Programmi informatici per il controllo dei lavoratori, obblighi e policy aziendali

Il datore di lavoro, ai sensi dell'art. 13 del Codice della Privacy, è tenuto ad informare preventivamente i lavoratori degli eventuali controlli in quanto questi hanno il diritto di essere informati - preventivamente e in modo chiaro - sui trattamenti di dati che possono riguardarli. Nell'informativa vanno inoltre indicate le principali caratteristiche dei trattamenti e il soggetto o l'unità organizzativa ai quali i lavoratori possono rivolgersi per esercitare i propri diritti. Inoltre, il Garante per la Privacy, in caso di utilizzo da parte del datore di lavoro di programmi che consentono un controllo indiretto dell'attività dei lavoratori, ha fornito i seguenti suggerimenti per prevenire il rischio di utilizzi impropri e "minimizzare" l'uso di dati riferibili ai lavoratori:

• si deve valutare attentamente l'impatto sui diritti dei lavoratori prima dell'installazione di apparecchiature suscettibili di consentire il controllo a distanza e dell'eventuale trattamento dei dati;
• vanno preventivamente individuati, anche solo per tipologie, i lavoratori a cui è accordato l'utilizzo della posta elettronica;
• va determinata l'ubicazione riservata alle postazioni di lavoro per ridurre il rischio di un loro impiego abusivo;
• vanno adottate tutte le misure tecnologiche volte a minimizzare l'uso di dati identificativi (c.d. privacy enhancing technologies–PETs )
• con riferimento all'impiego della posta elettronica nel contesto lavorativo e in ragione della veste esteriore attribuita all'indirizzo di posta elettronica nei singoli casi, può risultare dubbio se il lavoratore, in qualità di destinatario o mittente, utilizzi la posta elettronica operando quale espressione dell'organizzazione datoriale o ne faccia un uso personale pur operando in una struttura lavorativa. La mancata esplicitazione di una policy può determinare anche una legittima aspettativa del lavoratore, o di terzi, di confidenzialità rispetto ad alcune forme di comunicazione. È quindi opportuno che si adottino accorgimenti anche per prevenire eventuali trattamenti in violazione dei principi di pertinenza e non eccedenza. Per questo è opportuno che:
- il datore di lavoro renda disponibili indirizzi di posta elettronica condivisi tra più lavoratori (ad es., ufficiovendite@ente.it, info@ente.it, ufficioreclami@società.com, ecc.), eventualmente affiancandoli a quelli individuali (ad es., m.rossi@ente.it, rossi@società.com, mario.rossi@società.it);
- il datore di lavoro valuti la possibilità di attribuire al lavoratore un diverso indirizzo destinato ad uso privato del lavoratore;
- il datore di lavoro metta a disposizione di ciascun lavoratore apposite funzionalità di sistema, di agevole utilizzo, che consentano di inviare automaticamente, in caso di assenze (ad es., per ferie o attività di lavoro fuori sede), messaggi di risposta contenenti le "coordinate" (anche elettroniche o telefoniche) di un altro soggetto o altre utili modalità di contatto della struttura. É opportuno anche prescrivere ai lavoratori di avvalersi di tali modalità, prevenendo così l'apertura della posta elettronica. In caso di eventuali assenze non programmate (ad es., per malattia), qualora il lavoratore non possa attivare la procedura descritta (anche avvalendosi di servizi webmail), il titolare del trattamento, perdurando l'assenza oltre un determinato limite temporale, potrebbe disporre lecitamente, sempre che sia necessario e mediante personale appositamente incaricato (ad es., l'amministratore di sistema oppure, se presente, un incaricato aziendale per la protezione dei dati), l'attivazione di un analogo accorgimento, avvertendo gli interessati;
- in previsione della possibilità che, in caso di assenza improvvisa o prolungata e per improrogabili necessità legate all'attività lavorativa, si debba conoscere il contenuto dei messaggi di posta elettronica, l'interessato sia messo in grado di delegare un altro lavoratore (fiduciario) a verificare il contenuto di messaggi e a inoltrare al titolare del trattamento quelli ritenuti rilevanti per lo svolgimento dell'attività lavorativa. A cura del titolare del trattamento, di tale attività dovrebbe essere redatto apposito verbale e informato il lavoratore interessato alla prima occasione utile;
- i messaggi di posta elettronica contengano un avvertimento ai destinatari nel quale sia dichiarata l'eventuale natura non personale dei messaggi stessi, precisando se le risposte potranno essere conosciute nell'organizzazione di appartenenza del mittente e con eventuale rinvio alla policy datoriale;
• i sistemi vanno programmati e configurati in modo da cancellare periodicamente ed automaticamente i dati relativi al traffico telematico, la cui conservazione non sia necessaria.