La problematica….
• Le moderne tecnologie dell’informazione e della
comunicazione (in particolar modo internet e posta
elettronica) sono ormai divenuti essenziali ed
imprescindibili strumenti di lavoro anche nelle
amministrazioni pubbliche.
• L’impiego massiccio di tali strumenti è peraltro promosso,
ed, in talune ipotesi imposto, anche da numerose normative,
generali e di settore
• E’ di tutta evidenza, tuttavia, che l’utilizzo tale
strumentazioni può prestarsi facilmente ad abusi ed utilizzi
impropri da parte del personale
I rischi per il datore di lavoro
• Utilizzo di internet o e.mail per fini personali ed extralavorativi;
• Utilizzo di internet o e.mail per fini illeciti, quali:
- accesso a siti aventi contenuti e/o finalità vietati
dalla legge;
- download di file protetti dal diritto d’autore;
- diffusione di messaggi diffamatori.
Problema di imputazione della responsabilità (dipendente/azienda)
• Rischi per il sistema informatico ( malware, saturazione della rete,
ecc)
I rischi per il datore di lavoro
•
Diffusione dei malware in crescita costante.
Si calcola che nel solo anno 2008 su internet siano girati circa 15
milioni di malware, di cui quelli circolati tra i mesi di gennaio e
agosto sono pari alla somma dei 17 anni precedenti, e tali numeri
sono destinati verosimilmente ad aumentare *
*Dati riferiti a “Sicurezza, in una classifica i bug più pericolosi” (punto-informatico.it)
Argomenti trattati nell’intervento:
• Utilizzo degli strumenti informatici da parte dei
dipendenti, poteri di controllo del datore di lavoro e quadro
normativo a tutela dei lavoratori;
• Misure opportune per ridurre il rischio di usi impropri di
internet e della posta elettronica nel rapporto di lavoro;
• Gestione e conservazione dei dati raccolti attraverso i
controlli lecitamente effettuati
Panorama normativo
Costituzione italiana:
Art. 2 (diritti inviolabili dell’uomo, anche
nelle “formazioni sociali”)
Art. 15 (segretezza della corrispondenza )
Carta dei diritti fondamentali dell’UE:
Art. 7 (rispetto della vita privata e familiare e
comunicazioni)
Art. 8 (protezione dei dati a carattere personale)
Gruppo di lavoro europeo sulla protezione dei dati
Documento di lavoro riguardante la vigilanza sulle
comunicazioni elettroniche sul posto di lavoro
Panorama normativo
Legge 20 maggio 1970, n. 300 - Statuto dei lavoratori
Art. 4 “È vietato l'uso di impianti audiovisivi e di
altre apparecchiature per finalità di controllo a
distanza dell'attività dei lavoratori.”
Art. 8
E’ fatto divieto al datore di lavoro, ai fini
dell'assunzione, come nel corso dello svolgimento
del rapporto di lavoro, di effettuare indagini,
anche a mezzo di terzi, sulle opinioni politiche,
religiose o sindacali del lavoratore, nonché su fatti
non rilevanti ai fini della valutazione
dell'attitudine professionale del lavoratore.
Panorama normativo
Provvedimento n. 13 (01/03/2007)
le linee guida del Garante per posta elettronica e internet
Art. 170 del Codice privacy:
Chiunque, essendovi tenuto, non osserva il provvedimento
adottato dal Garante […] è punito con la reclusione da tre mesi
a due anni.
Direttiva n. 2/09 Dip. Funzione Pubblica
“Utilizzo di internet e della casella di posta elettronica
istituzionale sul posto di lavoro”
L’utilizzo del computer aziendale
Necessaria individuazione di un (difficile) punto
di equilibrio tra
Il diritto del datore di lavoro
ad evitare illeciti
Il diritto del lavoratore a
non subire controlli
e intrusioni indebiti
nella sua sfera privata
Gli obblighi reciproci
I dipendenti hanno l’obbligo di :
• non causare danni o pericoli ai beni e agli
strumenti ad essi affidati;
• non utilizzare a fini privati materiali o
attrezzature di cui dispone per ragioni di ufficio;
Gli obblighi reciproci
I datori di lavoro devono:
• informare specificamente i lavoratori circa
attività permesse e vietate;
• rispettare il principio di proporzionalità,
pertinenza e non eccedenza nelle eventuali attività
di controllo;
Gli obblighi reciproci
Datori di lavoro
Buona fede
Chiarezza e trasparenza
Informazione al dipendente
Proporzionalità
nessun trattamento di dati
non strettamente necessario
Internet: la “regola d’oro”….
La prevenzione degli abusi è di gran lunga
preferibile rispetto all’individuazione degli stessi.
In tale senso, il Garante della Privacy, nel citato
provvedimento suggerisce ai datori di lavoro :
-l’individuazione delle categorie di siti considerati
correlati o meno con la prestazione lavorativa ;
-la configurazione di sistemi o l’utilizzo di filtri che
prevengano l'accesso a determinati siti (black list);
- la configurazione di sistemi o utilizzo di filtri che
prevengano l'upload e/o il download di file o
software aventi particolari caratteristiche
(dimensionali o di tipologia di dato)
Tali accorgimenti, qualora possibili,
permettono di evitare il ricorso ad un’
attività di controllo successiva sui
collegamenti internet dei dipendenti, e
scongiura quindi ogni eventuale conflitto e
contenzioso.
CONTROLLI CONSENTITI E CONTROLLI
VIETATI
quali controlli?
Controllo a distanza
(Art. 4 L.300/70 St.Lav.)
Ad eccezione dei controlli dettati da esigenze produttive, organizzative
o di sicurezza (c.“preterintenzionale”)
I controlli: le condotte vietate
•Lettura e registrazione sistematica dei messaggi di posta
elettronica ovvero dei relativi dati esteriori;
• Riproduzione ed eventuale memorizzazione sistematica
delle pagine web visualizzate dal lavoratore;
• lettura e registrazione dei caratteri inseriti tramite
la tastiera o analogo dispositivo;
• analisi occulta di computer portatili affidati in uso.
I controlli: condotte ammesse
Il datore di lavoro, utilizzando sistemi informativi per esigenze
produttive o organizzative (ad es., per rilevare anomalie o per
manutenzioni) o, comunque, quando gli stessi si rivelano
necessari per la sicurezza sul lavoro, può avvalersi
legittimamente, nel rispetto dello Statuto dei lavoratori (art. 4,
comma 2), di sistemi che consentono indirettamente un
controllo a distanza (c.d. controllo preterintenzionale) e
determinano un trattamento di dati personali riferiti o
riferibili ai lavoratori.
Graduazione dei controlli
• L’eventuale controllo è lecito solo se sono rispettati
i principi di pertinenza e non eccedenza;
• Deve essere preferito un controllo preliminare su
dati aggregati, riferito all’intera struttura lavorativa o sue aree;
• Il controllo anonimo può concludersi con un avviso
generalizzato. L’avviso può essere circoscritto a
dipendenti afferenti una certa area;
• In assenza di ulteriori anomalie non è di regola
giustificato effettuare controlli su base individuale.
E’ possibile
Un controllo che preveda
trattamento di dati in forma
anonima o tale da precludere
l’immediata identificazione di
utenti mediante loro opportune
aggregazioni ( ad es., con riguardo
ai file di log riferiti al traffico web,
su base collettiva o per gruppi
sufficientemente ampi di
lavoratori).
In molti casi tale tipologia di
controllo è sufficiente a
scongiurare i principali pericoli di
abuso.
Il disciplinare interno
opportunità
di una POLICY
Ispirata, anzitutto, ad un canone di trasparenza
In base al principio di correttezza (art.11,comma 1, lett.a,
D.Lgs. 196/03), grava sul datore l’onere di indicare:
- quali siano le modalità di utilizzo degli strumenti informatici
assegnati in uso al lavoratore;
- se, in che misura e con quali modalità vengano effettuati
controlli; ammissibili, i c. “difensivi” e i c.
“preterintenzionali”
I social networks
• I social networks sono delle
comunità virtuali on line a cui
milioni di soggetti si iscrivono,
comunicando i propri dati
personali e per mezzo dei quali
gli utenti possono scambiare
notizie, immagini e informazioni
personali.
Rappresentano un fenomeno
imponente e soprattutto in
fortissima ascesa
Privacy a rischio
Rischio maggiore
perdere il controllo dell’utilizzo dei propri dati una volta pubblicati in rete
Ma anche :
- rischi concernenti le identità digitali;
- rischi di natura tecnologica;
- rischi di natura sociale;
(fonte: ricerca dell'Enisa - agenzia europea per la sicurezza delle reti
e delle informazioni )
Da non sottovalutare, inoltre,
- rischi di sanzioni di natura penale o civilistica.
Social networks e datori di lavoro
Alcune aziende italiane stanno seguendo la
via, già percorsa da tempo all’estero, di
oscurare l’accesso ai Social Network, in
particolare Facebook, che distrarrebbe i
lavoratori facendogli perdere tempo
prezioso.
Così Poste Italiane ha deciso di negarne
completamente l’accesso ai propri
dipendenti e diverse Regioni italiane, dalla
Lombardia al Veneto al Friuli Venezia
Giulia, stanno seguendo lo stesso esempio.
La posta elettronica
Il contenuto dei messaggi di posta elettronica,
come la corrispondenza cartacea, è assistito da
garanzie di segretezza tutelate anche
costituzionalmente (art. 15 Costituzione)
Articoli 616 e 618 codice penale (estratto)
E’ reato prendere cognizione del contenuto di una
corrispondenza chiusa diretta ad altri, sottrarre una
corrispondenza chiusa o aperta, distruggerla,
rivelarne il contenuto.
Per corrispondenza si intende anche quella
informatica o telematica ovvero effettuata con ogni
altra forma di comunicazione a distanza
?
Ma la posta che giunge nella mailbox aziendale è
da considerarsi corrispondenza tutelata ai sensi
dell’articolo 15 Cost. anche nei confronti del
datore di lavoro?
Giurisprudenza
Ordinanza Tribunale Milano GUP 10 giugno 2002
la casella di posta elettronica messa a disposizione del
dipendente deve considerarsi liberamente accessibile
dal datore di lavoro che abbia la necessità di garantire
la continuità della attività aziendale.
Sentenza del Tribunale di Torino, 20/06/2006 n.143
l'e-mail aziendale appartiene al datore di lavoro e
pertanto in relazione al reato di cui all'art. 616 c.p. il
fatto non sussiste qualora, anche in presenza di
adeguata policy aziendale, il datore di lavoro acceda
alla casella personalizzata del dipendente
Giurisprudenza
Sentenza Cassazione Civile 23.2.2010 n. 4375.
vietata la lettura e della registrazione sistematica dei
messaggi di posta elettronica ovvero dei relativi dati
esteriori, al di là di quanto tecnicamente necessario per
svolgere il servizio e-mail.
Le linee guida del Garante privacy
• rendere disponibili indirizzi di posta elettronica condivisi tra più lavoratori
eventualmente affiancandoli a quelli individuali;
• mettere a disposizione di ciascun lavoratore apposite funzionalità di sistema
per inviare automaticamente, in caso di assenza, messaggi di risposta
contenenti le "coordinate" di un altro soggetto o altre utili modalità di
contatto della struttura;
• Prevedere la possibilità di delega ad un altro soggetto (fiduciario) dell’attività
di verifica del contenuto della casella di posta, nelle ipotesi di assenza del
lavoratore;
• Aggiungere ai messaggi di posta elettronica un avvertimento ai destinatari nel
quale sia dichiarata l'eventuale natura non personale dei messaggi stessi,
precisando se le risposte potranno essere conosciute nell'organizzazione.
La specificità delle istituzioni universitarie
L’accesso ad Internet dalla Rete di Ateneo
avviene tramite la Rete nazionale della ricerca
italiana (Rete GARR).
Nell’uso di tale Rete l’Università (che è un
soggetto autorizzato all’accesso) è tenuta al
rispetto delle regole descritte nel documento
“Acceptable Use Policy della rete GARR”.
Grazie per l’attenzione!