Controllo a distanza dei lavoratori tra tutela della persona e poteri datoriali. Analisi del quadro normativo.

Nell’attuale contesto, caratterizzato da un uso crescente di strumenti digitali nei luoghi di lavoro, il controllo a distanza dei lavoratori rappresenta uno dei terreni più delicati di bilanciamento tra esigenze organizzative dell’impresa e tutela della dignità e riservatezza

del lavoratore. Una diffusa prassi aziendale tende a ricondurre tali tematiche esclusivamente nell’alveo della protezione dei dati personali, facendo leva sulla conformità al Regolamento (UE) 2016/679. Tuttavia, tale approccio risulta giuridicamente incompleto. Il sistema normativo italiano impone infatti il rispetto congiunto e cumulativo di due distinti livelli regolatori: da un lato la disciplina in materia di protezione dei dati personali; dall’altro la normativa lavoristica, in particolare l’Articolo 4 dello Statuto dei lavoratori. L’inosservanza anche di uno solo di tali livelli comporta l’illegittimità del trattamento e rilevanti conseguenze sanzionatorie.

Il quadro normativo: doppio binario di tutela. 1) La disciplina lavoristica: limiti al controllo datoriale. L’art. 4 dello Statuto dei lavoratori, come modificato dal d.lgs. 151/2015, stabilisce che gli impianti audiovisivi e gli altri strumenti dai quali derivi la possibilità di controllo a distanza dei lavoratori possono essere installati solo per esigenze organizzative, produttive, di sicurezza del lavoro o tutela del patrimonio aziendale ed è necessario un accordo collettivo con le rappresentanze sindacali oppure, in mancanza, una autorizzazione amministrativa rilasciata dall’Ispettorato Nazionale del Lavoro. Tale previsione costituisce un presupposto di legittimità ex ante: in sua assenza, il sistema di controllo è radicalmente illecito. La norma introduce inoltre una distinzione fondamentale tra strumenti di controllo “in senso stretto” → soggetti ad accordo/autorizzazione e strumenti “di lavoro” (pc, smartphone, badge), esclusi dall’iter autorizzativo, ma non sottratti alle altre garanzie. 2) La disciplina privacy: principi e basi giuridiche. Parallelamente, il GDPR impone il rispetto dei principi di cui all’art. 5 (liceità, correttezza, trasparenza, minimizzazione, limitazione della conservazione) e richiede una base giuridica adeguata ai sensi dell’art. 6. Nel rapporto di lavoro, il consenso del dipendente è generalmente ritenuto inidoneo, in quanto non libero per via della posizione di subordinazione (cfr. considerando 43 GDPR). Le basi giuridiche tipicamente rilevanti sono: adempimento di obblighi legali; esecuzione del contratto; **legittimo interesse del datore (da bilanciare con i diritti del lavoratore). Nei casi di trattamenti particolarmente invasivi, è inoltre necessaria la valutazione d’impatto (DPIA – vedi l’approfondimento) ex art. 35 GDPR.

Il rapporto tra le due normative: cumulatività e autonomia. Dottrina e giurisprudenza sono concordi nel ritenere che le due discipline operino su piani distinti ma interdipendenti.

La normativa lavoristica regola il potere di controllo del datore mentre la normativa privacy disciplina il trattamento dei dati personali conseguente. Ne deriva che la conformità al GDPR non sana la violazione dell’art. 4 dello Statuto dei lavoratori e viceversa. Vediamo, ora, le conseguenze sanzionatorie.  a) Sanzioni in materia di protezione dei dati. Il GDPR prevede sanzioni amministrative fino a 20 milioni di euro, oppure 4% del fatturato annuo mondiale. A ciò si aggiungono: poteri correttivi dell’autorità di controllo (limitazione o divieto del trattamento); responsabilità civile ex art. 82 GDPR; eventuali fattispecie penali previste dal Codice Privacy (d.lgs. 196/2003). b) Sanzioni lavoristiche e penali. La violazione dell’art. 4 è sanzionata dall’Articolo 38 dello Statuto dei lavoratori, che prevede ammenda o arresto (contravvenzione penale). Ulteriore effetto centrale è quello dell’inutilizzabilità dei dati raccolti illegittimamente, con impatti diretti sui procedimenti disciplinari e sui licenziamenti. 

L’inutilizzabilità delle prove: orientamenti della giurisprudenza di legittimità. La Corte di Cassazione ha più volte affrontato il tema, delineando principi ormai consolidati. La giurisprudenza distingue tra: controlli diretti a verificare l’adempimento della prestazione (soggetti all’art. 4); controlli difensivi, diretti ad accertare comportamenti illeciti.  Secondo un orientamento consolidato (tra cui Cass. n. 25732/2021), i controlli difensivi sono ammessi anche senza accordo sindacale purché non siano generalizzati e preventivi, ma mirati a specifiche condotte illecite. 

Utilizzabilità dei dati degli strumenti di lavoro. La Cassazione (ad es. Cass. n. 10955/2015; Cass. n. 13266/2018) ha chiarito che i dati provenienti da strumenti aziendali possono essere utilizzati solo se il lavoratore è stato previamente informato sulle modalità di controllo.  L’assenza di adeguata informativa comporta l’illegittimità dell’utilizzo a fini disciplinari.

Videosorveglianza illegittima. In tema di videosorveglianza, la Corte ha ribadito che la mancata autorizzazione ex art. 4 determina l’inutilizzabilità delle riprese e le prove così ricavare non possono fondare legittimamente un licenziamento (cfr. Cass. n. 22148/2017). 

Le eccezioni dell’art. 4: ambito e limiti. L’esclusione dall’autorizzazione è prevista per gli strumenti utilizzati per rendere la prestazione e per i sistemi di rilevazione delle presenze. Anche in questi casi, tuttavia, persistono gli obblighi di una informativa trasparente, il rispetto dei principi del GDPR; della proporzionalità e minimizzazione.  Si tratta dunque di una deroga procedurale, non sostanziale.

Il corretto percorso di compliance. Un approccio conforme richiede una sequenza strutturata: Mappatura dei trattamenti Individuazione della base giuridica Analisi dei rischi e DPIA (se necessario) Accordo sindacale o autorizzazione amministrativa Predisposizione di un’informativa chiara e specifica Definizione di policy interne proporzionate. Solo al termine di tale percorso i dati potranno essere legittimamente utilizzati, anche a fini disciplinari.

Approfondimento🡪 Che cos’è la DPIA. La DPIA è una procedura preventiva che il titolare del trattamento deve svolgere prima di iniziare un trattamento di dati personali quando questo presenta un rischio elevato (invasivo) per i diritti e le libertà delle persone fisiche. In sostanza, è uno strumento di analisi e gestione del rischio e serve a verificare se e in che misura un determinato trattamento possa incidere negativamente sulla privacy e sugli altri diritti fondamentali degli interessati (nel nostro caso, i lavoratori). Quando parliamo di trattamenti invasivi ci riferiamo a dati sensibili (salute, opinioni politiche, appartenenza sindacale). Nel contesto lavorativo, esempi tipici sono: sistemi di monitoraggio continuo delle prestazioni; uso di algoritmi per valutazioni o decisioni sul personale; videosorveglianza estesa o capillare; raccolta e analisi di dati sanitari o comportamentali.  In tutti questi casi, il rischio di compressione dei diritti del lavoratore è elevato, e quindi scatta l’obbligo di DPIA. Le autorità garanti, tra cui il Garante per la protezione dei dati personali, hanno pubblicato elenchi di trattamenti per cui la DPIA è obbligatoria: tra questi rientrano proprio molti trattamenti in ambito lavorativo ad alto impatto. La funzione sostanziale della DPIA è preventiva. Serve a evitare che il trattamento nasca già illegittimo. Se dalla DPIA emerge che il rischio resta elevato nonostante le misure adottate, il titolare deve addirittura consultare preventivamente l’autorità di controllo (art. 36 GDPR). 

Conoscere i propri diritti è importante ma, ancora di più, è esercitarli nel modo corretto. I dirigenti di Azione Sindacale Udine garantiscono ai propri iscritti una tutela gratuita, qualificata e tempi di attesa che non superano, nella peggiore delle ipotesi, le 48 ore. 

• puoi chiamarci: Linea mobile 351-6688108

• contattarci via e-mail: azionesindacale.fvg@gmail.com