Protezione dei dati personali e controlli sul lavoratore: la centralità dell’art. 4 dello Statuto dei lavoratori
La progressiva digitalizzazione dei processi produttivi ha profondamente modificato il modo in cui le imprese organizzano il lavoro e gestiscono le informazioni. Computer aziendali, sistemi gestionali, applicativi cloud e posta elettronica producono quotidianamente una quantità crescente di dati: log di accesso, metadati, credenziali di autenticazione, file, cronologie e registrazioni tecniche.
È proprio questa evoluzione tecnologica ad avere reso più complesso il rapporto tra disciplina lavoristica e protezione dei dati personali. Sempre più spesso, infatti, le informazioni generate dagli strumenti di lavoro vengono successivamente impiegate per verificare condotte del lavoratore o per accertare eventuali inadempimenti. Il dibattito giuridico tende allora a concentrarsi sulla liceità del controllo, sulla configurabilità dei controlli difensivi e sull’utilizzabilità delle risultanze informatiche. Si tratta, tuttavia, di un’impostazione che rischia di affrontare il problema partendo dalla sua fase conclusiva.
Per comprendere la portata della questione occorre richiamare la disciplina dettata dall’art. 4 dello Statuto dei lavoratori, disposizione che costituisce il punto di equilibrio tra le esigenze organizzative e produttive dell’impresa, la tutela del patrimonio aziendale e il diritto del lavoratore alla riservatezza. Il primo comma riguarda l’utilizzo di impianti audiovisivi e di altri strumenti dai quali derivi la possibilità di controllo a distanza dei lavoratori, consentendone l’impiego esclusivamente per esigenze organizzative e produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale e subordinandolo all’accordo sindacale ovvero, in mancanza, all’autorizzazione dell’Ispettorato nazionale del lavoro. Il secondo comma disciplina invece gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e quelli di registrazione degli accessi e delle presenze, sottraendoli al regime autorizzatorio. Il terzo comma precisa, infine, che le informazioni raccolte attraverso tali strumenti sono utilizzabili a tutti i fini connessi al rapporto di lavoro soltanto nel rispetto degli obblighi informativi nei confronti del lavoratore e della disciplina in materia di protezione dei dati personali.
L’applicazione dell’art. 4 dello Statuto dei lavoratori ha dato origine, negli anni, a un ampio dibattito sul rapporto tra il divieto di controlli a distanza e l’esigenza del datore di lavoro di accertare condotte illecite dei propri dipendenti. È in questo contesto che la giurisprudenza ha elaborato la categoria dei controlli difensivi, riconoscendo che l’impresa non può essere privata della possibilità di verificare fatti potenzialmente lesivi del proprio patrimonio o della propria organizzazione. Al tempo stesso, però, la Corte di cassazione ha progressivamente precisato che tale potere non può trasformarsi in uno strumento di vigilanza generalizzata sull’attività lavorativa. I controlli difensivi sono quindi ammessi soltanto quando l’accertamento sia giustificato da un fondato sospetto della commissione di uno specifico illecito, sia limitato alle verifiche strettamente necessarie e non comporti una ricostruzione retrospettiva e indiscriminata dell’attività del lavoratore. Proprio da questa impostazione deriva il principio, ormai consolidato, secondo cui i dati raccolti prima dell’insorgenza del sospetto non possono essere successivamente utilizzati a fini disciplinari, perché acquisiti in un momento in cui mancava il presupposto che rende legittimo il controllo (da ultimo, Cass. Sezione Lavoro, n. 32283/2025).
Si tratta di principi condivisibili, che hanno contribuito a delimitare il perimetro dei controlli difensivi e a evitare che tale categoria si trasformi in uno strumento idoneo ad aggirare le garanzie previste dall’art. 4 dello Statuto dei lavoratori. Eppure, proprio la centralità assunta da questo dibattito rischia di far passare in secondo piano una questione logicamente antecedente.
Prima ancora di verificare se il controllo sia sorretto da un fondato sospetto o se ricorrano i presupposti dei controlli difensivi, occorre stabilire se i dati utilizzati rientrino nell’ambito applicativo dell’art. 4 dello Statuto dei lavoratori. Se così è, non viene in rilievo soltanto la distinzione tra gli strumenti disciplinati dal comma 1 e quelli contemplati dal comma 2, ma anche il comma 3 della disposizione, che subordina l’utilizzabilità delle informazioni raccolte al rispetto degli obblighi informativi e della disciplina in materia di protezione dei dati personali. Ne consegue che la legittimità del trattamento dei dati costituisce un passaggio preliminare rispetto a qualsiasi valutazione sulla legittimità del controllo e sull’eventuale utilizzabilità delle informazioni a fini disciplinari.
Proprio il richiamo operato dal comma 3 alla disciplina in materia di protezione dei dati personali rende centrale la verifica della liceità del trattamento quando le informazioni utilizzate dal datore di lavoro sono generate dal normale funzionamento degli strumenti impiegati dal lavoratore per rendere la prestazione, quali il computer aziendale, gli account di posta elettronica, le credenziali di autenticazione o i software gestionali. In queste ipotesi, infatti, il problema non può essere affrontato partendo dalla liceità del controllo. Occorre anzitutto verificare se la raccolta, la conservazione e il successivo utilizzo dei dati siano conformi alla disciplina in materia di protezione dei dati personali, presupposto indispensabile per valutarne l’eventuale utilizzabilità nell’ambito del rapporto di lavoro.
È proprio questa la prospettiva adottata dal Garante per la protezione dei dati personali. Il Documento di indirizzo del 6 giugno 2024 sui programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo (provv. n. 364/2024), così come i più recenti provvedimenti dell’Autorità in materia di trattamento dei dati personali nel rapporto di lavoro, pongono al centro dell’analisi la liceità del trattamento dei dati. L’attenzione si concentra, anzitutto, sulle finalità perseguite, sulla proporzionalità delle informazioni raccolte, sui tempi di conservazione, sulle modalità di accesso e sul rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione previsti dal Regolamento (UE) 2016/679. La mera disponibilità tecnica di un’informazione non coincide, infatti, con la liceità del suo trattamento, né ne consente automaticamente l’utilizzo nell’ambito del rapporto di lavoro.
In sostanza, la trasformazione digitale ha profondamente modificato il contesto nel quale opera l’art. 4 dello Statuto dei lavoratori. Oggi il controllo costituisce, nella maggior parte dei casi, l’esito di un processo che prende avvio molto prima, con la fisiologica produzione di dati da parte degli strumenti digitali utilizzati nello svolgimento della prestazione lavorativa. Per questa ragione, il dibattito non può limitarsi a verificare se ricorrano i presupposti dei controlli difensivi. Il vero nodo interpretativo consiste nel ricostruire correttamente la sequenza logica imposta dal legislatore: individuare lo strumento che ha generato i dati, verificare se trovi applicazione l’art. 4 dello Statuto dei lavoratori, accertare la liceità del trattamento alla luce della disciplina in materia di protezione dei dati personali e, soltanto dopo, valutare la legittimità del controllo e l’utilizzabilità delle informazioni raccolte. È proprio il rispetto di questa sequenza a consentire di preservare l’equilibrio tra esigenze organizzative dell’impresa, tutela del patrimonio aziendale e diritti fondamentali del lavoratore.
Avv. Eleonora Racciatti