Articolo a cura di: Redazione - Studio Legale Calvello

Una policy aziendale per l’utilizzo di email, internet, computer e smartphone deve stabilire come i dipendenti possono utilizzare gli strumenti informatici, quali misure di sicurezza devono rispettare e quali controlli l’impresa può legittimamente effettuare. Un regolamento generico, copiato da un modello standard, rischia di non corrispondere ai sistemi effettivamente utilizzati e di lasciare irrisolti problemi relativi alla riservatezza delle comunicazioni, alla conservazione dei dati e al controllo dell’attività lavorativa.

Per il datore di lavoro la questione è particolarmente delicata: la proprietà aziendale di un dispositivo o di una casella email non attribuisce automaticamente il diritto di controllarne ogni contenuto. Occorre coordinare il GDPR, il Codice Privacy e l’articolo 4 dello Statuto dei lavoratori, distinguendo le esigenze organizzative e di sicurezza dai controlli che possono incidere sulla libertà e sulla riservatezza dei dipendenti. Quando l’impresa introduce nuovi software, modifica i sistemi di posta elettronica o consente l’utilizzo promiscuo degli smartphone, può essere necessario aggiornare le regole interne e verificare preventivamente la legittimità dei trattamenti.

Quali regole deve contenere una policy aziendale per email, internet, PC e smartphone

Il primo compito di una policy informatica aziendale è definire le condizioni di utilizzo degli strumenti messi a disposizione dei lavoratori. Il documento deve essere costruito partendo dall’organizzazione effettiva dell’impresa: sistemi di posta elettronica, computer fissi e portatili, telefoni aziendali, applicazioni di messaggistica, servizi cloud e strumenti per il lavoro da remoto. Non è sufficiente vietare genericamente gli utilizzi impropri. Il dipendente deve poter comprendere quali comportamenti sono consentiti, quali sono vietati e quali procedure deve seguire quando si verifica un problema.

Per la posta elettronica aziendale occorre disciplinare l’utilizzo professionale e l’eventuale uso personale, l’inoltro dei messaggi a indirizzi privati, la trasmissione di documenti riservati, la gestione delle caselle condivise e le modalità di accesso durante assenze prolungate o alla cessazione del rapporto di lavoro. La policy dovrebbe prevedere soluzioni organizzative che assicurino la continuità dell’attività senza rendere ordinaria la lettura indiscriminata della corrispondenza del dipendente. Risposte automatiche, indirizzi funzionali e procedure di delega possono ridurre la necessità di interventi sulle caselle individuali.

Quanto alla navigazione internet e all’utilizzo dei PC aziendali, il regolamento deve chiarire le limitazioni eventualmente previste, le condizioni per installare programmi, l’impiego di dispositivi USB, il salvataggio dei documenti e l’accesso ai servizi esterni. Devono essere definite anche le regole relative alle credenziali personali, all’autenticazione multifattore, agli aggiornamenti di sicurezza e alla segnalazione di anomalie. Queste disposizioni devono essere coerenti con le autorizzazioni effettivamente attribuite ai lavoratori e con le misure tecniche adottate dall’azienda.

Una disciplina specifica riguarda gli smartphone aziendali e i dispositivi personali utilizzati per lavoro, secondo il modello BYOD (Bring Your Own Device). L’impresa deve chiarire se è consentito l’uso promiscuo, quali applicazioni possono essere installate, come devono essere protetti i dati aziendali e cosa accade alla restituzione del dispositivo. Se vengono impiegati sistemi di gestione remota, occorre definire le funzionalità attivate e le informazioni accessibili agli amministratori IT, prestando particolare attenzione alla possibile presenza di contenuti personali.

La policy deve disciplinare anche l’impiego di applicazioni di messaggistica e strumenti collaborativi, quando utilizzati per finalità lavorative. L’invio di dati dei clienti tramite WhatsApp, la condivisione di documenti su account cloud personali o l’inserimento di informazioni riservate in sistemi di intelligenza artificiale possono creare problemi che un regolamento limitato ai tradizionali computer aziendali non affronta. Per gli aspetti specifici della messaggistica è utile distinguere le regole generali sugli strumenti informatici dalle problematiche esaminate nel nostro approfondimento sull’utilizzo di WhatsApp in azienda e la privacy di clienti e dipendenti.

Le disposizioni devono infine precisare come segnalare lo smarrimento di un dispositivo, un possibile accesso abusivo, un messaggio di phishing o un trasferimento non autorizzato di dati. È opportuno collegarle alle istruzioni impartite ai soggetti autorizzati al trattamento, alle procedure di sicurezza e, quando applicabile, al codice disciplinare. La policy deve descrivere regole realmente applicabili e verificabili, non limitarsi a dichiarazioni generiche di conformità.

GDPR, Statuto dei lavoratori e controlli informatici: quali limiti deve rispettare l’azienda

La predisposizione del regolamento richiede di distinguere due questioni giuridiche collegate, ma non coincidenti: la legittimità dell’installazione e dell’utilizzo di strumenti dai quali può derivare un controllo a distanza dei lavoratori e la liceità del trattamento dei dati personali raccolti attraverso tali strumenti. Il rispetto del GDPR non sostituisce gli adempimenti eventualmente richiesti dall’articolo 4 della Legge 300/1970, così come un accordo sindacale o un’autorizzazione amministrativa non rendono automaticamente lecito qualsiasi trattamento dei dati.

L’articolo 4 dello Statuto dei lavoratori disciplina gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività lavorativa. Per gli strumenti rientranti nel primo comma, l’installazione è ammessa per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale, nel rispetto delle procedure di accordo sindacale o autorizzazione amministrativa previste dalla disposizione. Il secondo comma contempla una disciplina distinta per gli strumenti utilizzati dal lavoratore per rendere la prestazione e per quelli di registrazione degli accessi e delle presenze.

La qualificazione concreta dello strumento è determinante. Un computer necessario per svolgere le mansioni non può essere considerato automaticamente equivalente a un software aggiuntivo che registra continuativamente schermate, tempi di inattività o attività dell’utente. Analogamente, un sistema di sicurezza informatica può raccogliere informazioni tecniche che, in determinate configurazioni, permettono anche di ricostruire il comportamento individuale del dipendente. Occorre quindi esaminare funzionalità effettive, finalità perseguite, configurazione del sistema e possibilità di identificare il lavoratore, anziché basarsi esclusivamente sulla denominazione commerciale del software.

Il terzo comma dell’articolo 4 subordina l’utilizzabilità delle informazioni raccolte per le finalità connesse al rapporto di lavoro al rispetto delle condizioni previste dalla norma, compresa un’adeguata informazione sulle modalità d’uso degli strumenti e di effettuazione dei controlli, oltre alla normativa sulla protezione dei dati personali. La semplice firma di una policy non sana un controllo illegittimo e il consenso del dipendente non costituisce una soluzione generale per superare i vincoli previsti dalla disciplina lavoristica.

Sul piano del GDPR, l’azienda deve individuare una base giuridica appropriata, rispettare i principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione e adottare misure proporzionate ai rischi. L’informativa ai lavoratori deve spiegare in modo comprensibile i trattamenti effettuati. Policy d’uso e informativa privacy hanno funzioni differenti: la prima disciplina i comportamenti e le modalità di utilizzo degli strumenti; la seconda rende conoscibili gli elementi del trattamento richiesti dagli articoli 13 e, ove applicabile, 14 del GDPR. Possono essere coordinate, ma una non sostituisce automaticamente l’altra.

Particolare attenzione richiedono i metadati della posta elettronica aziendale, come indirizzi dei mittenti e dei destinatari, orari e informazioni tecniche associate ai messaggi. Nel documento di indirizzo del 6 giugno 2024, il Garante per la protezione dei dati personali ha affrontato la conservazione dei metadati nell’ambito dei servizi di posta elettronica dei lavoratori, indicando un termine orientativo normalmente non superiore a 21 giorni per la conservazione necessaria al funzionamento delle infrastrutture, salvo specifiche condizioni. Non si tratta di un limite generale applicabile indistintamente a tutti i messaggi email o a qualsiasi tipologia di log. Conservazioni più estese richiedono una valutazione delle finalità, della necessità e della disciplina applicabile, anche lavoristica.

Per questo motivo, l’impresa deve verificare le impostazioni effettive dei servizi di posta elettronica, compresi quelli forniti tramite piattaforme cloud, senza presumere che le configurazioni predefinite siano automaticamente conformi. La stessa attenzione riguarda i log di navigazione internet, gli accessi ai sistemi e gli strumenti di amministrazione remota. Le informazioni raccolte per sicurezza e manutenzione non devono trasformarsi, senza un’adeguata base giuridica e senza il rispetto delle garanzie applicabili, in un sistema generalizzato di sorveglianza dei dipendenti.

Quando l’azienda deve valutare se e come effettuare verifiche sulle comunicazioni lavorative, la questione richiede un esame specifico, distinto dalla semplice redazione del regolamento. Abbiamo approfondito questi limiti negli articoli dedicati al controllo delle email aziendali dei dipendenti e al controllo della navigazione internet durante il lavoro.

Come organizzare controlli, procedure interne e responsabilità per evitare violazioni della privacy

Una volta definite le regole di utilizzo degli strumenti informatici e verificati i limiti dei controlli sui lavoratori, l’azienda deve assicurarsi che la policy sia coerente con le procedure effettivamente adottate. Il regolamento non può limitarsi a stabilire divieti e responsabilità dei dipendenti: deve indicare anche come l’impresa gestisce gli accessi, protegge le informazioni e interviene quando si verifica un utilizzo improprio degli strumenti. Una policy formalmente corretta, ma incompatibile con le configurazioni dei sistemi aziendali, può lasciare irrisolte criticità rilevanti ai fini del GDPR.

Il primo aspetto riguarda la distribuzione delle responsabilità. La direzione aziendale deve individuare chi autorizza l’utilizzo degli strumenti, chi gestisce gli account, chi può accedere ai sistemi per esigenze tecniche e chi valuta eventuali anomalie. Il personale IT può avere privilegi amministrativi necessari alla manutenzione, ma tali privilegi non attribuiscono un’autorizzazione generale a consultare le comunicazioni dei lavoratori. Occorre stabilire condizioni, limiti e modalità degli interventi, prevedendo una documentazione adeguata delle operazioni quando necessaria. Le istruzioni devono essere coordinate con quelle impartite agli autorizzati al trattamento dei dati personali.

Un’altra questione riguarda i fornitori che gestiscono posta elettronica, servizi cloud, assistenza remota e sistemi di monitoraggio della sicurezza. Quando trattano dati personali per conto dell’impresa, occorre verificare la corretta disciplina del rapporto ai sensi dell’articolo 28 del GDPR, comprese le istruzioni contrattuali e le misure di sicurezza. L’affidamento a un fornitore esterno non trasferisce automaticamente a quest’ultimo tutte le responsabilità dell’azienda titolare del trattamento. È quindi necessario conoscere quali informazioni vengono raccolte dai sistemi, per quanto tempo sono conservate e quali soggetti possono accedervi.

La policy deve inoltre coordinarsi con le procedure di gestione degli incidenti informatici. Se un dipendente smarrisce uno smartphone contenente dati dei clienti, utilizza un account compromesso oppure trasmette informazioni riservate a un destinatario non autorizzato, deve sapere a chi rivolgersi e quali comportamenti evitare. L’azienda deve poter valutare tempestivamente l’accaduto e stabilire se si sia verificata una violazione dei dati personali ai sensi del GDPR. Non ogni incidente comporta automaticamente una notifica al Garante, ma l’eventuale obbligo deve essere valutato secondo l’articolo 33 del Regolamento, considerando i rischi per i diritti e le libertà delle persone interessate.

Particolare attenzione merita la gestione delle violazioni della policy da parte dei dipendenti. L’impresa può prevedere conseguenze disciplinari per comportamenti contrari alle istruzioni aziendali, ma deve rispettare la disciplina lavoristica, il principio di proporzionalità e le garanzie procedurali applicabili. Una clausola che autorizzi genericamente il datore di lavoro a controllare qualsiasi dispositivo o comunicazione non rende legittima la raccolta delle prove. Anche quando emerge il sospetto di un illecito, occorre valutare attentamente le modalità delle verifiche informatiche, la pertinenza delle informazioni raccolte e le condizioni per il loro eventuale utilizzo.

La corretta attuazione richiede che la policy venga portata effettivamente a conoscenza del personale e accompagnata da istruzioni comprensibili. La sottoscrizione per presa visione può documentare la comunicazione del regolamento, ma non sostituisce gli altri adempimenti previsti dalla legge. Devono essere considerate anche le esigenze formative, soprattutto quando l’azienda introduce nuovi applicativi, sistemi di autenticazione, strumenti di lavoro da remoto o procedure per il trattamento di informazioni riservate.

Per le imprese che hanno adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, le regole informatiche possono essere coordinate con i protocolli destinati alla prevenzione dei reati informatici rilevanti per l’ente. Il collegamento deve derivare dalla concreta mappatura dei rischi e dalle attività aziendali interessate, senza presumere che ogni violazione della policy costituisca un reato presupposto o determini una responsabilità della società. Quando pertinente, le procedure possono prevedere flussi informativi verso l’Organismo di Vigilanza, nel rispetto delle competenze attribuitegli e delle esigenze di riservatezza.

La revisione periodica del regolamento permette di verificare se le disposizioni siano ancora coerenti con i sistemi utilizzati e con l’organizzazione del lavoro. L’introduzione di un software di monitoraggio, il passaggio a un nuovo servizio cloud o l’estensione del lavoro da remoto possono richiedere valutazioni ulteriori, anche in relazione alla necessità di una valutazione d’impatto ai sensi dell’articolo 35 GDPR. In questo ambito, un audit privacy aziendale consente di individuare eventuali differenze tra le regole dichiarate, le configurazioni tecniche e le modalità concrete di trattamento dei dati.

Un esempio pratico: un’azienda che introduce nuove regole per email, PC e smartphone

Consideriamo il caso esemplificativo di una società con diversi uffici che utilizza Microsoft 365, computer portatili e smartphone assegnati ai dipendenti. Il regolamento interno, predisposto anni prima, contiene soltanto un divieto generico di utilizzo personale degli strumenti. Nel frattempo, l’impresa ha introdotto sistemi di accesso remoto e nuove funzionalità di registrazione degli eventi informatici, senza aggiornare le informazioni fornite ai lavoratori.

In una situazione simile, il nostro intervento professionale partirebbe dall’esame delle configurazioni tecniche, delle finalità dei trattamenti e della documentazione esistente. La maggiore attenzione riguarderebbe i dati effettivamente accessibili agli amministratori IT, i tempi di conservazione dei metadati della posta elettronica e l’eventuale possibilità di ricostruire l’attività individuale dei dipendenti. Sulla base delle verifiche, si potrebbero individuare le modifiche tecniche e organizzative necessarie, predisporre una policy aggiornata, coordinare le informative privacy e valutare gli eventuali adempimenti previsti dall’articolo 4 dello Statuto dei lavoratori.

La gestione del problema richiederebbe quindi un intervento proporzionato ai sistemi concretamente utilizzati, distinguendo le funzionalità necessarie alla sicurezza informatica da quelle che consentono controlli sull’attività lavorativa.

Domande frequenti sulla policy aziendale per email, internet, PC e smartphone

La policy per l’utilizzo degli strumenti informatici è obbligatoria per tutte le aziende?

Non esiste un obbligo generalizzato di adottare un documento con questa specifica denominazione. L’azienda deve però rispettare gli obblighi di informazione, sicurezza e corretta organizzazione dei trattamenti previsti dal GDPR e, quando applicabile, dall’articolo 4 dello Statuto dei lavoratori. Una policy scritta permette di disciplinare l’utilizzo degli strumenti e documentare le istruzioni impartite al personale. La sua necessità e il contenuto dipendono dalle caratteristiche dell’organizzazione e dai sistemi utilizzati.

È sufficiente far firmare il regolamento ai dipendenti per poter controllare email e computer?

No. La firma può documentare la presa visione delle regole aziendali, ma non costituisce un’autorizzazione generale al controllo delle comunicazioni o dell’attività lavorativa. L’azienda deve verificare preventivamente la legittimità degli strumenti utilizzati, gli eventuali adempimenti richiesti dallo Statuto dei lavoratori e il rispetto della normativa sulla protezione dei dati personali.

Una policy può vietare l’utilizzo personale di email, internet e smartphone aziendali?

L’impresa può stabilire limitazioni all’utilizzo personale degli strumenti assegnati per ragioni lavorative, purché le regole siano chiare, proporzionate e compatibili con la normativa applicabile. Il divieto di utilizzo personale non elimina automaticamente la tutela della riservatezza del dipendente e non legittima controlli indiscriminati sui contenuti delle comunicazioni.

Quando deve essere aggiornata la policy informatica aziendale?

È opportuno riesaminarla quando vengono introdotti nuovi software, sistemi di monitoraggio, piattaforme cloud, dispositivi mobili o differenti modalità di lavoro. Una revisione può essere necessaria anche quando cambiano le funzionalità tecniche dei servizi già utilizzati, emergono criticità nei controlli o intervengono modifiche normative e indicazioni delle autorità competenti. Non esiste una scadenza unica valida per tutte le imprese.

Quanto costa far predisporre o aggiornare una policy aziendale conforme al GDPR?

Il costo dipende dal numero di dipendenti, dagli strumenti informatici utilizzati, dalla complessità dei sistemi di controllo e dalla documentazione già disponibile. La semplice revisione di un regolamento esistente richiede attività diverse rispetto a un intervento che comprenda l’analisi dei software, delle configurazioni della posta elettronica, delle informative privacy e degli eventuali adempimenti lavoristici. Un preventivo attendibile richiede quindi una valutazione preliminare della situazione aziendale.

Policy aziendale per email, internet, PC e smartphone: richiedi una valutazione legale

Una policy informatica non aggiornata, incompleta o non coerente con i sistemi effettivamente utilizzati può esporre l’impresa a contestazioni relative alla privacy dei dipendenti, alla legittimità dei controlli e alla gestione delle informazioni aziendali.

Da oltre 25 anni, noi dello Studio Legale Calvello assistiamo privati e imprese nella gestione delle problematiche giuridiche. In materia di privacy aziendale possiamo esaminare il regolamento esistente, verificare gli obblighi applicabili e assistere l’azienda nella predisposizione o revisione delle procedure relative a email, internet, computer e smartphone.

Se la tua azienda deve adottare una policy informatica, aggiornare quella esistente o verificare la legittimità dei controlli sui dipendenti, richiedi una valutazione legale in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni che richiedono un approfondimento professionale.