Da anni nelle aziende e negli ambienti di lavoro si applica la sorveglianza digitale (termine giuridico: controllo a distanza dei lavoratori), ma con il coronavirus, e la conseguente impennata dell’home working, il tema si è riproposto con maggiore forza. Quando e come il datore di lavoro può monitorare le attività dei dipendenti impegnati in quello che, spesso erroneamente, si definisce smart working? E, anche nel caso di lavoro in fabbrica o in ufficio, quali sono gli strumenti tecnologici più adatti e diffusi, oltre che leciti? E cosa può fare il lavoratore per scongiurare eventuali illeciti? Vediamo meglio le norme, le tecnologie usate e alcuni casi d’uso.
Che cos’è la sorveglianza digitale
Il controllo a distanza dei lavoratori è un concetto che fa riferimento sia allo Statuto dei Lavoratori (Legge n. 300 del 1970), sia alla legge 81/2017 che regolamenta il lavoro agile, sia al Codice Civile, il quale, all’articolo 2104, afferma che “il prestatore di lavoro deve usare la diligenza richiesta dalla natura della prestazione dovuta, dall’interesse dell’impresa e da quello superiore della produzione nazionale”.
La sorveglianza digitale si colloca all’incrocio tra la regolamentazione sulla tutela dei dati personali e la tutela dei lavoratori. Allo Statuto dei Lavoratori rinvia anche il Codice della Privacy, aggiornato con l’entrata in vigore del GDPR, regolamento europeo in materia di protezione dati personali n. 679 del 2016. Al centro c’è sempre la dignità e la libertà della persona, che deve poter prestare l’attività lavorativa senza condizionamenti.
L’innovazione tecnologica e la riforma del Jobs Act
Negli ultimi decenni l’innovazione tecnologica ha pervaso e rivoluzionato il mondo del lavoro. Le modalità di prestazione dell’attività lavorativa sono mutate e sono nate diverse tecnologie utili a favorire, semplificare o incrementare lo svolgimento di diverse mansioni lavorative. Tutto ciò ha portato alla necessità di una riforma dell’articolo 4 dello Statuto dei Lavoratori tra il 2014 e il 2015 durante il governo Renzi. Riforma che ha introdotto importanti modifiche rispetto alla possibilità del datore di lavoro di operare un controllo sull’attività lavorativa svolta dai propri dipendenti.
In precedenza sussisteva il divieto assoluto di utilizzo di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dell’attività dei lavoratori, salvo alcuni casi specifici. Nella nuova versione dell’articolo l’esplicito divieto è stato eliminato e sono state individuate le condizioni e finalità per le quali è permesso l’utilizzo degli strumenti che consentono un tale controllo.
Controllo a distanza del lavoratore: cosa dice l’articolo 4
Al primo comma dell’art. 4 è specificato che gli impianti audiovisivi e gli altri strumenti dai quali derivi anche un controllo a distanza dell’attività dei lavoratori (ad esempio, gli impianti di videosorveglianza, la bodycam, i sistemi di geolocalizzazione installati sui veicoli aziendali, ecc. ecc.) possono essere utilizzati dall’imprenditore esclusivamente per esigenze di carattere organizzativo e produttivo, di sicurezza del lavoro e di tutela del patrimonio aziendale.
Pertanto, il controllo sull’attività del lavoratore (sull’attività, non sul lavoratore) rimane vietato, a meno che non avvenga in maniera incidentale e non in costanza di un monitoraggio prolungato, proprio perchè la ratio dello Statuto dei Lavoratori è quella di tutelare la libertà, la dignità del dipendente e, a partire dal D. Lgs. 196/2003, anche la sua privacy.
Affinché l’installazione e l’uso degli apparecchi di monitoraggio siano legittimi, oltre alle motivazioni sopracitate, l’art. 4 richiede un accordo sindacale, da stipularsi con le RSA o le RSU o con i sindacati più rappresentativi sul piano nazionale, nell’ipotesi di imprese localizzate in più siti sul territorio del Paese. In assenza di tale accordo sindacale, occorre l’autorizzazione dell’Ispettorato del Lavoro. In mancanza di accordo o del provvedimento alternativo di autorizzazione, l’installazione dell’apparecchiatura è illegittima e penalmente sanzionata.
“Il datore di lavoro – commenta Maria Cristina Daga, Avvocato e Associate Partner presso Partners4Innovation (Gruppo Digital360) – può dover installare la strumentazione di controllo a distanza perché deve rispondere a determinate esigenze di tutela del lavoro. Ne può derivare un controllo indiretto. Un esempio? Le videocamere di sorveglianza installate all’ingresso di qualsiasi struttura societaria, o davanti agli ascensori, per garantire la tutela del patrimonio aziendale. Indirettamente può derivarne un controllo sul lavoratore, perché, almeno in linea teorica, il datore di lavoro può verificare quante volte il suo dipendente entra o esce, ecc. ecc.. Ma non è lecito farlo nella misura in cui è necessario rispettare l’articolo 4. E non è l’unica norma da seguire: c’è anche l’articolo 8 dello Statuto dei Lavoratori che vieta al datore di lavoro di osservare e fare indagini nei confronti del lavoratore riguardo alle sue opinioni politiche e religiose, agli aspetti privati, insomma”.
Quando è consentito il controllo a distanza: rider, lavori rischiosi, fabbriche
Il divieto di controllo del lavoratore a distanza non si applica quando gli strumenti sono usati dal lavoratore per poter rendere la propria prestazione lavorativa. Un classico esempio riguarda il mondo dei rider: il fattorino che consegna cibo a domicilio a casa ha necessità di segnalare, attraverso un’applicazione fornita in dotazione, di aver appena consegnato del cibo a un utente. In questo modo, infatti, il sistema potrà ritenerlo disponibile per una successiva consegna. L’applicazione può dunque registrare l’ubicazione del lavoratore. Altro esempio: i lavoratori che esercitano attività rischiose o che lavorano con sostanze tossiche pericolose. Le funzionalità per geolocalizzare o sorvegliare l’individuo possono servire a scongiurare incidenti.
Sono inoltre consentiti software proprietari per l’ottimizzazione dei tempi di lavoro. Per esempio, nell’ambito di una catena di montaggio, è possibile registrare quando il lavoratore inizia e finisce la prestazione: un applicativo di questo genere può servire all’implementazione dei piani industriali. Naturalmente l’utilizzo deve essere pertinente.
Quali software e strumenti si usano per il controllo a distanza
Nel corso della pandemia da coronavirus si sono diffusi, negli Stati Uniti ma non solo, software utilizzati per controllare che gli standard di produttività giornaliera vengano rispettati anche a distanza. Una volta scaricati e installati su un pc o uno smartphone, i software iniziano a monitorare virtualmente tutte le attività svolte sul dispositivo: dai movimenti del mouse al numero di battute sulla tastiera, passando per le email lette, i siti visitati e il tempo passato sui social media. Alcuni programmi, poi, possono anche scattare fotografie con la webcam per controllare che i dipendenti siano realmente seduti davanti allo schermo. “Dall’inizio della pandemia, la richiesta per le nostre tecnologie è triplicata” ha detto Brad Miller, CEO di Awareness Technologies. Il loro software InterGuard permette proprio di monitorare tutte le attività che vengono svolte su un pc, assegnando poi a ogni impiegato un “punteggio di produttività”. Altro brand di punta nel settore è Hubstaff – un “time tracking software” che permette anche di controllare dove si trovano fisicamente i lavoratori, avendo così sotto controllo i loro spostamenti – o Time Doctor, che invia “alert di distrazione” se l’utente risulta inattivo oppure passa troppo tempo su siti considerati poco produttivi quali Youtube, Facebook o Netflix. Il software può anche scattare e condividere screenshot dello schermo, per controllare l’attività del dipendente in ogni momento.
Questo lo scenario americano. L’Italia, e l’Europa, sono un altro pianeta. Il nostro Paese ha una sua legislazione che fa riferimento al quadro normativo europeo.
Da noi possono essere utilizzati strumenti di Data Loss Prevention, alcune funzionalità del firewall, MDM (Mobile device monitoring), alcune funzionalità del content filtering: sono software che in alcuni casi proteggono la rete da attacchi esterni, o servono a monitorare la posta elettronica in entrata e uscita, sempre per ragioni di sicurezza. Questi tool, installati all’interno del pc o del cellulare del lavoratore, devono puntare a soddisfare esigenze di tutela del patrimonio aziendale o di sicurezza informatica. La strumentazione può essere installata rispettando l’articolo 4, ovvero previo accordo sindacale e rispetto dei requisiti in tutela degli accordi sulla privacy.
“Per il datore di lavoro – commenta Maria Cristina Daga – permane l’obbligo di rispetto dello Statuto dei Lavoratori e del GDPR. Quello che dovrà essere maggiormente enfatizzata è un’informazione chiara e trasparente, rivolta al lavoratore, sull’utilizzo della strumentazione aziendale attraverso sistemi domestici”.
Lavoro agile e controllo a distanza
Il lavoro agile o smart working, la nuova filosofia manageriale fondata sulla restituzione alle persone di flessibilità e autonomia nella scelta degli spazi, degli orari e degli strumenti da utilizzare a fronte di una maggiore responsabilizzazione sui risultati, pone nuove sfide all’applicazione della sorveglianza digitale del lavoratore. Con l’avvento massiccio del lavoro agile a causa della pandemia da coronavirus queste sfide sono aumentate.
La definizione di smart working, contenuta nella Legge n. 81/2017, pone l’accento su flessibilità organizzativa, volontarietà delle parti che sottoscrivono l’accordo individuale e utilizzo di strumentazioni che consentano di lavorare da remoto (pc portatili, tablet e smartphone).
“Dovendo pensare di traslare lo Statuto dei Lavoratori dal lavoro fisico a quello a distanza – afferma Carola Caputo, avvocato dello studio legale Lisi – si può pensare a un sostitutivo del badge: un applicativo che registri i file di log, ma limitatamente all’inizio della sessione e al termine dell’attività lavorativa. È lecito prevedere uno strumento che consenta questo tipo di controllo, ma i file di log devono limitarsi a date e ore di connessione e di disconnessione. Non dovrebbero cioè registrare le attività svolte dall’utente: se sta scrivendo, se sta accedendo a una pagina non attinente alla prestazione lavorativa ecc. ecc. Questo tipo di sorveglianza digitale è consentita solo in determinate situazioni. Nello specifico deve essere uno strumento che serva al lavoratore per lavorare. Nel caso di un agente di commercio che abbia a disposizione l’auto aziendale, la geolocalizzazione non gli è indispensabile per rendere la prestazione lavorativa, nel caso del rider sì. L’applicazione dello strumento di controllo deve essere funzionale all’attività svolta”.
Ma nello smart working serve il controllo?
Come detto, lo smart working è incentrato su autonomia e flessibilità, ed è in sostanza un lavoro svolto per obiettivi. “Se la prestazione è legata al risultato e non all’orario – argomenta Carola Caputo – non sarebbe lecito registrare accessi e presenze. In quel caso avrebbe senso usare strumenti per la rilevazione della produttività: piattaforme e app di questo tipo si possono usare entro i limiti stabiliti dalla legislazione sulla privacy. D’altra parte può non essere necessario monitare la produttività di un singolo lavoratore, ma di un intero reparto sì. In linea generale non ha senso che questi strumenti insistano sul singolo. I dati possono essere usati in modo da non poter collegare determinati dati alla singola persona”.
È legittimo il controllo del pc aziendale da parte del datore di lavoro?
“In alcuni casi si devono inserire sistemi di controllo nei pc” sostiene Carola Caputo. “Il caso tipico è l’amministratore di sistema, per esempio di un ospedale: in maniera volontaria o meno, avendo il livello di autorizzazione più elevato possibile, l’amministratore può non inserire i dati di una cartella clinica e in questo modo mettere a repentaglio vite umane. Perciò il controllo esercitato dal datore di lavoro sull’amministratore di sistema è previsto dal provvedimento del 2008 del Garante Privacy . È un provvedimento correlato al rischio: in questo caso il legislatore ha ritenuto più importante proteggere la vita”.
Le applicazioni per dialogare con il lavoratore
Proprio a causa del dilagare dello smart working, si sono moltiplicate le applicazioni per mantenere il più possibile i contatti con i dipendenti anche a distanza. Un esempio fra i tanti: Beaconforce, startup basata a San Francisco che ha creato un algoritmo in grado di calcolare il livello di motivazione dei dipendenti di un’azienda. Anche gli strumenti di MDM sono applicazioni che il lavoratore si scarica sul cellulare allo scopo di gestire le proprie attività attraverso un’applicazione specifica. Beaconforce gestisce stati d’animo, l’MDM può gestire gli strumenti di lavoro.
Questi tool sono considerabili alla stregua di strumenti di controllo? “La discriminante – replica Carola Caputo – è che il lavoratore non sia soggetto passivo del controllo. È quello che si fa nei meeting aziendali e nelle riunioni, il lavoratore non viene controllato in maniera passiva, bensì si interloquisce con lui e gli si dà modo di rispondere a uno strumento di contatto. Se invece le domande diventano invasive, si può sconfinare nell’illecito. Come datore di lavoro ho diritto a sapere se il mio dipendente ha trascorso la settimana in maniera produttiva, se ha avuto scambi con i colleghi ecc. ecc., ma non, per esempio, se ha chiamato la babysitter”.
È dunque necessario trattare solo i dati che servono, altrimenti il trattamento diventa illecito. E non sono consentite elaborazioni che sfociano nella profilazione. È invece permesso realizzare elaborazioni statistiche. “Molto importante è il tema del consenso” specifica la legale dello Studio Lisi. “Nel momento in cui rispondo lo faccio non per adempiere un obbligo contrattuale, ma volontariamente. A volte non si dà il giusto peso al consenso. Invece nel rapporto di lavoro il consenso difficilmente sarà libero, a volte può essere estorto”.
Controllo a distanza dei lavoratori: quali sanzioni per il datore di lavoro
“La disciplina sul controllo a distanza dei lavoratori esiste da diversi anni – ricorda Maria Cristina Dago – l’elemento in più aggiunto dal regolamento europeo è assoggettare l’utilizzo di questa strumentazione alla valutazione d’impatto. Se il datore usa tecnologie particolarmente invasive è necessaria una valutazione d’impatto. Pensiamo a particolari sistemi di log in grado di tracciare l’operato dell’individuoe in ogni momento dell’attività lavorativa. Questo può creare problematiche in termini di rispetto della riservatezza e può costituire un rischio per gli interessati. È un adempimento che deve essere fatto dall’azienda con l’obiettivo di individuare misure di sicurezza e protezione in grado di evitare eccessiva ingerenza nei confronti dell’interessato. Per esempio si possono anonimizzare una parte dei dati”.
La valutazione d’impatto è obbligatoria? Lo è in 3 casi previsti dall’articolo 35 del GDPR. Quando non viene usata la valutazione d’impatto, il datore di lavoro può essere oggetto di sanzioni in base all’articolo 83 del regolamento europeo in materia di protezione dei dati personali.
“Quando parliamo di videosorveglianza – conclude Daga – si può prescindere dalla valutazione d’impatto perché si tratta di tecnologie conosciute, conoscibili e da tempo utilizzate. Se invece abbiamo a che fare con tecnologie invasive che fuoriescono dal controllo e dalla consapevolezza del lavoratore, e che invadono la sua sfera privata, tenderei a considerarla obbligatoria”.
(Ha collaborato Laura Lo Guercio)
