Il datore può controllare le chat aziendali dei dipendenti?

L’art. 4 Statuto dei lavoratori e il GDPR fissano limiti precisi al monitoraggio delle comunicazioni digitali. Il controllo sistematico è vietato, quello difensivo e mirato è ammesso.

Teams, Slack, WhatsApp aziendale, email interne. Ogni messaggio lascia una traccia: contenuto, orario, frequenza, interlocutori. Il datore di lavoro ha accesso tecnico a tutto questo. Ma averne accesso non significa poterlo usare liberamente. Il confine tra gestione legittima degli strumenti aziendali e controllo indebito sull’attività del dipendente è uno dei temi più delicati del diritto del lavoro digitale.

La risposta dell’ordinamento italiano ed europeo è che il datore può usare quegli strumenti per finalità organizzative e di sicurezza informatica, ma non può trasformarli in sistemi di sorveglianza generalizzata sui lavoratori. Le chat aziendali sono strumenti di lavoro — non telecamere puntate sulla scrivania.

La domanda su se il datore possa controllare le chat aziendali dei dipendenti richiede di conoscere l’art. 4 dello Statuto dei lavoratori nella versione riformata dal D.Lgs. n. 151/2015 e i principi del Regolamento UE 2016/679(GDPR), che insieme definiscono un sistema di regole preciso e spesso ignorato nella pratica aziendale.

L’art. 4 dello Statuto dei lavoratori: la distinzione fondamentale

L’art. 4 della legge n. 300/1970, come modificato dal D.Lgs. n. 151/2015, distingue tra due categorie di strumenti tecnologici con regole completamente diverse.

La prima categoria comprende gli impianti e le apparecchiature specificamente destinati al controllo a distanza dei lavoratori — telecamere, sistemi di geolocalizzazione, software di monitoraggio delle attività. Questi possono essere installati solo previo accordo sindacale o, in sua mancanza, previa autorizzazione dell’Ispettorato Nazionale del Lavoro. Senza uno di questi due presupposti, l’installazione è illegittima e i dati raccolti sono inutilizzabili — anche in sede disciplinare.

La seconda categoria comprende gli strumenti di lavoro — computer, software, piattaforme di messaggistica, sistemi collaborativi. Questi possono essere utilizzati senza accordo sindacale né autorizzazione amministrativa, perché sono necessari allo svolgimento della prestazione lavorativa. Le chat aziendali rientrano in questa categoria.

La distinzione, però, non esaurisce il problema. L’esenzione dall’accordo sindacale vale per l’utilizzo dello strumento, non per l’uso che si fa dei dati che lo strumento genera. Qui entra in gioco il GDPR.

Il GDPR e il trattamento dei dati dei lavoratori

Il Regolamento UE 2016/679 impone al datore di lavoro — in quanto titolare del trattamento — di rispettare una serie di principi nell’utilizzo dei dati personali dei dipendenti, inclusi quelli generati dall’uso degli strumenti aziendali.

Il primo è la liceità: deve esistere una base giuridica adeguata per il trattamento. Nel rapporto di lavoro questa può essere l’esecuzione del contratto, il legittimo interesse del datore o l’adempimento di obblighi di legge — ma in ogni caso deve essere identificata e dichiarata.

Il secondo è la limitazione delle finalità: i dati raccolti per una finalità — ad esempio la gestione tecnica del sistema informatico — non possono essere riutilizzati per una finalità diversa, come il monitoraggio del comportamento individuale del dipendente.

Il terzo è la minimizzazione: i dati trattati devono essere limitati a quanto strettamente necessario. Non si possono conservare sistematicamente i contenuti di tutte le comunicazioni dei dipendenti solo perché tecnicamente è possibile farlo.

Il quarto è la proporzionalità: anche quando il trattamento è lecito in astratto, deve essere realizzato con la misura meno invasiva possibile per raggiungere l’obiettivo.

Cosa può fare il datore e cosa non può fare

Il datore di lavoro può lecitamente: gestire tecnicamente le piattaforme e i sistemi informatici aziendali; raccogliere dati tecnici e aggregati per finalità organizzative o statistiche; conservare i log di accesso per ragioni di sicurezza informatica; effettuare controlli mirati e circoscritti in presenza di specifici elementi di sospetto su condotte irregolari.

Non può invece: monitorare sistematicamente e continuativamente il contenuto delle comunicazioni di tutti i dipendenti; analizzare i flussi comunicativi per ricostruire abitudini lavorative, relazioni personali e comportamenti individuali — quella che tecnicamente si chiama profilazione; utilizzare i dati raccolti per finalità diverse da quelle dichiarate; trasformare le chat aziendali in strumenti di sorveglianza generalizzata.

I controlli difensivi: l’eccezione ammessa

La giurisprudenza ha elaborato la categoria dei controlli difensivi — quelli finalizzati alla tutela del patrimonio aziendale e alla prevenzione o accertamento di comportamenti illeciti. Questi controlli sono ritenuti ammissibili anche al di fuori delle procedure dell’art. 4 dello Statuto, purché siano circoscritti, mirati e giustificati da elementi concreti che facciano emergere il sospetto di condotte irregolari.

La differenza rispetto al controllo generalizzato è decisiva: il controllo difensivo è attivato da un sospetto specifico su un lavoratore o su una situazione concreta; il controllo generalizzato prescinde da qualsiasi sospetto e riguarda indistintamente tutti i dipendenti. Il primo è ammesso; il secondo no.

L’utilizzo dei dati raccolti nei procedimenti disciplinari è ammesso solo quando il controllo è stato effettuato nel rispetto di questi limiti. Dati raccolti attraverso un monitoraggio sistematico e sproporzionato non sono utilizzabili in sede disciplinare né in sede giudiziaria.

La trasparenza: informativa e policy aziendali

Un elemento fondamentale per la legittimità del trattamento è la trasparenza. Il lavoratore deve essere adeguatamente informato su come vengono utilizzati gli strumenti aziendali, quali dati vengono raccolti, per quali finalità, per quanto tempo vengono conservati e chi vi ha accesso.

Questa informazione deve essere fornita attraverso due strumenti distinti. L’informativa privacy — redatta ai sensi degli artt. 13 e 14 del GDPR — descrive il trattamento dei dati personali. La policy aziendale sull’utilizzo degli strumenti informatici — che può assumere la forma di regolamento interno o codice di comportamento — disciplina le regole d’uso degli strumenti e le conseguenze disciplinari delle violazioni.

La policy aziendale deve essere portata a conoscenza di tutti i dipendenti, preferibilmente con firma di ricezione, e deve essere chiara, accessibile e non suscettibile di interpretazioni equivoche.

Privacy by design e minimizzazione tecnica

Il GDPR impone anche che i sistemi informatici siano progettati fin dall’inizio con logiche di privacy by design e privacy by default: le impostazioni predefinite devono garantire il trattamento minimo di dati personali, e l’architettura del sistema deve ridurre il rischio di trattamenti eccessivi.

Nel contesto delle chat aziendali questo può tradursi in: conservazione limitata nel tempo dei messaggi; raccolta di dati tecnici e aggregati invece di contenuti individuali; utilizzo di tecniche di anonimizzazione o pseudonimizzazione per le analisi organizzative. Il registro dei trattamenti — obbligatorio per le organizzazioni sopra una certa dimensione — deve documentare tutte queste scelte.