Controllo email aziendali a certe condizioni

Controllo email aziendali – La gestione della posta elettronica aziendale non è sempre esente da rischi, presentando diverse criticità e richiedendo un necessario contemperamento tra l’interesse del datore di lavoro al buon funzionamento dell’impresa e il diritto del lavoratore alla riservatezza dei propri dati personali.
Si ricorda, infatti, come gli account di posta aziendale composti da “nome e cognome”, ancorché accompagnati dal dominio aziendale, sono a tutti gli effetti dati personali.

Pertanto, nel caso di assegnazione di account aziendali nominali, il datore di lavoro dovrà gestirne il trattamento nel rispetto dalla normativa in materia di privacy (cfr. Regolamento Ue 2016/679; DLgs. 196/2003, come modificato dal DLgs. 101/2018).
Uno degli aspetti più rilevanti è, sicuramente, quello delle condizioni e dei limiti delle forme datoriali di controllo della posta aziendale.
Ferma l’impossibilità di accedere all’account personale del dipendente (pena la commissione del reato della violazione della segretezza della corrispondenza ex art. 616 c.p.), al datore di lavoro è consentito l’accesso e il controllo dell’account aziendale solo in presenza di determinate condizioni.

Sul punto, si ricorda, anzitutto, come il DLgs. 151/2015 – nel riformare l’art. 4 della L. 300/1970 – ha introdotto la possibilità di controllare, per tutti i fini connessi al rapporto di lavoro, gli strumenti aziendali utilizzati dal lavoratore per rendere la prestazione lavorativa, tra cui figura anche la posta elettronica aziendale.
Ai sensi del nuovo comma 3 del citato art. 4, tuttavia, le informazioni raccolte sono utilizzabili solo a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli, nel rispetto di quanto disposto dalla normativa sulla privacy.

Con riferimento all’utilizzo della posta elettronica e di internet da parte dei dipendenti, il Garante per la privacy, già nel 2007, nell’elaborare specifiche linee guida (cfr. provvedimento 1° marzo 2007 n. 13), aveva suggerito l’adozione di un “disciplinare interno redatto in modo chiaro e senza formule generiche” diretto a informare sulle forme e sui casi di controllo e sulle conseguenze, anche di natura disciplinare, applicabili dall’azienda.

Sul tema, la Corte europea dei diritti dell’Uomo (cfr. CEDU del 5 settembre 2017 sul ricorso n. 61496/08 nel caso Bărbulescu) ha avuto modo di chiarire come l’accesso del datore di lavoro alle e-mail del lavoratore sia legittimo solo in presenza di una preventiva informativa sulla possibilità di controllo della corrispondenza, sulle modalità del controllo e sulle relative motivazioni. In ogni caso, il controllo delle e-mail deve rispettare i principi di pertinenza e non eccedenza.
In senso conforme si è pronunciata anche la giurisprudenza nazionale (cfr. Cass. n. 26682/2017; Trib. Roma 26 marzo 2019).
Anche i trattamenti effettuati sugli account di posta elettronica aziendale dopo la cessazione del rapporto di lavoro devono conformarsi alle disposizioni e ai principi sulla protezione dei dati, che impongono al datore di lavoro la tutela della riservatezza anche dell’ex dipendente.

Secondo quanto statuito recentemente dal Garante per la privacy (cfr. provvedimento 4 dicembre 2019 n. 216), infatti, commette un illecito la società che mantiene attivo l’account di posta aziendale di un dipendente dopo l’interruzione del rapporto di lavoro e accede alle mail contenute nella sua casella di posta elettronica (cfr. in senso conforme: provvedimento 5 marzo 2015 n. 136; provvedimento 27 novembre 2014 n. 551).

Il Garante ha chiarito, in particolare, che gli account riconducibili a persone identificate o identificabili devono essere rimossi previa disattivazione degli stessi e contestuale adozione di sistemi automatici volti a informarne i terzi e a fornire a questi ultimi indirizzi alternativi riferiti all’attività professionale del titolare del trattamento.
In presenza di una sempre più stringente normativa a tutela della privacy, il datore di lavoro dovrà adottare una serie di accorgimenti per una corretta gestione della posta elettronica al fine di non incorrere in sanzioni.

In primo luogo, dovrebbe essere limitato l’utilizzo di account nominativi, prediligendo gli account collettivi usabili da più lavoratori (ad es. ufficioacquisti@azienda.it; ecc.) e, per questo, soggetti a vincoli meno rigidi.

In caso di assegnazione di account nominativi, invece, risulta ormai imprescindibile predisporre una policy che disciplini il corretto utilizzo delle email aziendali da parte del dipendente (ad es. volta ad escludere un uso promiscuo) e in grado di informare – in maniera chiara – il lavoratore sui limiti di utilizzo dell’account e sugli eventuali controlli. Sarebbe, inoltre, opportuno determinare procedure ad hoc in caso di cessazione del rapporto di lavoro (accesso all’account e/o disattivazione) che prevedano la disattivazione dell’account con contestuale adozione di un messaggio automatico volto a informarne i terzi e a indicare un account alternativo per contattare la società.