Articolo a cura di: Redazione - Studio Legale Calvello
Il datore di lavoro può controllare la navigazione internet dei dipendenti, ma soltanto nel rispetto di precise condizioni. La disponibilità di computer aziendali, firewall, proxy e sistemi di sicurezza informatica non autorizza automaticamente l’impresa a ricostruire i siti visitati dai singoli lavoratori. Occorre distinguere tra protezione della rete, gestione degli strumenti di lavoro e controllo dell’attività individuale, applicando l’articolo 4 dello Statuto dei lavoratori e il GDPR. Un monitoraggio organizzato senza le necessarie garanzie può comportare contestazioni, sanzioni e problemi nell’utilizzo dei dati raccolti a fini disciplinari. Per le aziende che intendono introdurre questi sistemi, oppure li utilizzano già, è opportuno verificare preventivamente configurazioni tecniche, finalità, informative e procedure di accesso ai log.
Quando l’azienda può controllare i siti internet visitati dai dipendenti
La possibilità di controllare la navigazione internet dei dipendenti dipende innanzitutto dalle caratteristiche del sistema utilizzato e dalle finalità perseguite. Un’impresa può avere necessità di proteggere la propria infrastruttura informatica, impedire l’accesso a siti pericolosi, prevenire infezioni da malware o individuare anomalie nel traffico di rete. Queste esigenze sono legittime, ma non rendono automaticamente lecito qualsiasi trattamento delle informazioni generate dalla navigazione dei lavoratori.
Il problema emerge soprattutto quando gli strumenti informatici consentono di associare a una persona determinata gli indirizzi dei siti visitati, gli orari di collegamento, la durata delle sessioni o i tentativi di accesso a pagine bloccate. Attraverso firewall, proxy, server DNS e sistemi centralizzati di registrazione degli eventi, l’azienda può disporre di informazioni sufficienti a ricostruire una parte considerevole delle attività online del personale, anche quando il monitoraggio non costituisce la finalità dichiarata del sistema.
La circostanza che i dati siano raccolti automaticamente non elimina il problema giuridico. Anche un registro tecnico, inizialmente destinato alla sicurezza informatica, può diventare uno strumento di controllo dell’attività lavorativa quando permette di identificare i dipendenti e analizzarne sistematicamente il comportamento. Occorre quindi verificare quali informazioni vengano effettivamente registrate, per quanto tempo siano conservate, chi possa consultarle e se sia possibile collegarle a singoli utenti.
Un aspetto particolarmente delicato riguarda la differenza tra impedire l’accesso a determinate categorie di siti e registrare nominativamente ogni tentativo di navigazione. Un sistema che blocca contenuti pericolosi senza conservare una cronologia individuale dettagliata presenta caratteristiche differenti rispetto a un software che produce report periodici sui siti visitati da ciascun dipendente. Nel secondo caso il rischio di un controllo a distanza dell’attività lavorativa è molto più evidente e richiede una valutazione specifica.
Le aziende devono considerare anche la navigazione effettuata mediante computer portatili, smartphone aziendali e collegamenti VPN utilizzati durante lo smart working. Il fatto che il dipendente lavori fuori dalla sede non amplia i poteri di controllo del datore di lavoro. Analogamente, l’utilizzo di dispositivi personali collegati alla rete aziendale impone particolare attenzione alla separazione tra esigenze di sicurezza dell’impresa e riservatezza delle attività private.
Per individuare le condizioni di liceità non basta quindi chiedersi se il computer appartenga all’azienda o se il collegamento internet sia fornito dal datore di lavoro. È necessario comprendere quali dati vengono raccolti, se consentono un controllo individuale e per quale scopo possono essere utilizzati, tenendo conto anche delle regole aziendali comunicate ai lavoratori.
Articolo 4 dello Statuto dei lavoratori e GDPR: quali condizioni deve rispettare il datore di lavoro
L’articolo 4 della Legge 20 maggio 1970, n. 300, disciplina l’impiego degli strumenti dai quali possa derivare un controllo a distanza dell’attività dei lavoratori. La disposizione distingue gli impianti e gli altri strumenti potenzialmente idonei al controllo dagli strumenti utilizzati dal lavoratore per rendere la prestazione e da quelli destinati alla registrazione degli accessi e delle presenze.
Per gli impianti e gli strumenti rientranti nel primo comma, l’installazione è ammessa esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale. È inoltre necessario rispettare la procedura prevista dalla norma, attraverso l’accordo sindacale oppure, nei casi contemplati, l’autorizzazione dell’Ispettorato del lavoro. L’esistenza di una finalità di sicurezza informatica non sostituisce, quando richiesta, questa procedura.
Il secondo comma prevede un regime diverso per gli strumenti utilizzati dal lavoratore per rendere la prestazione. Un computer aziendale può rientrare in questa categoria, ma ciò non significa che qualsiasi software installato sul dispositivo sia automaticamente escluso dalle garanzie del primo comma. Se viene aggiunta una funzionalità specificamente destinata a registrare, analizzare o controllare il comportamento del dipendente, occorre valutarne autonomamente natura e modalità operative. La qualificazione di firewall, proxy e altri sistemi di monitoraggio non dipende dal nome commerciale del prodotto, ma dalle sue effettive caratteristiche.
Il terzo comma dell’articolo 4 disciplina l’utilizzabilità delle informazioni raccolte mediante gli strumenti contemplati dalla disposizione. I dati possono essere utilizzati anche per finalità connesse al rapporto di lavoro soltanto nel rispetto delle condizioni previste, comprese l’adeguata informazione del lavoratore sulle modalità d’uso degli strumenti e di effettuazione dei controlli e l’osservanza della normativa sulla protezione dei dati personali.
Il Regolamento (UE) 2016/679 impone di individuare una base giuridica appropriata, rispettare i principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione, nonché adottare misure di sicurezza proporzionate ai rischi. La base giuridica deve essere valutata considerando la finalità concreta e la disciplina nazionale applicabile al rapporto di lavoro. Il consenso del dipendente, per la situazione di squilibrio che normalmente caratterizza il rapporto lavorativo, non costituisce una soluzione ordinariamente idonea a legittimare controlli che non rispettino gli altri requisiti di legge.
Particolare attenzione merita la conservazione dei log di navigazione. Non esiste un termine unico applicabile indistintamente a tutti i sistemi aziendali: la durata deve essere giustificata dalle finalità effettive, dalla necessità dei dati e dalle caratteristiche del trattamento. Conservare per mesi una cronologia dettagliata e nominativa dei siti visitati, senza una necessità adeguatamente documentata, può risultare incompatibile con il principio di limitazione della conservazione. Anche l’accesso ai registri deve essere circoscritto ai soggetti autorizzati e alle attività per le quali tale accesso sia necessario.
L’informativa privacy deve descrivere in maniera comprensibile il trattamento dei dati di navigazione, le relative finalità, le modalità essenziali del monitoraggio, i tempi di conservazione e i diritti degli interessati. Accanto all’informativa occorre disciplinare l’utilizzo degli strumenti mediante una policy aziendale coerente con le configurazioni tecniche realmente adottate. Una clausola generica che avverta i dipendenti della possibilità di effettuare controlli non è sufficiente a legittimare qualsiasi forma di sorveglianza.
Quando il monitoraggio presenta un rischio elevato per i diritti e le libertà delle persone, l’azienda deve effettuare una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 GDPR. Il monitoraggio sistematico delle attività individuali può rendere necessaria tale valutazione, considerando natura, portata, contesto e finalità del trattamento. Il DPO, ove designato, deve essere coinvolto secondo le funzioni previste dal Regolamento. La responsabilità delle decisioni e della conformità del trattamento resta in capo al titolare.
Per un’impresa che utilizza già sistemi di registrazione della navigazione, la verifica deve quindi riguardare congiuntamente la disciplina lavoristica e quella privacy. Le due normative operano su piani collegati: il rispetto delle procedure previste dallo Statuto dei lavoratori non esonera dagli obblighi GDPR, mentre la predisposizione di informative e documenti privacy non sana l’eventuale mancanza di un accordo o di un’autorizzazione richiesti dall’articolo 4.
Uno dei problemi più delicati per il datore di lavoro riguarda l’utilizzo delle informazioni sulla navigazione internet quando emerge un comportamento potenzialmente illecito del dipendente. Può accadere che il responsabile IT rilevi collegamenti ripetuti a siti estranei all’attività lavorativa, tentativi di accesso a risorse informatiche vietate oppure trasferimenti anomali di dati attraverso la rete aziendale. Prima di utilizzare queste informazioni per contestare un comportamento, l’impresa deve verificare come siano state raccolte, per quali finalità, con quali garanzie e se possano essere legittimamente impiegate nel rapporto di lavoro.
L’articolo 4, comma 3, dello Statuto dei lavoratori consente, alle condizioni previste dalla disposizione, l’utilizzo delle informazioni raccolte attraverso gli strumenti disciplinati dai commi precedenti anche per finalità connesse al rapporto di lavoro. Questo non significa che qualsiasi cronologia internet possa essere acquisita e utilizzata liberamente. Se il sistema di monitoraggio è stato installato in violazione delle garanzie applicabili, oppure il trattamento dei dati non rispetta la normativa privacy, l’azienda può incontrare difficoltà nell’utilizzare le informazioni per sostenere una contestazione disciplinare o un licenziamento.
Occorre distinguere i controlli ordinari dai cosiddetti controlli difensivi, diretti ad accertare specifici comportamenti illeciti potenzialmente lesivi del patrimonio o degli interessi aziendali. La giurisprudenza ammette, entro limiti rigorosi, controlli difensivi mirati in presenza di un fondato sospetto di illecito, purché siano rispettati i criteri di necessità, proporzionalità e tutela della dignità e riservatezza del lavoratore. La semplice volontà di verificare quanto tempo un dipendente trascorra su internet non equivale, di per sé, all’esistenza di un sospetto concreto che possa giustificare un controllo difensivo estraneo alle ordinarie garanzie dell’articolo 4.
Quando emergono anomalie, è particolarmente importante valutare il momento in cui è sorto il sospetto e quello in cui sono stati raccolti i dati. L’esistenza di un comportamento potenzialmente illecito non legittima automaticamente l’esame retrospettivo di qualsiasi informazione precedentemente registrata. La liceità dell’acquisizione e dell’utilizzo dei dati deve essere verificata considerando anche l’origine delle informazioni e la configurazione del sistema che le ha generate.
Un ulteriore problema riguarda l’attendibilità tecnica dei registri informatici. Un indirizzo IP, un account o un computer possono essere associati a un determinato dipendente senza dimostrare necessariamente che ogni collegamento sia stato effettuato personalmente da quest’ultimo. Sessioni condivise, processi automatici, sincronizzazioni e servizi eseguiti in background possono generare eventi che richiedono un’interpretazione tecnica. Prima di formulare una contestazione disciplinare basata sui log di navigazione, è opportuno verificare sia la legittimità della raccolta sia l’effettivo valore probatorio dei dati.
Per prevenire queste criticità, l’azienda dovrebbe adottare una policy sull’utilizzo di internet che disciplini chiaramente gli impieghi consentiti, le limitazioni eventualmente previste, le misure di sicurezza e le modalità dei controlli leciti. La policy deve essere accompagnata da un’informativa privacy adeguata e da procedure interne che stabiliscano chi possa accedere ai registri, in quali circostanze e con quali autorizzazioni. La sola approvazione di un regolamento aziendale non sostituisce l’eventuale accordo sindacale o autorizzazione amministrativa richiesti dalla normativa.
Il responsabile IT dovrebbe inoltre verificare che firewall, proxy, sistemi DNS, VPN e piattaforme di sicurezza non conservino informazioni eccedenti rispetto alle finalità dichiarate. La registrazione indiscriminata delle attività di navigazione, soprattutto quando consente di ricostruire abitudini individuali e comportamenti personali, espone l’impresa a rischi che non possono essere risolti semplicemente limitando la consultazione dei report alla direzione aziendale.
Il GDPR richiede che i dati siano adeguati, pertinenti e limitati a quanto necessario. L’azienda deve quindi valutare se le esigenze di sicurezza possano essere soddisfatte attraverso registrazioni meno dettagliate, periodi di conservazione ridotti, accessi selettivi oppure sistemi che non consentano ordinariamente l’identificazione dei singoli lavoratori. La scelta deve essere documentata e coerente con l’effettiva architettura informatica.
Quando il monitoraggio viene affidato a fornitori esterni, occorre verificare anche i rapporti contrattuali e le responsabilità nel trattamento. Se il fornitore tratta dati personali per conto dell’impresa, devono essere rispettati i requisiti dell’articolo 28 GDPR. Devono inoltre essere valutati gli eventuali trasferimenti di dati verso Paesi terzi, le misure di sicurezza e le condizioni di accesso alle informazioni da parte del personale del fornitore.
La mancata osservanza delle regole può determinare conseguenze differenti secondo la violazione accertata: provvedimenti correttivi e sanzioni del Garante per la protezione dei dati personali, responsabilità connesse alla disciplina dei controlli a distanza, controversie lavoristiche e richieste risarcitorie quando ne ricorrano i presupposti. Non ogni irregolarità comporta automaticamente tutte queste conseguenze, ma un sistema di monitoraggio non conforme può compromettere anche la possibilità dell’azienda di utilizzare informazioni raccolte per tutelare i propri interessi.
Quando un dipendente presenta un reclamo o contesta la liceità dei controlli, la società deve poter ricostruire le ragioni del trattamento, le caratteristiche tecniche del sistema, le informazioni fornite al personale e le misure organizzative adottate. Per gli aspetti generali della gestione dei dati dei lavoratori è possibile consultare il nostro approfondimento sulla privacy dei dipendenti e sugli obblighi del datore di lavoro. Se la contestazione è già stata formalizzata, assumono rilievo anche le modalità di gestione del reclamo privacy presentato da un dipendente.
Per le imprese che hanno già installato strumenti di monitoraggio, l’intervento dovrebbe partire da una verifica congiunta degli aspetti tecnici, lavoristici e privacy. Noi esaminiamo le finalità dei controlli, le configurazioni dei sistemi, le procedure autorizzative eventualmente necessarie e la documentazione esistente, individuando gli interventi da valutare in relazione alla specifica organizzazione aziendale.
Si consideri il caso di un’azienda di servizi che utilizza un firewall centralizzato per proteggere la rete informatica. Il sistema registra gli indirizzi dei siti visitati, gli orari di accesso e gli identificativi degli utenti. Durante una verifica interna, il responsabile IT scopre che i registri vengono conservati per un periodo prolungato e che la direzione può ottenere report nominativi sulla navigazione dei dipendenti. L’informativa privacy, predisposta prima dell’installazione del sistema, non descrive queste funzionalità.
In una situazione di questo tipo, l’intervento professionale richiede innanzitutto di ricostruire il funzionamento effettivo del firewall, distinguendo le registrazioni necessarie alla sicurezza da quelle che consentono il controllo individuale dell’attività lavorativa. Occorre verificare l’applicabilità dell’articolo 4 dello Statuto dei lavoratori, le eventuali procedure autorizzative, le basi giuridiche del trattamento e la proporzionalità dei tempi di conservazione. La difficoltà principale consiste nel mantenere un livello adeguato di protezione informatica senza conservare o rendere accessibili informazioni eccedenti rispetto alle finalità legittime.
La riorganizzazione può comportare modifiche alle configurazioni tecniche, una diversa gestione dei permessi di accesso, la revisione dei tempi di conservazione e l’aggiornamento delle informative e delle procedure aziendali. Se dai controlli precedenti sono già emerse informazioni utilizzabili per una possibile contestazione disciplinare, occorre valutare separatamente la legittimità della loro acquisizione e del loro eventuale impiego. Le misure concretamente necessarie dipendono dalle caratteristiche del sistema e dalle circostanze accertate.
Il datore di lavoro può controllare la cronologia internet di un dipendente senza avvisarlo?
Il datore di lavoro non può effettuare liberamente controlli occulti sulla navigazione internet dei dipendenti. L’articolo 4 dello Statuto dei lavoratori e il GDPR prevedono specifiche garanzie, tra cui l’adeguata informazione sulle modalità di utilizzo degli strumenti e di effettuazione dei controlli. In presenza di fondati sospetti di comportamenti illeciti possono assumere rilievo i controlli difensivi mirati, ma la loro legittimità richiede una valutazione rigorosa delle circostanze, delle modalità di acquisizione dei dati e del principio di proporzionalità.
Un’azienda può utilizzare i log del firewall per licenziare un dipendente?
I log del firewall possono assumere rilevanza probatoria in una contestazione disciplinare, ma la loro utilizzabilità non è automatica. Occorre verificare che siano stati raccolti e trattati legittimamente, che siano rispettate le condizioni dell’articolo 4 dello Statuto dei lavoratori e che le informazioni consentano di attribuire attendibilmente il comportamento al dipendente. La legittimità dell’eventuale licenziamento dipende anche dalla gravità dei fatti, dalla proporzionalità della sanzione e dalle garanzie procedimentali applicabili.
Per controllare i siti visitati dai dipendenti serve l’autorizzazione dell’Ispettorato del lavoro?
Non necessariamente. L’obbligo dipende dalle caratteristiche del sistema e dalla sua qualificazione ai sensi dell’articolo 4 dello Statuto dei lavoratori. Quando uno strumento rientra nel primo comma, occorre rispettare la procedura prevista dalla disposizione, mediante accordo sindacale oppure autorizzazione amministrativa nei casi consentiti. Gli strumenti utilizzati dal lavoratore per rendere la prestazione seguono invece il regime del secondo comma, senza che ciò escluda gli obblighi informativi e privacy. È quindi necessario esaminare concretamente le funzionalità di monitoraggio, senza presumere che ogni firewall o software di sicurezza richieda sempre la medesima procedura.
Quanto tempo può conservare l’azienda la cronologia dei siti internet visitati dai dipendenti?
Il GDPR non stabilisce un termine generale e uniforme per tutti i log di navigazione aziendali. Il periodo di conservazione deve essere determinato in relazione alle finalità legittime del trattamento, alla necessità delle informazioni e ai rischi per i diritti dei lavoratori. La conservazione sistematica e prolungata di cronologie nominative richiede particolare attenzione. L’azienda deve poter giustificare le proprie scelte e prevedere procedure di cancellazione o anonimizzazione coerenti con le finalità perseguite.
È opportuno effettuare una verifica tempestiva delle configurazioni tecniche, dei dati raccolti, delle finalità del monitoraggio e delle procedure autorizzative eventualmente necessarie. Occorre esaminare informative, policy aziendali, tempi di conservazione, permessi di accesso e rapporti con i fornitori. Se emergono trattamenti non conformi, devono essere valutate le misure correttive appropriate, compresa l’eventuale modifica o sospensione delle funzionalità di monitoraggio. La regolarizzazione documentale non rende automaticamente leciti i controlli effettuati in precedenza.
Un’azienda che intende monitorare la navigazione internet dei dipendenti, oppure utilizza già firewall, proxy e software capaci di registrare le attività online, deve verificare la conformità dei controlli alla disciplina lavoristica e al GDPR. La valutazione diventa particolarmente delicata quando i dati sono utilizzati per contestazioni disciplinari, quando mancano informative adeguate o quando emergono reclami e possibili violazioni della privacy.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nell’esame della legittimità dei controlli informatici, nella verifica delle procedure e della documentazione privacy, nell’adeguamento dei sistemi di monitoraggio e nella gestione delle contestazioni. Valutiamo le caratteristiche dell’organizzazione aziendale, le esigenze di sicurezza e i limiti normativi applicabili, individuando gli interventi giuridici e organizzativi appropriati al caso concreto.
Se la vostra azienda deve introdurre controlli sulla navigazione internet, verificare sistemi già installati oppure affrontare una contestazione relativa al monitoraggio dei dipendenti, richiedete una valutazione legale in materia di privacy e GDPR aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze di assistenza e le verifiche necessarie.
