Fino a che punto il datore di lavoro può controllare email dipendenti e il loro uso? Le regole in base sentenza Garante della Priv

Il controllo delle email dei dipendenti da parte del datore di lavoro è una questione delicata, regolata da normative che garantiscono il rispetto della privacy dei lavoratori e la trasparenza nelle relazioni aziendali.

Il Garante per la Protezione ha più volte chiarito i limiti entro cui un datore di lavoro può monitorare l'uso della posta elettronica aziendale, con l'obiettivo di tutelare la dignità e la riservatezza dei dipendenti, in conformità con il GDPR. Vediamo fino a che punto il datore di lavoro può intervenire nel controllo delle email e quali sono le regole imposte dalle più recenti sentenze e provvedimenti:

• L'importante provvedimento del Garante della Privacy
• Controllo delle email aziendali: principi generali

L'importante provvedimento del Garante della Privacy

Uno dei provvedimenti del Garante della Privacy riguarda la gestione dei metadati delle email aziendali. I metadati sono informazioni che descrivono i dettagli tecnici di un'email, come il giorno e l'ora di invio, il mittente, il destinatario e l'oggetto del messaggio. Queste informazioni sono considerate meno intrusive rispetto al contenuto dell'email, ma devono comunque essere trattate con attenzione. Il Garante ha stabilito che i metadati delle email possono essere conservati al massimo per sette giorni, con la possibilità di estendere questo periodo di ulteriori 48 ore in caso di comprovate esigenze aziendali.

L'accesso ai metadati deve essere giustificato e rientrare nei limiti di quanto necessario per tutelare gli interessi aziendali, come per esempio in caso di sospetti di violazioni della sicurezza. Non è consentito un monitoraggio sistematico e continuo senza che vi sia una ragione valida e specifica. Inoltre, ogni decisione di prolungare il periodo di conservazione dei metadati deve essere discussa con le rappresentanze sindacali o, in loro assenza, con il consenso esplicito dei dipendenti.

Uno dei punti più critici riguarda l'accesso ai contenuti delle email. Il datore di lavoro non può accedere alle comunicazioni private dei dipendenti senza una giustificazione specifica e senza aver informato i lavoratori. Le email personali, anche se inviate tramite account aziendali, sono protette dal diritto alla privacy. In caso di necessità legittime, come un’indagine interna per sospetti fondati di attività illecite, l’azienda può accedere ai contenuti delle email, ma deve farlo rispettando il principio di proporzionalità e solo dopo aver informato il dipendente coinvolto.

Di recente un'azienda è stata multata per 120.000 euro per aver utilizzato un software di controllo che monitorava in modo invasivo le attività dei dipendenti, comprese le pause e i tempi di inattività. In questo caso, il Garante ha sottolineato che l'uso di strumenti di monitoraggio deve essere proporzionato e limitato, e che i dipendenti devono essere sempre informati delle modalità di trattamento dei loro dati personali.

Ogni attività di monitoraggio deve essere preceduta da una informativa dettagliata che spieghi ai dipendenti quali dati vengono raccolti, come vengono trattati e per quali scopi. Questo adempimento è parte integrante del principio di trasparenza stabilito dal GDPR, che impone ai datori di lavoro di comunicare in modo esplicito le modalità di gestione dei dati aziendali.

Se un'azienda non rispetta queste regole, il Garante può imporre sanzioni molto pesanti, come dimostra il caso della multa di 120.000 euro a una società che monitorava i dipendenti senza informarli.

Oltre alle multe, l’azienda può essere obbligata a interrompere le attività di trattamento dei dati che violano il GDPR e a rivedere le proprie procedure interne.

Controllo delle email aziendali: principi generali

Il Garante della Privacy stabilisce che il datore di lavoro può monitorare l’uso degli strumenti aziendali, incluse le email, solo in casi particolari e legittimi, come la protezione della sicurezza informatica o la prevenzione di attività illecite. Il controllo deve rispettare criteri di liceità, correttezza e trasparenza.

Ogni attività di controllo deve avere una base legale e deve essere giustificata da esigenze legittime dell'azienda, come la protezione del patrimonio aziendale o la sicurezza dei sistemi informatici.

Il controllo deve essere limitato a ciò che è necessario per raggiungere l'obiettivo legittimo, senza eccedere. Ad esempio, il datore di lavoro può monitorare i metadati (informazioni su mittente, destinatario, oggetto e ora di invio) ma non i contenuti delle email senza una motivazione e conforme alla legge.

I dipendenti devono essere informati in modo chiaro e completo sulle modalità e i limiti del monitoraggio. Questo avviene tramite informative aziendali che spiegano il trattamento dei dati e i possibili controlli, come richiesto dal GDPR.

• Calcolo Part Time Agevolato