Controlli, riservatezza e dati personali nell´impresa digitale

1. Premessa

All’interno di una realtà sempre più permeata dal digitale e dall’innovazione tecnologica sorge spontaneo domandarsi se sia ancora possibile parlare di limiti ai controlli datoriali. Nell’attuale contesto lavorativo moderno, infatti, il confine tra l’esercizio del potere di controllo dell’imprenditore e la tutela della privacy^[1] del lavoratore è diventato sempre più labile. L’introduzione di strumenti tecnologici sempre più sofisticati ha reso possibile una sorveglianza capillare e costante delle attività dei dipendenti, sia in presenza che da remoto, sollevando rilevanti interrogativi sul rispetto dei diritti fondamentali della persona nel rapporto di lavoro^[2].

Con sfumature del tutto inedite rispetto alla disciplina previgente, il jobs act ha introdotto una gestione maggiormente flessibile del rapporto di lavoro subordinato^[3], con innovativi risvolti sull’art. 4 St. lav., novellato alla luce di una tutela più incisiva nei confronti del lavoratore, almeno nell’intenzione del legislatore. Pertanto, in questo scenario, il citato art. 4, nella sua corrente formulazione, assume un ruolo centrale nel tentativo di bilanciare le esigenze organizzative e produttive dell’impresa con la salvaguardia della dignità e della riservatezza dei lavoratori. Tale equilibrio deve essere oggi reinterpretato anche alla luce dei principi sanciti dal Regolamento UE 2016/679 (GDPR), che impone regole precise in materia di trattamento dei dati personali.

L’analisi composita delle norme in tema di controlli datoriali e tutela della privacy si rivela essenziale per comprendere le sfide giuridiche e operative poste dall’evoluzione digitale del mondo del lavoro. Parlare di una necessaria armonizzazione^[4] dei due testi precettivi conferma la necessità di un coordinamento contenutistico e normativo, essendo l’interprete obbligato ad applicare direttamente la fonte regolamentare europea. 

La «lettura unitaria»^[5] è, altresì, avallata dall’espresso richiamo al Codice della privacy contenuto nel co. 3 dell’art. 4 St. lav. in merito all’informativa obbligatoria che deve essere fornita dal datore di lavoro ai singoli lavoratori in tutti quei casi in cui lo stesso acquisisca dati personali dei suoi subordinati^[6]. In quest’ottica, perciò, è essenziale svolgere un’attenta disamina circa l’informazione che deve essere fornita dall’imprenditore, affinché il trattamento – spesso automatizzato – effettuato dallo stesso sia conforme al GDPR ed a tutti i precetti in esso contenuti. 

È dato rilevare come l’avvento dell’innovazione tecnologica, anche negli ambienti di lavoro, ha portato a una maggiore facilitazione dello scambio di informazioni e dati personali^[7], rendendo l’individuo in ogni momento tracciabile – attraverso, ad esempio, i geolocalizzatori che permettono di individuare fisicamente una persona – ed esposto ad eventuali violazioni della sua riservatezza. Ad oggi, con una massiccia circolazione dei dati non si deve tenere in considerazione solo la circolazione in uscita – in riferimento ai dati personali di cui altri soggetti possano impossessarsi o venirne a conoscenza – ma anche di quella in entrata – in riferimento a quei dati personali che possono casualmente entrare nel possesso di un soggetto invadendo la sfera privata di un altro^[8]. 

Tale ricostruzione ci permette di condividere l’affermazione di chi, in dottrina, sostiene come sia necessario predisporre una disciplina che tiene conto non solo di una piena tutela a livello costituzionale e ordinamentale, ma anche di strumenti tutelativi predisposti dall’Autorità garante per la protezione dei dati personali, dalla contrattazione collettiva o, ancora, dai codici di autoregolamentazione aziendale^[9], che dispongano una efficacie ed efficiente tutela del dipendente in merito alla sua sfera privata e personale. 

2. Statuto dei Lavoratori e Regolamento UE 2016/679 tra coordinamento e integrazione

Per comprendere quale sia la tutela prestata al lavoratore dalla normativa vigente è necessario fornire, come già anticipato, una lettura integrata tra lo Statuto dei Lavoratori e il Regolamento UE 2016/679. Il datore di lavoro, nell’esercizio delle sue prerogative, quale l’utilizzo dei dati raccolti dei suoi dipendenti, deve conformarsi, perciò, non solo alle disposizioni contenute nella disciplina statuaria, ma anche alle disposizioni contenute nel testo regolamentare, tenendo conto dei principi applicabili al trattamento e dell’adozione di misure idonee volte ad eliminare il rischio di una eventuale lesione dei diritti fondamentali^[10]. Invero, la disciplina regolamentare europea lascia liberi gli stati membri di prevedere delle norme di dettaglio, ove lo si ritenga opportuno, potendo fissare delle condizioni maggiormente precise e garantistiche circa il «trattamento di categorie particolari di dati personali»^[11]; seppur il Regolamento, infatti, non fissa norme dirette a tutelare la figura del lavoratore, lascia comunque spazio al diritto statale e alla contrattazione collettiva, solo per le materie indicate nel medesimo, per disporre «norme specifiche per il trattamento dei dati personali dei dipendenti nell'ambito dei rapporti di lavoro»^[12]. Tutto ciò viene enfatizzato dall’art. 88 del Regolamento^[13], il quale dispone, altresì, come dette disposizioni debbano essere «appropriate e specifiche a salvaguardia della dignità umana» per garantire la «trasparenza del trattamento»: questo dimostra come, in realtà, coloro che vogliono predisporre una normativa settoriale non possono derogare ai principi del Regolamento, ma possono solamente integrarlo e armonizzarlo attraverso gli accordi di prossimità^[14] o la legge nazionale^[15]. A ben vedere, la necessità di un’armonizzazione dei due testi normativi era sentita ancor prima dell’emanazione del GDPR e aprioristicamente dell’espresso richiamo al Codice della privacy nel co. 3 dell’art. 4 St. lav.^[16].  

Il legislatore italiano è intervenuto solo nel 2018, con il D.lgs. n. 101, integrando il GDPR e abrogando, in parte, le norme contenute all’interno del Codice della privacy (D.lgs. n. 196/2003), il quale, ad oggi, prevede solamente un lapidario richiamo all’art. 4 St. lav. 

Particolare rilevanza, in tale disamina, assume l’art. 111 del Titolo VIII, dedicato al «Trattamento nell’ambito del rapporto di lavoro», il quale conferisce al Garante privacy la facoltà di adottare «regole deontologiche (…) per le finalità di cui all’art. 88 del Regolamento», ribadendo la necessità di adottare misure idonee per rendere un’adeguata informazione all’interessato. La scelta del legislatore italiano risulta una scelta lungimirante nella misura in cui non solo il Garante privacy ha le competenze tecniche per fissare delle regole settoriali idonee, ma specialmente perché lo stesso è in grado di supportare le necessarie modifiche della disciplina applicativa di fronte al cambiamento della compagine sociale e lavorativa dovuto all’evoluzione tecnologica, rispetto, ad esempio, a una legge nazionale, che ha delle tempistiche tutt’altro che brevi^[17]. 

In tale ricostruzione ha, altresì, valenza significativa il co. 3 dell’art. 4 St. lav., che fa un rinvio esplicito al D.lgs. n. 196/2003, occupandosi, in prima battuta, della raccolta delle informazioni operata dal datore di lavoro e, in secondo luogo, quale condizione necessaria per la raccolta delle stesse, dell’«adeguata informazione» che deve essere data al lavoratore per esercitare il potere di controllo. Il richiamo al Codice della privacy, introdotto dalla riforma del jobs act, conferma la volontà del legislatore nazionale di armonizzare lo Statuto dei Lavoratori con la disciplina sulla protezione dei dati personali, tenuto conto delle modifiche introdotte dal Regolamento^[18] e della maggiore considerazione della dignità e riservatezza del lavoratore. 

La riforma del 2015 ha permesso un utilizzo «più agevole» dei dispositivi digitali «nella strumentazione di lavoro» grazie all’eliminazione «dell’autorizzazione sindacale o amministrativa» per l’impiego degli strumenti professionali dati in dotazione dell’azienda^[19], attribuendo un nuovo diritto al lavoratore - diritto a un’«adeguata informativa» – affinché possa essere reso edotto in merito alle modalità di utilizzo di detti strumenti e alle procedure di monitoraggio.  Ne discende che l'imprenditore, essendo il «titolare del trattamento», deve osservare tutti gli obblighi che il GDPR prescrive, affinché il lavoratore – c.d. interessato – venga messo a conoscenza dell'utilizzo e della raccolta dei propri dati. 

3. Il trattamento dei dati personali nell’impianto regolamentare europeo: principi e condizioni di legittimità del controllo a distanza.

Il Regolamento UE 2016/679 ha dato un importante contributo garantistico al diritto alla protezione dei dati personali dell’individuo, indicando una serie di regole e principi imprescindibili nel trattamento degli stessi, ancor più negli ambienti di lavoro. 

In considerazione dell’impostazione precauzionale sottesa al GDPR, la legittimità del controllo a distanza deve valutarsi alla luce di un «giudizio bifasico»^[20]: in primo luogo, è necessario considerare le condizioni di liceità del trattamento sancite dall’art. 6 del Reg. UE 2016/679 (cd. base giuridica); in secondo luogo, le modalità di attuazione del controllo devono risultare conformi ai principi generali in materia di trattamento dei dati personali, di cui all’art. 5 del medesimo Regolamento. 

La base giuridica del trattamento deve soddisfare sei condizioni: il consenso dell’interessato (lett. a))^[21] , la necessarietà del trattamento dovuta «all’esecuzione di un contratto di cui l’interessato è parte» (lett. b))^[22], all’adempimento di un obbligo legale (lett. c)), alla salvaguardia di interessi vitali (lett. d)), all’«esecuzione di un compito di interesse pubblico» (lett. e)) o al «perseguimento di un legittimo interesse» (lett. f)).  

Particolare rilevanza, nel rapporto lavorativo, assume la prima condizione: gli interpreti, infatti, si sono spesso interrogati sulla eventuale necessarietà della manifestazione del consenso da parte del dipendente affinché l’imprenditore possa esercitare il potere di controllo^[23]. Tra le tante opinioni nella letteratura giuslavoristica, v’è chi ha dato una risposta negativa, sostenendo che la normativa sulla privacy non possa interferire nella normativa giuslavoristica per due aspetti fondamentali: le finalità del controllo, in quanto già esplicitate dall’art. 4 St. lav., e l’obbligo di informazione, in quanto la normativa lo configura come una comunicazione unilaterale del datore di lavoro verso il lavoratore^[24]. 

Tuttavia, è doveroso sottolineare come, di fatto, la disciplina statuaria non apporta alcuna deroga al Codice della privacy, anzi, presuppone una implicita e necessaria armonizzazione tra le due normative di riferimento. Si potrebbe ritenere, infatti, che il consenso del lavoratore si possa configurare come una manifestazione di volontà «viziata»^[25], dovuta alla posizione di subordinazione dello stesso nel contratto, costretto ad esprimere tale approvazione per ottenere l’instaurazione del rapporto di lavoro, o mantenerlo. Tra l’altro, in dottrina^[26], si è sostenuto come l’eventuale dissenso potrebbe determinare un’interruzione del rapporto contrattuale da parte del datore di lavoro^[27]. 

Affinché il consenso possa essere qualificato come “libero”, è indispensabile che il lavoratore sia nella condizione di poterlo manifestare o revocare, senza che su di esso possano confluire eventuali effetti giuridici negativi, che incidano sulla «sfera personale o economica dell’interessato»^[28]. A parere di chi scrive, perciò, il consenso risulta essere un mero e vano adempimento che non garantirebbe una maggiore conoscibilità del contenuto dell’obbligo informativo del datore di lavoro, tanto più ove lo stesso si avvalesse di formulari o prestampati, che vanificherebbe l’obiettivo a proprio vantaggio. Invero, il consenso potrebbe essere prestato solo in quelle ipotesi che esulano dai controlli datoriali e da cui non discendono conseguenze negative per il lavoratore: si pensi al caso in cui l’imprenditore voglia utilizzare l’immagine dello stesso a fini pubblicitari aziendali^[29]. Seppur lapalissiano, è fuori dubbio che il consenso non possa in alcun modo sostituirsi alla procedura autorizzativa sindacale o amministrativa per l’installazione di impianti tecnologici all’interno dei locali aziendali^[30]. 

Nella disciplina previgente del Codice della privacy, invero, veniva previsto un ulteriore presupposto di liceità eccezionale, che sostituiva la manifestazione del consenso: il perseguimento di un interesse legittimo^[31], che, ad oggi, trova il suo fondamento anche nell’art. 6 del GDPR. Tale ipotesi eccezionale costituiva un presupposto di liceità del trattamento solo in tutti quei casi in cui individuati dal Garante per la protezione dei dati personali, sempreché venisse rispettata la normativa vigente in materia (D.lgs. n. 196/2003 e Direttiva 95/46/CE). 

Il quadro d’insieme cambia in toto con la modifica dell’art. 4 St. lav., che non richiede più il filtro autorizzativo – sindacale o amministrativo – per gli «strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa» e «strumenti di registrazione degli accessi e delle presenze», determinando una sottrazione di una quota rilevante dei dati personali dei lavoratori dal previo «vaglio di legittimità», un tempo applicabile alla scelta datoriale di ricorrere a controlli a distanza per necessità organizzative specifiche e finalità determinate^[32]. Anche nella disciplina odierna, in materia di trattamento dei dati personali, si richiama il perseguimento di un «legittimo interesse del titolare del trattamento o di terzi»^[33], ammesso che «non prevalgano interessi o i diritti e le libertà fondamentali dell’interessato», dovendo garantire, quindi, un bilanciamento tra i poteri datoriali e i diritti dell’interessato e una piena conformità ai principi di proporzionalità e sussidiarietà^[34]. 

Si potrebbe pensare che nel co. 2 dell’art. 4 St. lav. si rinunci alla condizione circa il perseguimento di un legittimo interesse, ma così non è, poiché, nella prima ipotesi, gli strumenti sono funzionali allo svolgimento della prestazione lavorativa, nella seconda ipotesi, invece, si suole rilevare la presenza dei lavoratori all’interno dei locali aziendali. Questo permette di rilevare come il fondamento giuridico sia rinvenibile in esigenze «presuntive», imputabili non alla necessità di effettuare controlli sul lavoratore, ma a ragioni di natura organizzativa e produttiva^[35].   

Il «giudizio bifasico» è caratterizzato, altresì, dai principi individuati dall’art. 5 del GDPR, che devono osservarsi in merito al trattamento dei dati personali raccolti, in conseguenza dell’esplicazione dei controlli datoriali.  La lett. a), par. 1, individua, tra i primi, i principi di «liceità, correttezza e trasparenza»: col primo, si richiede che i dati siano acquisiti in conformità a ciò che stabilisce la legge; il secondo e il terzo, invece, fanno riferimento ai principi del diritto contrattuale privato, in merito alla buona fede oggettiva (art. 1375 c.c. unitamente all’art. 2 Cost.), la quale prescrive, infatti, un «obbligo di trasparenza»^[36] in capo al datore di lavoro nel rapporto lavorativo. La «trasparenza» trova la sua più significativa esplicazione nel diritto di accesso ai dati raccolti^[37], presupposto per esercitare altri diritti, tra i quali quello di rettifica o di opposizione al trattamento. 

La lett. b), invece, prescrive l’osservanza del principio di «limitazione della finalità», inteso come obbligo per l’imprenditore di raccogliere i dati per scopi determinati, espliciti e legittimi, che trova la sua esplicazione all’interno dell’adeguata informativa fornita dal datore di lavoro nei confronti del dipendente (co. 3, art. 4 St. lav.), il quale dovrà trattarli «in modo che non sia incompatibile con tali finalità». Giova rammentare, che le informazioni raccolte possono essere trattate anche per finalità diverse, purché siano compatibili con quelle annunciate ab initio^[38]. Tuttavia, si potrebbe ritenere che il “test di compatibilità” sembrerebbe essere lasciato alla piena discrezionalità dell’imprenditore; infatti, il Gruppo di lavoro ex art. 29 ha elaborato un criterio valutativo in base alla quale lo stesso si intende superato ove si sia tenuto conto della natura dei dati, della necessità di garantire la correttezza del trattamento, del contesto, della legittima aspettativa degli interessati e del «rapporto tra le finalità per cui i dati sono stati raccolti e le finalità di un ulteriore trattamento»^[39].  A parere di chi scrive, dovrebbe configurarsi un’interpretazione restrittiva dei criteri valutativi, dovuta all’invasività e insidiosità dei controlli datoriali informatici, che potrebbero determinare una lesione della sfera privata e intima del lavoratore e, conseguentemente, un trattamento illecito dei suoi dati personali. 

Ulteriormente, tra gli altri principi, spicca, di certo, quello di «minimizzazione dei dati», il quale sancisce che gli stessi debbano essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono stati trattati». Tale disposizione deve essere letta in combinato disposto con il principio di finalità del trattamento, in quanto si richiede che il sistema di controllo datoriale sia «indispensabile e proporzionato» rispetto ai fini perseguiti: l’imprenditore, infatti, deve privilegiare «misure organizzative e tecnologiche» idonee a scongiurare una scorretta utilizzazione dei dispositivi dati in dotazione^[40]. In conclusione, dall’art. 5 del GDPR discendono i principi di «esattezza» – per il quale è necessario che i dati siano esatti ed aggiornati –, «limitazione della conservazione» – per il quale i dati non possono essere conservati per un tempo maggiore rispetto a quello necessario per raggiungere le finalità – e «integrità e riservatezza» – per i quali bisogna garantire un’adeguata sicurezza agli stessi. 

4. Nuovi obblighi datoriali: dall’«accountability» alla Data Protection Impact Assessment (DPIA)

Una delle novità più significative della disciplina regolamentare europea è rappresentata dalla previsione di una responsabilità del titolare del trattamento/datore di lavoro, il quale dovrà adottare «misure adeguate ed efficaci» per garantire un adeguato trattamento rispondente alle regole sancite e all’efficacia della misura^[41]. 

È l’art. 24 del GDPR che individua gli adempimenti che devono essere eseguiti dal titolare del trattamento, tra cui spicca, infatti, la realizzazione di «politiche adeguate» per garantire la protezione dei dati personali del lavoratore, ove, principalmente, si utilizzino strumenti informatici che siano caratterizzati da un potenziale rischio alla dignità e alla riservatezza^[42]. 

Di non facile comprensione, vista la mancata puntualizzazione del Regolamento, sono di certo le nozioni di «adeguatezza» ed «efficacia»: riguardo alla prima, possono considerarsi adeguate le misure poste in essere dal datore di lavoro ove si tenga conto del contesto lavorativo e circostanze individuali del trattamento; con la seconda, invece, si potrebbe alludere a una necessaria valutazione ex post circa il raggiungimento della tutela del lavoratore^[43]. Tutto questo ha come obiettivo non l’inibizione del trattamento dei dati da parte del datore, ma, al contrario, quello di segnare un confine delineato e l’area di liceità del trattamento, affinché si tuteli la posizione del dipendente^[44] che, altrimenti, assisterebbe a una gravissima e sproporzionata lesione del diritto alla protezione dei dati personali. 

Tra le altre misure, rilevano quelle sancite dall’art. 25, il quale prevede, nei primi due paragrafi, obblighi di privacy by design e privacy by default^[45]. Le procedure in esame costituiscono il precipitato logico e concettuale dei principi di minimizzazione dei dati e di limitazione della finalità: esse impongono al datore di lavoro, con il supporto indispensabile di un gruppo di tecnici e con l’obiettivo di «progettare e designare un’organizzazione» che garantisca i diritti e le libertà di chi lavora, l’obbligo di programmare e mantenere una strumentazione aziendale che tenga conto dei principi contenuti nel Regolamento^[46].  

Il par. 1 dell’art. 25, che si occupa della privacy by design, impone al titolare del trattamento di adottare «misure tecniche e organizzative adeguate» per tutelare i diritti dei lavoratori, tra i quali la «pseudonimizzazione» e «minimizzazione». Tali misure possono essere applicate tenuto conto di una serie di criteri, tra i quali lo «stato dell’arte» e i «costi di attuazione», ma anche tenendo conto «della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche».  Tali parametri non sono altresì previsti per le misure di privacy by default, che impongono al titolare del trattamento di raccogliere, conservare, trattare e rendere accessibili «solo i dati personali necessari per ogni specifica finalità del trattamento» - obbligo sancito per tutelare il lavoratore da eventuali accessi da parte di soggetti terzi senza il suo consenso. 

In conformità al principio di accountability il datore di lavoro, prima di esercitare il potere di controllo a distanza, deve, inoltre, attuare la valutazione d’impatto sulla protezione dei dati (c.d. DPIA, Data Protection Impact Assessment) in tutti quei casi in cui gli strumenti utilizzati possano determinare un rischio per i diritti e le libertà fondamentali del dipendente. Tale istituto, sancito dall’art. 35 del GDPR, prescrive l’obbligo per il titolare del trattamento di confrontarsi con il responsabile per la protezione dei dati^[47], affinché, prima dell’installazione dei dispositivi elettronici, si possa realizzare una «mappatura» del modello organizzativo aziendale strumentale, per valutare, ex ante, se gli strumenti informatici possano avere ripercussioni negative sulla dignità e riservatezza del lavoratore^[48]. 

La valutazione d’impatto può risultare indispensabile in tutti quei casi in cui «il trattamento può presentare un rischio elevato» tenuto conto dell’utilizzo di nuove tecnologie, della natura, dell’oggetto e del contesto, nonché delle finalità del trattamento. 

Ove il titolare del trattamento sia insoddisfatto dell’esito della valutazione d’impatto privacy, in quanto ritenga che il trattamento non sia conforme ai principi cardini del Regolamento, potrà rivolgersi al Garante per la protezione dei dati personali – ai sensi dell’art. 36 del GDPR – affinché possa esprimere un parere sulla valutazione d’impatto redatta o, comunque, esercitare il suo potere di controllo^[49]. 

Tale valutazione, inoltre, deve indicare in modo dettagliato i soggetti autorizzati dal titolare del trattamento a prendere visione e trattare i dati personali dei lavoratori, al fine di garantire il pieno rispetto dei principi di trasparenza e accountability, nonché assicurare agli interessati, o ai loro rappresentanti, l’effettivo esercizio dei diritti previsti dagli artt. 15 ss., incluso il diritto di accesso e il diritto di opposizione^[50]. In conclusione, si può desumere che il trattamento dei dati effettuato per finalità di controllo ex art. 4 St. lav. sarà strettamente collegato alla condizione di adempimento della valutazione d’impatto privacy dal datore di lavoro, salvo tutti quei casi in cui il trattamento sia «privo di sistematicità, non organizzato, né predeterminato e metodico»^[51].

5. L’adeguata informativa quale presupposto per l’utilizzo degli strumenti di controllo. 

Il legislatore del jobs act ha novellato l’art. 4 St. lav., introducendo come condizione dell’utilizzo degli strumenti di controllo l’obbligo di dare un’«adeguata informazione» circa le modalità di uso degli stessi da parte del datore di lavoro. Tale condizione, indispensabile per il datore di lavoro, permette l’utilizzo dei dispositivi di controllo «a tutti i fini connessi al rapporto di lavoro», da intendersi, perciò, non solo la vigilanza del lavoratore, ma anche l’esercizio di tutti i poteri datoriali, tra i quali il potere disciplinare^[52]. Tale obbligo è strettamente collegato a quello dell’art. 13 del GDPR, il quale indica quali sono tutte le informazioni che devono essere fornite dal titolare del trattamento, ogni qualvolta si proceda a raccogliere i dati personali di un individuo, c.d. interessato^[53].

L’informativa risponde a una serie di principi enunciati all’interno della disciplina regolamentare europea, quali, tra i più importanti, la liceità, la correttezza e la trasparenza^[54], che impongono l’utilizzo di un «linguaggio semplice e chiaro»^[55]. Inoltre, il datore di lavoro deve chiarire quali saranno le finalità del trattamento, che dovranno essere inevitabilmente attinenti alle esigenze organizzative e produttive, alla sicurezza sul lavoro o alla tutela del patrimonio aziendale, per tutti quei dispostivi ex art. 4 co. 1; altresì, dovrà adempiere all’obbligo informativo anche per tutti quei dispositivi utilizzati «per rendere la prestazione lavorativa» o per rilevare gli accessi e le presenze^[56]. 

Se da un lato, la normativa statuaria odierna rafforza certamente i «diritti conoscitivi» del dipendente sottoposto a controllo tecnologico, dall’altro, esclude la necessità di un consenso che deve essere fornito dallo stesso, valorizzando sproporzionalmente l’«autodeterminazione informativa»^[57].

Le finalità dell’informativa prevista dallo Statuto dei lavoratori sono diverse da quelle dell’art. 13 del GDPR^[58]: nel primo caso, infatti, l’informazione riguarda le «modalità d’uso» dei dispositivi di controllo utilizzati dal datore di lavoro per raccogliere dati sui propri lavoratori, utilizzabili anche a fini disciplinari, la cui funzione è insita nel rapporto di lavoro; mentre nel secondo caso, l’informazione ha l’obiettivo di rendere l’interessato (lavoratore) cosciente delle diverse ed eventuali operazioni di trattamento^[59]. Da questo non discende un doppio obbligo informativo, altrimenti, da un lato, si andrebbe ad onorare il datore di lavoro in modo sproporzionato e, dall’altro, si contrasterebbero i principi portanti del nostro ordinamento, che dispongono una piena armonizzazione della legislazione nazionale con la normativa comunitaria^[60].

L’adeguata informazione al lavoratore garantisce una «verificabilità del corretto procedimento di trattamento dei dati», consentendo allo stesso di individuare errori o manomissioni nell’iter procedimentale e di esercitare pienamente il diritto di difesa contro eventuali illiceità poste in essere dal datore di lavoro^[61]. Naturalmente, l’obbligo informativo è un’operazione prodromica rispetto ai provvedimenti disciplinari (o altri tipi di provvedimenti) che il datore di lavoro voglia adottare in merito all’operato del dipendente, ovvero, rispetto alla «raccolta e memorizzazione dei dati»^[62].

Nulla si evince, invece, dalla normativa giuslavoristica, sulla modalità e sulla forma in cui l’informazione deve essere fornita, parte della dottrina ritiene che sia sicuramente conveniente un’«informativa a carattere individuale che dia conto in modo mirato delle attività di controllo»^[63], cioè ad personam, garantendo che tale obbligo non si riduca a un mero adempimento formale^[64] e, in ultimo, spiegando come l’uso del dispositivo sia funzionale al controllo dell’operato lavorativo senza sovrabbondare lo stesso di informazioni inutili o poco sintetiche^[65]. In proposito, risulta preferibile – e ampiamente condivisibile – l’adozione della forma scritta, sia per «consentire al lavoratore di poter prendere pienamente atto di quanto in essa contenuto»^[66], sia per esigenze probatorie, in particolare, ove nasca un contenzioso giudiziario a causa di un provvedimento disciplinare (che si concluda con un licenziamento), fondato sull’utilizzo dei dati raccolti mediante strumenti di controllo. 

Tali premesse non escludono che il datore di lavoro possa scegliere comunque la modalità che più ritiene corrette per adempire al suo obbligo comunicativo, sempreché si osservino i «requisiti essenziali di leggibilità e agevole comprensione da parte del lavoratore»^[67]. L’informativa, inoltre, deve contenere gli estremi identificativi del «titolare del trattamento» e del «responsabile per la protezione dei dati»^[68], il trattamento giuridico, le finalità, l’arco di tempo in cui gli stessi saranno conservati e l’eventuale diffusione^[69].

L’adeguata informativa – al fine di risultare conforme ai requisiti imposti dalla normativa vigente – deve necessariamente riferirsi a tutti gli strumenti attraverso i quali può essere esercitata un’attività di controllo, ivi inclusi quelli destinati allo svolgimento dell’attività lavorativa; essa, infatti, deve contenere una descrizione puntuale delle funzionalità essenziali di ciascun dispositivo^[70]. Sarebbe sicuramente conveniente per il datore di lavoro inserire nell’informativa quelle condotte che possono determinare un’inadempienza nel rapporto di lavoro e che, conseguentemente, possono costituire oggetto di un provvedimento disciplinare, coordinandole con quelle inserite nel codice di condotta aziendale, la cui mancanza all’interno dello stesso non giustificherebbe l’applicazione della sanzione. 

Da ultimo, è opportuno evidenziare che il testo normativo in esame stabilisce espressamente che l’informativa debba essere «data al lavoratore»: questo implica che non è sufficiente una mera divulgazione tramite mezzi indiretti, come la pubblicazione sulla pagina aziendale o l’affissione in bacheca, anche se integrata nel codice disciplinare^[71]. Al contrario, il datore di lavoro è tenuto a fornire prova dell’avvenuta conoscenza diretta da parte di ciascun lavoratore, utilizzando modalità idonee a documentare l’effettiva ricezione individuale dell’informativa^[72].

6. Conclusioni.

Il diritto alla riservatezza, in quanto diritto non assoluto, rimane esposto ad eventuali «ingerenze» da parte di terzi solo se ricorrono tre requisiti: che sia la legge a concederle, che si persegua almeno una «finalità legittima» e l’ingerenza deve risultare indispensabile all’interno di una «società democratica»^[73]. Tale diritto ha assunto una fisionomia inevitabilmente differente nella società digitale, dovuto, principalmente, al costante monitoraggio e profilazione del lavoratore, con la conseguenza di rideterminare una nuova disciplina garantistica della persona^[74], che ha dato vita al diritto alla protezione dei dati personali, il quale, tuttavia, non può intendersi come una «prerogativa assoluta», ma deve necessariamente rapportarsi con la sua funzione sociale e con altre libertà fondamentali, rispettando il principio di proporzionalità^[75]. 

Il giudizio di bilanciamento, infatti, trova il suo fondamento nella proporzionalità, che impone un adeguato equilibrio tra ogni eventuale restrizione imposta al diritto al rispetto della vita privata e familiare e il fine che si intende perseguire attraverso tale limitazione^[76]. Tale finalità, naturalmente, deve essere non solo concretamente identificabile, ma anche legittima secondo i parametri stabiliti dall’ordinamento: questo presuppone che ogni intervento limitativo su un diritto fondamentale deve essere giustificato da un obiettivo sufficientemente rilevante e giuridicamente valido, e la misura adottata non può eccedere quanto strettamente necessario per il raggiungimento di tale scopo. 

Tale giudizio è affidato, nella fase patologica del rapporto di lavoro, al giudice di merito, il quale deve necessariamente apportare un’interpretazione estensiva dell’art. 4 St. lav., tenendo conto delle norme sovranazionali (come già previsto dal co. 3), nonché delle decisioni giurisprudenziali della Corte europea dei diritti dell’uomo. L’obbligo di conformarsi alle norme comunitarie garantisce una piena applicazione del diritto europeo su tutto il territorio, imponendo al giudice, altresì, di adottare una decisione che assicuri un’effettiva uniformazione allo stesso^[77]. 

Nelle more del giudizio di bilanciamento gioca un ruolo del tutto marginale la contrattazione collettiva, attraverso cui le parti sociali potrebbero garantire una maggiore tutela al lavoratore sul piano della privacy, impedendo illecite interferenze da parte del datore di lavoro nella vita privata dei suoi sottoposti, dovute, principalmente, alla digitalizzazione del mondo lavorativo ed al conseguente potenziamento del potere di controllo. Alcune associazioni di categoria hanno dibattuto sulla possibilità di introdurre una nuova figura, il c.d. rappresentante dei lavoratori per la privacy, che, in mancanza di una disposizione di legge, troverebbe la sua ratio giustificatrice nella contrattazione collettiva^[78]. Il rappresentante privacy, de facto, potrebbe intervenire in una fase antecedente alla consegna dei dispositivi elettronici di lavoro, affinché possa vagliare gli eventuali rischi per la riservatezza del lavoratore dovuti all’utilizzo degli stessi. La prevenzione del rischio derivante da trattamenti illeciti costituisce un obbligo giuridico riconducibile al principio di responsabilizzazione del titolare del trattamento, quindi, anche del datore di lavoro^[79]. Tale figura potrebbe agevolare l’adozione di misure volte a garantire un utilizzo della tecnologia rispettoso dei diritti fondamentali e improntato a criteri di umanizzazione dei processi. 

Invero, il legislatore comunitario ha cercato, attraverso l’espresso richiamo nell’art. 88 del GDPR, di far assumere un ruolo centrale, e non periferico, alle parti sociali, affinché possano contribuire a garantire una maggiore tutela al lavoratore; tuttavia, si tratta solo di un auspicio, in quanto, alla contrattazione collettiva non viene attribuita la stessa efficacia che è riconosciuta ai codici di condotta^[80]. Ne discende, che una piena partecipazione delle organizzazioni sindacali aziendali alla «co-regolazione della materia» risulta sempre più necessaria, nell’obiettivo di uniformare il contenuto degli accordi alla disciplina regolamentare^[81].