CAPITOLO 4 L’UTILIZZABILITÀ DEI DATI NELL’AMBITO DEL RAPPORTO DI LAVORO:
4.2 L’ADEGUATA INFORMAZIONE
Nell’ambito della disciplina generale a tutela della protezione dei dati personali, il consenso del soggetto passivo del trattamento dei dati, l’interessato, adeguatamente informato dal
245 P. Tullini, Il controllo a distanza attraverso gli strumenti per rendere la prestazione lavorativa, in P. Tullini
(a cura di), op. cit., 112.
246A mio avviso, pur essendo facile prevedere che tale, complessa, opera darà vita ad un acceso dibattito, la
norma lavoristica prevale su quella generale per quanto riguarda tre profili: i) la previsione che legittima la raccolta delle informazioni derivanti dall’uso legittimo degli strumenti consentiti; ii) la previsione della «utilizzabilità» di tali informazioni «a tutti i fini connessi al rapporto di lavoro»; iii) la implicita esclusione della necessità del consenso del lavoratore ai fini del trattamento dei dati personali consistente nella raccolta e nella utilizzazione di quelle stesse informazioni. (G. Proia, op. cit., 547).
134
titolare e responsabile del trattamento, è presupposto necessario ed indispensabile per rendere giuridicamente lecito il trattamento dei dati personali. Nell’ottica giuslavorista (dove vige l’indisponibilità o solo parziale disponibilità dei diritti) si traduce nella previsione statutaria di un’adeguata informazione al lavoratore e realizza una tutela della persona del dipendente fondata sul principio di trasparenza.
Il principio cardine della trasparenza intorno al quale ruota la disciplina sulla protezione dei dati personali si traduce nell’informazione resa dal datore di lavoro al lavoratore come condizione per l’utilizzabilità dei dati. L’obbligo di rendere edotto il lavoratore in ordine alle modalità di utilizzo degli strumenti e ai controlli a cui è sottoposto costituisce un modo efficace per proteggerlo, non dal controllo, che si è già realizzato nei limiti previsti dal legislatore ai commi 1 e 2 dell’art. 4, ma dall’utilizzo dei dati, consentendo la conoscibilità e la verifica del corretto procedimento nel trattamento dei dati e la consapevolezza dei potenziali effetti, anche disciplinari, nell’ambito del rapporto di lavoro. I limiti posti dal legislatore nel comma 3 operano come limiti riferiti complessivamente ai poteri datoriali di gestione del rapporto di lavoro, non esclusivamente al potere di controllo: il datore potendo utilizzare le informazioni per valutazioni relative al rendimento del lavoratore o alle competenze professionali, oltre ad avvalersene per valutazioni disciplinari. Il dovere di informazione implica la trasparente rappresentazione di tutto l’iter, dalle modalità d’uso dello strumento alla raccolta e conservazione dei dati247.
Maresca mette in guardia sugli effetti indotti ed ulteriori della trasparenza e della consapevolezza di essere controllati che accentuerebbe la condizione di soggezione del lavoratore, intravedendosi nelle parole di Maresca un timore per l’effetto Panopticon248.
Il legislatore stabilisce che deve essere data al lavoratore adeguata informazione sulle modalità d’uso degli strumenti e di effettuazione dei controlli: in dottrina si è ritenuto che tale formulazione non rappresenti un’endiadi, ma identifichi due adempimenti differenti249. Il primo rimanda alla policy aziendale sull’uso degli strumenti, il disciplinare interno al quale
247 La conoscibilità del controllo non ne disinnesca la potenzialità lesiva ma la consapevolezza della procedura
consente di verificare il rispetto degli adempimenti. Anche il principio di buona fede di cui all’art. 1375 c.c. (Esecuzione di buona fede. Il contratto deve essere eseguito secondo buona fede) implica un dovere di trasparenza da parte del titolare nei confronti dell’interessato.
248 Lo strumento attuativo di tale trasparenza — cioè l’informazione al lavoratore — può comportare effetti
indotti di altra natura, proprio perché realizza in capo al dipendente la piena e formalizzata cognizione del controllo a cui è assoggettato. Si tratta, in particolare, non soltanto dell’effetto dissuasivo tipico di ogni controllo, ma anche dell’accentuazione della condizione di soggezione del lavoratore nel momento in cui assume la consapevolezza di essere sottoposto, ancorché legittimamente, ad un controllo, realizzato tecnologicamente, che viene a connotare la situazione di subordinazione nei confronti del datore di lavoro (A.
Maresca, op. cit., 512).
135
rinvia anche il Regolamento europeo, come misura di accountability, di responsabilizzazione del titolare del trattamento dei dati, mentre l’informazione sulle modalità di effettuazione dei controlli, sulle caratteristiche del monitoraggio ricorda da vicino l’informativa che il titolare del trattamento dei dati personali è tenuto ad inviare al soggetto interessato, ai sensi dell’art. 13 d.lgs. 196/2003 (oggi abrogato e sostituito dagli articoli 13 e 14 Reg. 2016/679UE). Potrebbe apparire un mero duplicato dell’obbligo previsto dall’art. 13 del Codice della privacy e da una parte della dottrina è considerata una
species dell’informativa di cui all’art. 13 D.lgs. 196/2003250.
In realtà, i due istituti restano distinti, quello giuslavoristico rappresenta un atto unilaterale che non richiede alcuna manifestazione di consenso da parte del lavoratore251, consente al lavoratore la conoscenza ex ante degli adempimenti dovuti e assicura il persistere del divieto di controlli occulti, è finalizzato ad abilitare il datore di lavoro ad utilizzare i dati acquisiti a tutti i fini connessi al rapporto di lavoro, compresi quelli disciplinari. La funzione principale dell’informazione nella disciplina della privacy è invece quella di rappresentare il presupposto logico necessario per l’acquisizione del consenso dell’interessato e lo strumento di acquisizione di informazioni generali sulle finalità e modalità di trattamento, per verificarne il rispetto ed eventualmente azionare i previsti strumenti di tutela. L’informativa sulla modalità di effettuazione dei controlli dovrà contenere l’indicazione della base giuridica che legittima il datore alla raccolta, specificare perché il controllo è necessario, il tipo di strumento utilizzato, le finalità del trattamento, gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali, il tempo massimo di conservazione dei dati o i criteri utilizzati per determinare tale periodo, i diritti dei lavoratori quali interessati al trattamento, l’indicazione del nominativo e dei contatti del Data Protection Officer, se nominato. L’obbligo dell’informativa e il principio di trasparenza che lo ispira si sono diffusi
250 Quanto al consenso, invece, pare corretto osservare che la legge condiziona il trattamento dei dati al solo
adempimento dell’obbligo di informativa, che è un atto unilaterale che non richiede alcuna manifestazione di consenso da parte dell’interessato, osservato il quale le “informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili” (art. 4, comma 3). Peculiarità che esclude la necessità di acquisire il consenso del lavoratore e che ben si giustifica se si considera che i dati da trattare sono raccolti tramite strumenti di lavoro (art. 4, comma 2), il cui utilizzo non può certo dipendere da una manifestazione di volontà del lavoratore, o, comunque, tramite strumenti di controllo preventivamente autorizzati dall’accordo collettivo o dal provvedimento amministrativo per finalità legislativamente tipizzate (art. 4, comma 1) (M. Marazza, op. cit.,
27).
251 In senso contrario A. Sitzia che conclude nel senso della necessità del consenso, v. Il controllo (del datore
di lavoro) sull’attività dei lavoratori: il nuovo articolo 4 st. Lav. e il consenso (del lavoratore), in LLI n.1/2016.
Secondo Marazza solo nel caso in cui il datore di lavoro intendesse utilizzare i dati raccolti per finalità diverse da quelle connesse al rapporto di lavoro, sarebbe condivisibile ritenere che trovi ordinaria applicazione non solo il principio dello scopo determinato e legittimo, da verificare caso per caso, ma anche la regola del consenso. (Marazza, op.cit., 27).
136
nelle prassi gestionali delle imprese, generando la consapevolezza di poter essere controllati, la possibilità del controllo in luogo del divieto assoluto e la trasparenza dei confini entro i quali il controllo può essere esercitato.
Non è escluso che tale informativa e quella di cui al Codice della privacy in futuro si possano unificare per i neoassunti, venendo incorporate in un unico documento.
La legge dà indicazioni generali sul contenuto della informativa e richiede adeguatezza: requisito da intendere come leggibilità, effettiva comprensibilità dei contenuti da parte del destinatario, e come specificità rispetto al tipo di strumento e di controllo a distanza effettuato. L’informativa dovrà contenere informazioni chiare, complete e sintetiche, per essere comprese agevolmente dal prestatore e non generalizzate, ma mirate in base al rischio che il singolo strumento può presentare per i diritti fondamentali del lavoratore, in grado di consentire a ciascun lavoratore di avere contezza del funzionamento degli strumenti che utilizza o che può utilizzare, del controllo che ne deriva e delle modalità con le quali saranno raccolti e trattati i suoi dati personali.
Pur in assenza di indicazioni specifiche da parte del legislatore, è opportuno che l’informazione al lavoratore rispetti il requisito della forma scritta per essere documentabile e tracciabile l’invio al lavoratore. Se il contenuto non è generalizzabile per tutti i dipendenti ma differenziato a seconda delle mansioni e degli strumenti di lavoro, allo stesso modo la comunicazione dell’informativa sarà individuale o specificamente indirizzata a gruppi di lavoratori che svolgono le stesse mansioni o usano gli stessi strumenti252.
È indubbio che l’informativa svolga una funzione essenziale proprio con riferimento agli strumenti impiegati ai sensi del secondo comma dell’art. 4, tra i quali certamente sono da ricomprendere internet e posta elettronica. Non a caso la formulazione dell’attuale comma 3, art. 4 St. lav. riprende testualmente la prescrizione del Garante nelle Linee guida per posta elettronica ed internet (punto 3.1 e 3.2)253. Se per gli impianti ricadenti nella disciplina del
252 Vedi A. Maresca, op. cit. e v. anche la circolare di Confindustria, Il nuovo art. 4 dello Statuto dei lavoratori:
profili privacy, in www.aib.bs.it/Allegati/2015/wdm_doc_allegati_58552_allegati.pdf nella quale si legge: Tale circostanza non sembrerebbe escludere la redazione di disciplinari interni, validi per gruppi di lavoratori che svolgono le stesse mansioni ovvero per gruppi di lavoratori che, pur svolgendo mansioni differenti, utilizzano i medesimi strumenti (v. Linee Guida per l’utilizzo della posta elettronica e internet, par. 3.2). In ogni caso, sarebbe opportuno che la diffusione di tali disciplinari tra i lavoratori interessati avvenisse con modalità tali da assicurarne la comunicazione personale (es. consegna del disciplinare, invio del disciplinare per e-mail).
253 Il Garante aveva chiarito, con riferimento a internet e alla posta elettronica, che “grava sui datori di lavoro
l’onere di indicare in ogni caso, chiaramente e in modo particolareggiato, quali siano le modalità di utilizzo degli strumenti messi a disposizione ritenute corrette e se, in che misura e con quali modalità vengano effettuati controlli. Per la predetta indicazione il datore ha a disposizione vari mezzi, a seconda del genere e della complessità delle attività svolte, e informando il personale con modalità diverse anche a seconda delle
137
comma 1 saranno gli accordi sindacali a determinare, in linea di massima, sia le modalità di uso dei dispositivi che quelle di effettuazione dei controlli, per gli strumenti di lavoro assegnati dal datore di lavoro manca il suddetto accordo e sarà il datore di lavoro a decidere liberamente e unilateralmente le relative regole di uso e ad informare preventivamente il lavoratore sulle condizioni d’uso degli strumenti di lavoro e sulle connesse possibilità di effettuare i controlli254.
A fronte delle possibili forme di controllo sulla prestazione lavorativa, collegate all’uso di strumenti di lavoro utilizzati per rendere la prestazione, assegnati liberamente dal datore di lavoro, la tutela della riservatezza viene garantita in una dimensione principalmente individuale, in cui l’adeguatezza dell’informativa funge da elemento cardine di protezione della libertà e dignità della persona all’interno dell’impresa, soprattutto nei casi nei quali non interviene la procedura sindacale o amministrativa255.
Il rischio, tuttavia, è che la previsione abbia una portata più formale che sostanziale: sarà agevole per i datori di lavoro attrezzarsi con modelli di informativa più o meno articolati che spieghino al lavoratore come e quando siano posti in essere i controlli attraverso l’utilizzo dello strumento di lavoro da parte del dipendente e non saranno in molti i lavoratori che chiederanno modifiche limitative alla portata dei potenziali controlli o che si rifiuteranno di firmare.
dimensioni della struttura, tenendo conto, ad esempio, di piccole realtà dove vi è una continua condivisione interpersonale di risorse informative”.
Da notare che il Garante nel provvedimento Linee guida in materia di trattamento di dati personali per
profilazione on line (19 marzo 2015), ha caldeggiato la scomposizione dell’informativa in due testi: uno
approfondito ed uno sintetico.
254Nell’ipotesi d’installazione di strumenti di controllo la ricorrenza di tale esigenza [tutela del patrimonio
aziendale] sarà verificata in concreto attraverso la procedura codeterminativa, mentre [nel caso di trattamento d’informazioni sui prestatori raccolte da uno strumento utilizzato per rendere la prestazione] sarà il datore di lavoro nella “valutazione di impatto privacy” (art. 35 Reg.) a dimostrare la ricorrenza del suo “legittimo interesse”, ossia della presenza di una base giuridica che giustifichi la legittimità del trattamento.
(A. Ingrao, op. cit.,163).
255Vedi Trib. Roma 13 giugno 2018 n. 57668 che dichiara inutilizzabili le informazioni raccolte per mancanza
di un’adeguata informazione, considerato che la policy aziendale non prevedeva né disciplinava in alcun modo l’esperimento di controlli e che il novellato art. 4 pone espressamente il rispetto dell’obbligo di adeguata informazione a condizione dell’utilizzabilità del dato.
V. anche C. App. Torino 27 marzo 2017 che dichiara inutilizzabili le comunicazioni Skype di un lavoratore in quanto la preventiva comunicazione sull’uso consentito degli strumenti in dotazione risultava mancante.
138
4.3 Le condizioni legittimanti e i principi regolatori del trattamento dei