientamento della Corte, possono in casi limitati prescindere dalle garanzie procedurali dell'art. 4, ma solo quando siano mirati, successivi al fondato sospetto e non consistano in una sorveglianza generalizzata e preventiva. Al di fuori di questi confini, i dati raccolti rischiano di non essere utilizzabili in sede disciplinare. La linea di confine è sottile e la sua qualificazione va valutata caso per caso.
Il danno da violazione della privacy
La lesione della riservatezza non genera un risarcimento automatico. Secondo l'orientamento della Corte di Giustizia dell'Unione Europea (causa C-300/21, Österreichische Post – status: da verificare negli estremi), la sola violazione del GDPR non basta: il danno deve essere allegato e provato dall'interessato, anche se non è richiesta una soglia minima di gravità.
Esistono due strade autonome. La prima è la segnalazione o il reclamo al Garante, che può avviare istruttorie e comminare sanzioni amministrative al titolare del trattamento. La seconda è l'azione civile davanti al giudice ordinario, in materia di lavoro competente per la richiesta di risarcimento del danno subito. Le due vie sono indipendenti: la sanzione del Garante non sostituisce il risarcimento, e viceversa.
Implicazioni pratiche per il lavoratore
Per chi lavora, questo significa che non ogni monitoraggio è illecito, ma lo diventa quando manca uno dei presupposti: assenza di accordo sindacale o autorizzazione ITL, mancata informativa, finalità estranee a quelle consentite, oppure controllo sproporzionato e continuativo.
Quando la raccolta dei dati è avvenuta fuori dai binari di legge, gli elementi acquisiti possono risultare inutilizzabili anche in un eventuale procedimento disciplinare. Prima di agire, tuttavia, è opportuna una valutazione della concreta quantificabilità del danno, perché il pregiudizio va dimostrato e non è presunto.
(Le violazioni della sfera strettamente privata – ad esempio spyware installati al di fuori del rapporto di lavoro – seguono regole in parte diverse e restano qui fuori dal focus giuslavoristico.)
Cosa fare in concreto
- Verifica i presupposti: accerta se esistono accordo sindacale o autorizzazione ITL e se hai ricevuto un'informativa scritta sulle modalità di controllo degli strumenti aziendali.
- Documenta tutto: conserva comunicazioni, screenshot, policy interne e ogni elemento utile a ricostruire la modalità e l'estensione del monitoraggio.
- Esercita i diritti GDPR: presenta al datore di lavoro, quale titolare, una richiesta di accesso ai dati trattati per capire cosa è stato raccolto e per quale finalità.
- Valuta le due strade: considera separatamente il reclamo al Garante e l'eventuale azione civile risarcitoria, tenendo presente che il danno va allegato e provato.
Disclaimer
Contributo informativo a cura di Tamburro & Partners Avvocati – Avv. Giuseppe Tamburro. Non costituisce parere legale.
Ogni storia di lavoro ha i suoi tempi.
Se gestisci HR e vuoi un confronto su contenzioso, ispezioni o licenziamenti, scrivi allo studio. Ti rispondiamo entro un giorno lavorativo.