L’art. 23 del d.lgs. n. 151 del 2015 ha modificato l’art. 4 st. lav. tenendo conto dell’evoluzione tecnologica e del bilanciamento con gli interessi dei lavoratori ad aver tutelata la loro privacy197, dato che il controllo nell’era delle nuove tecnologie e di internet può essere effettuato in moltissimi modi198 che possono rendere complesso
distinguere le attività professionali e/o lavorative da quelle afferenti la vita privata.
In sintesi i controlli del lavoratore, nelle ipotesi del secondo comma sono possibili a prescindere dalla procedura di cui al primo comma. Il
195 A riguardo il Garante nella sua nota 26 agosto 2010, cit. nella Relazione 2010, pp.
112-113 riconosce lecito per il datore di lavoro l’uso di foto pubblicate da un suo dipendente sul suo profilo social, la cui privacy era aperta a tutti, in cui erano visibili disegni protetti da brevetto industriale.
196 Vademecum Social Privacy – Come tutelarsi nell’era dei social network, doc. web
n. 3140059.
197 A. Bellavista, I poteri dell’imprenditore e la privacy del lavoratore, in Dir. lav.,
2002, I, p. 156 ss.
198 Ad esempio attraverso la navigazione web o l’uso dei social networks come
osserva L. Picotti, Diritti fondamentali nell’uso e abuso dei social network: aspetti penali, in Giur. merito, 1012 p. 2552.
terzo comma dispone che le informazioni raccolte ai sensi dei primi due commi sono utilizzabili a tutti i fini connessi al rapporto di lavoro, purché sia stata data al lavoratore un’adeguata informazione in relazione all’utilizzo degli strumenti e modalità del controllo, nel rispetto del Codice della Privacy.
Il legislatore ha scelto di inserire una sorta di clausola aperta, permettendo di ricondurre agli “altri strumenti” da cui derivi “la possibilità di controllo a distanza” ogni mezzo, hardware o software, connesso o meno con un sistema di elaborazione dati o in rete, che consenta anche solo la possibilità di attivare un controllo a distanza. Una soluzione nota all’ambito del diritto penale dell’informatica199.
La nuova formulazione dell’art. 4 st. lav. produce uno strappo con il passato, non limitandosi più al campo “materiale” che evocano le locuzioni “impianti” e “apparecchiature”, che portavano a distorsioni, per adattare la norma ai nuovi contesti tecnologici. La clausola aperta permette di abbracciare forme di controllo basate sull’applicazione di elementi logici quali i softwares di monitoraggio, l’accesso ai file di log di un server o l’attivazione da remoto delle webcam di tablet o il controllo dei social network e di considerare l’accesso non solo fisico agli stabilimenti ma anche quello telematico o logico nei sistemi informatici dell’azienda.
Il nuovo art. 4 st. lav. sembra non tanto autorizzare i controlli a distanza ma chiarirne i modi d’uso e limiti dell’utilizzabilità dei dati
199 L. Picotti, Sistema dei reati informatici, tecniche di formulazione legislativa e beni
giuridici tutelati, in L. Picotti (a cura di), Il diritto penale dell’informatica nell’epoca di internet, Padova, 2004, p. 21 ss.
raccolti. L’inosservanza degli obblighi di informazione del lavoratore implica sanzioni e l’inutilizzabilità dei dati raccolti. Sul piano penale la fattispecie incriminatrice è meramente sanzionatoria di precetti extrapenali, il cui ambito applicativo non è facilmente individuabile, in quanto fattispecie in bianco200. I fatti penalmente rilevanti sono costituiti dalle violazioni, sostanziali e procedurali, dei limiti posti dal nuovo art. 4 st. lav.
Primo fatto rilevante è il necessario requisito dell’esclusività dell’uso degli impianti audiovisivi e degli altri strumenti dai quali possa derivare un controllo a distanza, che possono essere impiegati solo per esigenze organizzative e produttive, per la sicurezza sul lavoro e la tutela del patrimonio aziendale, devono poi essere rispettati determinati presupposti per poter procedere all’installazione ovvero deve sussistere un accordo sindacale o l’autorizzazione amministrativa. Tali disposizioni non tornavo però applicazione nel caso di strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze.
Dobbiamo distinguere tra l’impiego degli strumenti di controllo e la loro installazione. L’installazione può avvenire con il solo accordo sindacale o autorizzazione amministrativa, mentre l’utilizzo deve essere necessario alle esigenze dette, alle quali è stata aggiunta la tutela del patrimonio aziendale. Si tratta dei cosiddetti controlli difensivi, diretti all’accertamento di comportamenti illeciti anche di terzi estranei, la
200 Vassalli, Nullum crimen sine lege, in Nss. Dig. It., XI, Torino, 1965, p. 493; A.
Gargani, Verso una “democrazia giudiziaria”? I poteri normativi del giudice tra principio di legalità e diritto europeo, Estratto in Criminalia, Annuario di scienze penalistiche, Pisa, Edizioni ETS, 2011, p. 99 ss.
legittimità di questi controlli è stata dichiarata da tempo dalla giurisprudenza penalistica. La giurisprudenza giuslavoristica operava invece una distinzione tra comportamenti riguardanti l’adempimento degli obblighi lavorativi e quelli inerenti la tutela dei beni estranei al rapporto di lavoro.201 Se l’installazione degli strumenti di controllo fosse stata finalizzata non alla verifica dell’adempimento regolare della prestazione ma alla tutela del patrimonio si sarebbe trattato di un fatto escluso dall’ambito applicativo dell’art. 4 st. lav202. In questo modo
sembrerebbe scomparire un’ampia zona grigia, escludendo che la mera finalità di tutela del patrimonio consenta di eludere le prescrizioni procedurali autorizzative.
Sul piano penalistico la situazione si complica. Con la scomparsa del precedente primo comma viene eliminata la locuzione: “è vietato l’uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dell’attività dei lavoratori”, quindi viene meno il divieto generale come principio sovrastante. Con la nuova formulazione positiva dei casi e dei modi del controllo consentito si dovrebbe dedurre che quanto non sia espressamente consentito sia vietato. Affermare un divieto generale e disciplinare i casi di deroga a tale divieto pone l’attenzione su un precetto chiaro, ossia il divieto, a cui è possibile derogare in ipotesi specifiche. Nel caso contrario oggi l’accento è posto sui casi in cui l’attività è realizzata in modo legittimo. Il precetto risulta
201 L.A. Cosattini, Le modifiche all’art. 4 Stat. Lav. sui controlli a distanza, tanto
rumore; per nulla?, in lavoro nella giur., 2015, p. 985.
essere “sfumato”203 mancando l’esplicito divieto generale. C’è una certa
frizione con il principio di legalità, in particolare con i principi di determinatezza e precisione del precetto normativo giuridico. La funzione integrativa svolta dal provvedimento amministrativo non contrasta con il principio di riserva di legge ma il legislatore deve consentire l’individuazione sicura dei presupposti, del carattere e dei limiti per assicurare un efficace controllo di legalità.
L’art. 4 st. lav. opera invece un generico riferimento alle esigenze organizzative e produttive, per la sicurezza sul lavoro e la tutela del patrimonio aziendale rinviando ai contenuti dell’accordo. In difetto di accordo lo stesso ruolo è svolto dal provvedimento autorizzativo della Direzione territoriale del lavoro o dal Ministero del lavoro e delle politiche sociali.
Il quadro complesso ed eterogeneo costituisce il risultato di un’eterointegrazione di norme per origine e natura diverse, che costituiscono persino il risultato di accordi fra soggetti privati. La formulazione e la struttura della fattispecie incriminatrice, meramente sanzionatoria di precetti extrapenali, determinano la rilevanza penale sia della violazione sostanziale di precetti extrapenali, determinando la rilevanza penale sia della violazione sostanziale dei contenuti dell’accordo o provvedimento autorizzativo, ovvero la loro inidoneità a giustificare le esigenze organizzative, produttive, per la sicurezza sul lavoro e per la tutela del patrimonio o ancora in difetto di tali esigenze; sia della violazione procedurale, ossia l’attuazione di sistemi e
203 A. Levi, Il nuovo art. 4 sui controlli a distanza – Lo Statuto dei lavoratori dopo il
metodologie di controllo in assenza di accordo o di provvedimento autorizzativo.
Altra ragione di complicazione riguarda la c.d “pietra dello scandalo”204 per il giuslavorista, la formulazione del secondo comma.
Attualmente le tecnologie sono dominanti e imprescindibili nello svolgimento delle attività lavorative o professionali, ma consentono anche il trattamento di una quantità non calcolabile di dati e informazioni che possono riguardare la vita lavorativa non sempre scindibili dalla vita privata205.
In base al primo comma “non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze”, sembrerebbe indiscutibile la sua applicazione ad ogni mezzo-device fornito o utilizzato dal lavoratore per svolgere la sua attività ma anche a sistemi di registrazione delle presenze quali l’uso di badges elettronici, impianti di autenticazione biometria o simili. L’uso di certi sistemi di autenticazione e software in grado di consentire all’operatore di svolgere attività da remoto, infatti comporta non solo la registrazione dell’accesso ma anche il possibile monitoraggio e la conseguente archiviazione delle operazioni effettuate; sottrarre tutto questo dalla disciplina limitativa dell’art. 4 st. lav. significherebbe annullare ogni forma di protezione del lavoratore.
204 Espressione utilizzata da Cosattini.
205 A. Levi, Il nuovo art. 4 sui controlli a distanza – Lo Statuto dei lavoratori dopo il
Con una nota del 18 giugno del 2015 il Ministero del lavoro206 ha
cercato di porre in essere una correzione con una sorta di interpretazione autentica, che escluderebbe la necessità dell’accordo o del provvedimento autorizzativo se lo strumento servisse al lavoratore per adempiere alla prestazione. Nel caso venisse modificato in modo da permettere il controllo del lavoratore dovrebbe trovare applicazione comunque il primo comma.
Ad oggi è impensabile che un lavoratore non utilizzi un device con o senza una connessione ad internet che effettua una registrazione delle operazioni di natura obbligatoria anche per assicurare un back up dei dati imposto dalla legge207 o un semplice sistema informatico che fin dal
principio è dotato di strumenti di controllo dell’attività dell’utente. Anche se si volesse ridurre il campo applicativo ai macchinari o agli impianti, sarebbe difficile rilevare oggi un sistema produttivo privo di una qualche forma di informatizzazione in grado di archiviare dati tra l’altro fondamentali per la catena produttiva. L’aspetto paradossale dal punto di vista penalistico è che i rinvii operati dall’art. 171 Codice Privacy sembrerebbero comportare l’applicazione di una sanzione penale alla violazione di una disposizione che prevede la non applicazione di un’altra disposizione, il primo comma.
La collocazione topografica della fattispecie nel Codice Privacy porta a ritenere che il bene giuridico protetto debba ravvisarsi nella riservatezza e nella dignità del lavoratore. Oltre a questo con l’esplosione
206http://www.lavoro.gov.it/Notizie/Pages/2015_06_18-controlli-a-distanza.aspx 207 Artt. 33 e ss. cod. privacy e allegato B, relativo all’adozione delle misure sicurezza
di internet e delle nuove tecnologie208 c’è stata un estensione ideale della
riservatezza, da intendersi a prescindere dalla natura dei dati e delle informazioni archiviati, nonché alla loro disponibilità rispetto ad illegittime interferenze da parte di terzi soggetti.
Queste nuove tecnologie rendono difficile una netta distinzione fra area privata e attività lavorativa. Il Codice della Privacy distingue tra titolare del trattamento e la natura del dato, dettando alcuni principi per il trattamento dei dati personali: finalità, correttezza, pertinenza e non eccedenza, prevedendo alcuni dritti che il soggetto interessato può esercitare, fra cui quello di opporsi per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta.
Richiamando tali principi il Garante è intervenuto precisando che devono essere considerati “controlli a distanza”, la lettura e la registrazione sistematica dei messaggi di posta elettronica, e nelle ipotesi di collegamento ad internet, la produzione e l’eventuale memorizzazione sistematica delle pagine web visualizzate dal lavoratore, nonché l’analisi “occulta” di devices. Con l’evoluzione tecnologica questo quadro si complica in quanto la distinzione delle sfere risulta sempre più difficile.
Il diritto penale dovrebbe intervenire nel momento in cui gli altri mezzi di tutela non fossero ritenuti efficaci e sufficienti per garantire la protezione di un bene di tale rango.
208 Il sistema informatico si ritiene essere un’ “espansione ideale dell’area di rispetto
pertinente al soggetto interessato, garantita dall’art. 14 della Costituzione e penalmente tutelata nei suoi aspetti più essenziali e tradizionali dagli artt. 614 e 615 cp”, relazione al Disegno di Legge n. 2773 presentato al Senato il 26 marzo 1993 e trasferito alla Camera l’11 giugno 1993.
Il controllo a distanza disciplinato dalla nuova formulazione positiva dell’art. 4 st. lav. invade l’area di riservatezza del lavoratore, le cui esigenze di tutela devono essere controbilanciate con quelle relative all’attività datoriale ed alla protezione del patrimonio aziendale.
La sanzione penale opera in caso di violazione sostanziale dei contenuti dell’accordo o del provvedimento autorizzativo, o in assenza di questi ultimi se il datore operasse controlli a distanza violando l’art. 4 st. lav.. Il bilanciamento è rimesso agli accordi negoziali fra le parti o al Ministero, senza che la fattispecie incriminatrice indichi con sufficiente specificazione i presupposti, i caratteri, il contenuto e i limiti degli atti pattizi o di quelli dell’autorità non legislativa.
Gli accordi o i provvedimenti autorizzativi adottati ex art. 4 st. lav. devono rispettare i regolamenti e i provvedimenti del Garante che specificano quali “impianti” e quali “esigenze” devono venire concretamente in rilievo, fornendo un utile ausilio per il bilanciamento tra interessi opposti. Riconoscere il controllo datoriale come un’ipotesi di trattamento dei dati personali rende applicabile le altre disposizioni penali e amministrative previste dal codice della privacy209. Opera inoltre
un rinvio in bianco ad un accordo o un provvedimento autorizzatorio senza ulteriori specifiche; infine si afferma la responsabilità penale in
209 L’art. 167 che punisce l’illecito trattamento dei dati personali; l’art. 161 che
sanziona l’omessa o inidonea informativa; l’art. 169 che punisce l’omessa adozione di misure di sicurezza, alcune delle quali devono essere poste a tutela della stessa riservatezza del lavoratore. L’art. 171 cod. privacy sanziona i precetti extra penali e rinvia alla previsione di cui all’art. 38 st. lav. e prevede le pene, salvo che il fatto non costituisca più grave reato, dell’ammenda da euro 154 a euro 1.549 o dell’arresto da 15 giorni ad un anno, nei casi più gravi l’arresto e l’ammenda sono applicate congiuntamente.
caso di violazione dell’art. 4 st. lav.; dovrebbe applicarsi anche in caso di violazione del secondo comma210.
La formulazione aperta della norma risulta essere difficilmente compatibile con il principio di legalità, il legislatore ha perso una valida opportunità per mettere ordine nella materia alla luce del progresso tecnologico.
La tecnica di formulazione della fattispecie penale di cui all’art. 171 cod. privacy dovrebbe garantire il bilanciamento degli interessi ed adattarsi ai mutati contesti tecnologici che influiscono sui comportamento sociali. L’indeterminatezza della norma incarica il giudice di determinare in concreto, alterando il risultato, in assenza di adeguati parametri ai quali ancorare la valutazione211.
210 A. Levi, Il nuovo art. 4 sui controlli a distanza – Lo Statuto dei lavoratori dopo il
Jobs Act,Milano, 2016, p. 176.
211 Corte cost., 28 gennaio 1991, n. 35, in Dir. prat. trib., 1992, II, 374 ss. In cui viene
detto che “l’indeterminatezza della fattispecie fa carico al giudice di determinare, in concreto, l’alterazione rilevante del risultato della dichiarazione, in assenza di adeguati parametri ai quali ancorarne la valutazione”.
3 LA TUTELA DELLA PRIVACY: BILANCIAMENTO TRA GLI INTERESSI DEL DATORE DI LAVORO E QUELLI DEI
LAVORATORI
3.1 Evoluzione del diritto alla privacy
Il diritto alla riservatezza nasce come “diritto alla solitudine” con lo scopo di tutelare la vita intima o privata da ingiustificate interferenze esterne. All’interno della Costituzione italiana manca un espresso riferimento a questo diritto, sono state la giurisprudenza1 e la dottrina che ricorrendo ai principi costituzionali a disposizione, che collocano lo sviluppo della persona umana al centro, a permettere di sancire un diritto alla libertà individuale dall’altrui ingerenza. Ciò è avvenuto facendo perno sui principi classici, come l’inviolabilità del domicilio, la libertà e la segretezza della comunicazione, la libertà di manifestazione del pensiero, la libertà di esercitare un culto religioso ma uno su tutti, ha permesso al diritto alla riservatezza di entrare a far parte dei diritti fondamentali della persona: l’art. 2 cost. in quanto avente accezione di clausola a “fattispecie aperta”2.
Questo diritto alla riservatezza è andato incontro ad un’evoluzione3
che ha portato anche alla tutela dei dati personali, declinando in termini
1 Corte Costituzionale: sentt. n. 38/1973; n. 139/1990; n. 366/1991: n. 81/1993; n.
135/2002; n. 271/2005. C’è stato anche l’intervento della Corte di Cassazione nel “caso Soraya”, Cass. civ., sez. I, 27 maggio 1975, n. 2129.
2 A. Barbera, Art. 2, in G. Branca (a cura di), Commentario della costituzione. Principi
fondamentali, art. 1-12, Zanichelli, Bologna, 1975.
3 G. Tiberi, Riservatezza e protezione dei dati personali, in M. Cartabia (a cura di), I
più ampi il concetto di riservatezza. E' vero che i diritti costituzionali classici sono stati fondamento per il diritto alla riservatezza e protezione dei dati personali ma ad oggi questi ultimi sono fondamentali per continuare a permettere che i principi fondanti la tutela della persona, continuino ad esistere ed ad essere adeguatamente tutelati.
E’ nello spazio europeo, nella Carta dei diritti fondamentali dell’Unione Europea4 che trova una formalizzazione giuridica la doppia
declinazione della privacy, come tutela della riservatezza e dei dati personali, mentre continua a mancare all’interno dell’ordinamento costituzionale italiano. Dall’Europa perviene il messaggio che i dati personali devono essere protetti in modo che non si raccolgano o utilizzino informazioni senza il consenso della persona coinvolta e ciò dovrà comunque sempre avvenire nel rispetto delle leggi5. Recentemente
il quadro europeo è stato completato con il nuovo Regolamento generale sulla protezione dei dati n. 2016/679 6. In questo nuovo contesto europeo
la coesistenza di una pluralità di diritti, implica la possibilità che si trovino in conflitto tra di loro e l’unica soluzione consiste nella ricerca di un bilanciamento ed il Regolamento è uno strumento volto ad assicurare il massimo dell’omogeneità tra gli Stati membri, poiché realizza una
4 Carta di Nizza, artt. 7 ed 8.
5 Questo viene ribadito a commento della Carta di Nizza in relazione alla protezione
dei dati personali, da M. Murgo, Diritti di libertà, in P. Gianniti (a cura di), I diritti fondamentali nell’Unione Europea. La Carta di Nizza dopo il Trattato di Lisbona, Zanichelli, Bologna, 2013, pp. 761-795.
6 Reg. (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 206,
relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati), pubblicato in Gazzetta Ufficiale dell’Unione europea il 4 maggio 2016.
declinazione di questo diritto fondamentale a livello legislativo, nella sua interezza.
A fronte delle nuove modalità di adempimento delle prestazioni lavorative, il potere di controllo del datore di lavoro è notevolmente aumentato, essendo spesso le nuove possibilità di monitoraggio intrinseche agli strumenti utili all’adempimento della prestazione stessa di lavoro. Il mutato modo di lavorare porta con se la necessità di un cambiamento anche della privacy aziendale, ristabilendo un nuovo bilanciamento degli interessi.