Monitoraggio del PC del dipendente: i limiti di legge

Una delle domande che i datori di lavoro pongono più spesso è: «posso monitorare il computer aziendale del mio dipendente?». Risposta breve: sì, a certe condizioni. Ma saltare quelle condizioni trasforma uno strumento di produttività in un rischio legale.

Questo articolo è un'informazione generale e non sostituisce una consulenza legale. Prima di qualsiasi applicazione concreta, rivolgiti sempre a un consulente.

Il quadro normativo: che cosa dicono GDPR e Statuto dei lavoratori?

Il GDPR e il Codice privacy riconoscono che l'attività di un dipendente sui dispositivi aziendali può costituire dato personale. L'articolo 4 dello Statuto dei lavoratori disciplina inoltre gli strumenti da cui derivi anche la possibilità di un controllo a distanza, e l'articolo 8 vieta indagini sulle opinioni e sui fatti non rilevanti per l'attitudine professionale.

• Liceità e correttezza: il monitoraggio non deve essere segreto o occulto, ma poggiare su una base nota e legittima.
• Finalità determinata e legittima: non vale un «per ogni evenienza»; occorre definire uno scopo concreto, come la sicurezza dei dati, la produttività o un obbligo di legge.
• Proporzionalità: non si devono raccogliere dati oltre il necessario rispetto alla finalità (leggere il contenuto dei messaggi privati è in genere sproporzionato).
• Limitazione della conservazione: i dati non vanno conservati più a lungo di quanto serva alla finalità.

Informativa e accordo sindacale: i due passaggi più critici

La giurisprudenza di legittimità e i provvedimenti del Garante privacy convergono su un punto: il lavoratore deve essere informato in modo preventivo ed esplicito. I dati raccolti con un monitoraggio non dichiarato possono essere ritenuti illeciti e perdere valore probatorio in giudizio.

• Informativa preventiva (artt. 13 e 14 GDPR): quali dati, per quale finalità, per quanto tempo e con quale modalità sono trattati va comunicato per iscritto.
• Accordo sindacale o autorizzazione: per gli strumenti da cui derivi la possibilità di controllo a distanza serve l'accordo con le rappresentanze sindacali o l'autorizzazione dell'Ispettorato del lavoro.
• Regolamento aziendale: il perimetro del controllo va documentato in un allegato al contratto o in una policy sull'uso degli strumenti informatici.
• Sicurezza dei dati (art. 32 GDPR): l'accesso ai dati di monitoraggio va limitato alle persone autorizzate e i dati vanno conservati cifrati.
• Solo dispositivi aziendali: monitorare il dispositivo personale di un dipendente è soggetto a condizioni molto più strette; per regola, resta sui dispositivi di proprietà dell'azienda.

Come si presenta nella pratica un monitoraggio proporzionato?

Il principio di proporzionalità significa «vedere lo schema d'uso» invece di «leggere il contenuto». Per esempio, vedere quanto tempo si passa in quale applicazione e quanto su siti estranei al lavoro basta per la maggior parte delle finalità; accedere al contenuto dei messaggi privati, invece, è di norma sproporzionato.

• Preferisci report centrati su durata e categoria, non sul contenuto.
• Un monitoraggio limitato all'orario di lavoro è più proporzionato di uno continuo.
• Limita l'accesso alle persone autorizzate e conserva i dati cifrati.

Usare Spektio su una base lecita

Sui dispositivi aziendali Spektio riporta per categoria i tempi di applicazioni, web e giochi e il tempo di schermo; offre visibilità sull'uso, non divulgazione dei contenuti. Questo si allinea a un modello di monitoraggio rispettoso del principio di proporzionalità.

Impostare correttamente la responsabilità spetta a te: usa Spektio solo su dispositivi di proprietà dell'azienda, informando in anticipo i dipendenti e documentandolo nella policy interna. Definisci chi è autorizzato ad accedere ai dati e tempi di conservazione ragionevoli.