Strumenti di lavoro e controlli, gli interventi della Cassazione e del Garante privacy

La modifica del 2015 dell’art. 4 L. n. 300/70 (Statuto dei Lavoratori) ha in realtà introdotto la nozione di “strumenti di lavoro” gettando orientamenti giurisprudenziali che avevano trovato un proprio equilibrio nel caos. L’evoluzione digitale più recente dei principali strumenti di lavoro, poi, ha ulteriormente complicato il quadro gestionale, mettendo le imprese (e chi agisce per loro) a rischio di condotte penalmente rilevanti se lo schema di “forma” non è costruito con consapevolezza organizzativa del flusso digitale dei dati, trasparenza informativa e competenze legali (che è ormai palese travalicano quelle dei “giuslavoristi” tradizionali) di compliance integrata. E la complessità è destinata a complicarsi ulteriormente per effetto della rapidissima evoluzione informazionale degli strumenti che utilizzano le varie applicazioni di AI generativa, come il provvedimento sui metadati (e il dibattito che ne è seguito) attesta.

Nelle osservazioni che farò, la sostanza non ha rilievo. Rispetto alla parte digitale del rapporto di lavoro, la forma assorbe la sostanza. Quindi non indaghiamo i rispettivi contenuti delle obbligazioni, ma il “come” dell’acquisizione delle informazioni utilizzate per il recesso.

La sentenza del Tribunale di Roma del 14 febbraio 2024, n. 1870 attiene ad un recesso per giusta causa di un rapporto dirigenziale. L’attivazione dichiarata è una segnalazione “anonima” di condotte. Successiva indagine con accesso alla corrispondenza sugli strumenti aziendali. Contestazione e, all’esito del procedimento, recesso in base all’art. 2119 c.c..

La sentenza richiama l’orientamento sui controlli difensivi “ex post” (cioè quei controlli che si collocherebbero fuori dal perimetro dell’art. 4 dello Statuto) della Suprema Corte (e cita Cass. 18168/23), cioè quell’orientamento che richiede la sussistenza di un “indizio” di condotte anomale (l’indirizzo tracciato dalla ECHR con la sentenza, della Grand Chamber, Barbulescu) e prevede che ex post “solo” da quel momento “il datore di lavoro stesso … provveda alla raccolta di informazioni”, “sicchè sono utilizzabili solo le notizie successive al legittimo controllo”. Sulla base di questa ratio, accerta che “in effetti” il datore di lavoro “ha contestato al (dirigente) fatti precedenti a tale segnalazione ed ai conseguenti accertamenti” (dal che si inferisce che notizie successive siano intese solo quelle accadute dopo il sospetto) sicchè gli atti acquisiti sarebbero inutilizzabili a fini disciplinari. Inoltre le “predette informazioni anonime sono state evidentemente ottenute per effetto di un illecito accesso alla corrispondenza (del dirigente) eseguito senza autorizzazione ed in contrasto” con GDPR e Codice Privacy (come integrato per effetto del D.lgs n.101/18). Il che “ne preclude la valutazione” in sede processuale.

Fatto ulteriormente rilevante (ma non valorizzato in sentenza), risulta dalla sintesi delle deduzioni delle parti l’uso promiscuo della posta elettronica aziendale, “essendo l’utilizzo dell’account aziendale non inibito all’utilizzo anche privato”.

La sentenza, in relazione alle rilevate violazioni della corrispondenza, rimette gli atti alla procura della repubblica.

Sgombriamo subito il campo dai dubbi. La sentenza (in termini del diritto digitale del lavoro e sulla base degli elementi riprodotti in essa) appare “giusta”, per motivi non valorizzati in sentenza e le argomentazioni in tema di art. 4 S.L. (che costituiscono solo l’occasione per alcune osservazioni critiche più innanzi, ma di sistema) sono del tutto inutili ai fini della sua correttezza.

L’elemento dirimente è che risulta l’utilizzo anche ad uso promiscuo della posta. Cioè non risulta, dalla ricostruzione della sentenza, che il datore di lavoro avesse proceduto alla definizione del domicilio informatico aziendale esclusivo.

Il sistema (e la giurisprudenza penale Cass. Pen. n. 13057/2015; Cass. Pen., Sez. II, n. 38331/2016, Cass. Pen.n. 18284/2019) ha superato l’idea, fatta propria anche da alcune sentenze penali di merito della prima parte degli anni 2000, che, poiché il dominio dell’account e-mail reca il nome dell’azienda e lo strumento viene affidato al singolo per scopi lavorativi, tutte le e-mail siano dell’azienda stessa e il datore di lavoro possa liberamente controllarle, benché l’account sia nominativo e assegnato al singolo dipendente. In particolare, la Suprema Corte ha affermato che “integra il reato di cui all’art. 615 ter cod. pen. la condotta di colui che accede abusivamente all’altrui casella di posta elettronica trattandosi di uno spazio di memoria, protetto da una password personalizzata, di un sistema informatico destinato alla memorizzazione di messaggi, o di informazioni di altra natura, nell’esclusiva disponibilità del suo titolare, identificato da un account registrato presso il provider del servizio”.

La definizione del domicilio informatico aziendale (che integra ovviamente anche gli adempimenti dell’art. 4, co. 3, S.L.) è un presupposto per l’esercizio, penalmente protetto e legittimo, dei diritti del titolare. Meritano di essere richiamate le osservazioni di Corte d’Appello di Milano (cfr. sent. 17 settembre 2020), con cui innanzitutto si distingue tra email private (account del lavoratore personale tipo google o icloud, e quella in uso promiscuo finisce a far prevalere la natura privata) e aziendali (su dominio aziendale per uso lavorativo esclusivo) ricordando che le prime sono inaccessibili per il datore di lavoro, mentre per le seconde occorre la delimitazione del domicilio informatico aziendale (condizioni quali “la informativa del lavoratore tramite contratto di lavoro e/o policy aziendale; controlli sull’account di posta aziendale rispettosi e non eccedenti rispetto alle finalità perseguite e tracciabili con le modalità di legge; controlli consentiti solo per finalità di sicurezza nei limiti individuati dal Garante Privacy o qualora sussistano fondati sospetti nei confronti del dipendente infedele e sempre che il lavoratore sia al corrente della potenziale conservazione dei dati e della loro duplicazione”, nonché si aggiunga attivazione nel caso di strumenti di monitoraggio, tipo DLP ed altri, delle procedure di art. 4 co. 1). In difetto dei presupposti, non solo vi è violazione dell’art. 615 ter c.p. ma anche dell’art. 616 c.p., che protegge la riservatezza della corrispondenza (in attuazione dell’art. 15 Cost. e dell’art. 8 della CEDU). Quindi poco da discutere. Lo schema è poi integrato dalla Opinion n.2/06 e 2/17 del DPWP[1] e ovviamente da quella parte ancora valida della Linee Guida del nostro Garante (tutto si trova sul sito dell’Autorità). Va solo forse ricordato che l’art. 615 ter c.p. è una delle norme presupposto richiamate anche dal D.l.gs. 231/01, laddove la violazione sia stata commessa nel perseguimento di un vantaggio (nozione ampia ed elaborata dalla giurisprudenza penale in tema) aziendale. Quindi occorre muoversi con competenza e cautela.

Piccola premessa sintattica e logica.

Ex post (facto) è un’espressione latina che significa ‘dopo il fatto’ cioè ‘a posteriori’.[2]”

Si tratta dunque di una espressione per identificare il risalire dalle conseguenze alla spiegazione del fatto. E’ il tipico modo di procedere delle investigazioni: si risale dal fatto agli elementi di prova antecedenti ad esso che, nel loro concordare, identificano chi lo ha commesso.

È per sua natura normalmente una attività “a ritroso”.

Quindi, mentre è tipico che da un elemento di sospetto, si proceda a fare indagini a ritroso, non ha senso corrispondente dire che si possa procedere a raccogliere elementi accaduti “solo” dopo il fatto. Quello che serve sono gli indizi e gli elementi di fatto accaduti prima dell’evento (assunto come evento lesivo del diritto di chi investiga) e che posso ricostruire solo “a ritroso”, cioè temporalmente dopo l’accadimento lesivo, anche se ovviamente avvenuti, nella sequenza temporale causale relativa a quel evento, prima.

Lascia quindi estremamente perplessi l’utilizzo che la giurisprudenza in oggetto e quella che richiama paiono fare del concetto. Pare che così intesa, questa interpretazione si concreti in una patente di impunità per condotte antigiuridiche nel rapporto di lavoro (cfr. invece i ragionamenti ricostruttivi del sistema dei controlli ex post di Cass. Lav. n. 2722/12, che spiega bene la differenza logica).

Per giunta una tale interpretazione apparirebbe poco coerente con il sistema complessivo.

Primo: il diritto alla privacy è un diritto relativo, va considerato in relazione alla sua funzione nella società ed al contemperamento con gli altri diritti di terzi (CGE 9.11.2010, Casi C-92/09 e C-93/09 Volker e Schecke);

Secondo: la tutela apprestata dall’ordinamento alla privacy presuppone “la liceità dell’attività svolta”, non una tutela di impunità per la condotta illecita (specie se di natura criminale) (cfr.Cass. Pen. n.25453/11 e ECHR caso Ku vs. Finlandia).

Terzo: la ricostruzione a posteriori degli elementi di prova per stabilire chi ha commesso un fatto criminoso o illecito di lesione dei diritti del datore nel rapporto di lavoro è ammessa (già Opinion 8/2001, ma v.- anche Opinion 2/2002 DPWP), cosi come sono ammessi controlli occulti per prevenire condotte criminose in corso di compimento.

Quarto: i controlli vietati e quelli preterintenzionali o “difensivi” in area articolo 4 S.L. (quest’ultima nozione completamente decettiva e confusionaria) sono quelli in cui è approntata un’apparecchiatura di controllo.

Su questo quarto punto occorre soffermarsi. Ho già citato (in molti altri scritti, ma qui occorre ripetersi) i passaggi di Gino Giugni (nell’ambito di pareri pro-veritate per un importante contenzioso degli anni ’80) ricostruttivi della interpretazione dell’art. 4 dello Statuto dei lavoratori.

“E’ necessaria una precisazione metodologica che riguarda il criterio di riferimento alla stregua del quale deve essere effettuato il giudizio sulla potenzialità del controllo a distanza dell’apparecchiatura. Tale giudizio, infatti, deve essere condotto prendendo in esame non l’idoneità astratta, ovvero intrinseca dell’apparecchiatura, di esercitare il controllo, bensì considerando la sua idoneità concreta al controllo medesimo, derivante dalla modalità dell’utilizzazione dell’impianto. Che sia quest’ultima la delimitazione logica nell’ambito della quale deve effettuarsi il giudizio sulla potenzialità del controllo risulta evidente dal testo della norma stessa, la quale, al secondo comma (ndr. originario oggi primo), prende in considerazione ‘gli impianti di controllo … dai quali derivi anche la possibilità di controllo distanza’. Orbene, la norma in tale modo specifica che non è rilevante che l’impianto sia per definizione considerato ‘di controllo’, bensì che ciò che è necessario è che da esso possa derivarne concretamente la potenzialità del controllo. Tant’è che se il legislatore avesse voluto includere nella previsione normativa tutte le apparecchiature astrattamente considerate di controllo non avrebbe operato la successiva precisazione riguardante la possibilità del controllo distanza”. Proseguiva specificando “se si procedesse diversamente si giungerebbe all’insostenibile conclusione che l’uso di qualsivoglia apparecchiatura, che in astratto possa servire come strumento di controllo, debba avvenire previo accordo sindacale”. E continuava (pag. 5), riferendosi alla tecnologia digitale: “queste argomentazioni valgono tanto più nel caso in esame dove l’apparecchiatura consiste in un elaboratore elettronico, cioè una macchina che, per definizione, è il grado di svolgere più funzioni tra loro diverse e tra le quali può essere compresa anche quella idonea ad essere utilizzata per il controllo a distanza”.

Cioè, poiché la tecnologia digitale si basa su una successione (logica) lineare di comandi scritti in un linguaggio operativo della macchina, che non può saltare passaggi, essa macchina per definizione è potenzialmente idonea al controllo (e diremmo oggi al trattamento dei dati), ma ciò non basta a definirla come una apparecchiatura di controllo a distanza.

Occorre cioè il passaggio ad un “momento logicamente successivo”: l’uso concreto rende l’apparecchiatura idonea al controllo vietato dalla legge (qui c’è l’idea di McLuhan secondo cui è il medium che fa il messaggio e quindi, in digitale, il software che fa la funzione[3]). L’indagine quindi va fatta “sulla concreta utilizzazione dell’apparecchiatura”.

L’analisi però non si ferma qui. L’oggetto della norma poi è il controllo dell’attività lavorativa. Che non può essere controllo sulla qualità della prestazione né della quantità di essa, immanente al rapporto di lavoro.

“L’attività di controllo richiede invece la possibilità, attraverso quei dati registrati dell’attività lavorativa appartenente esclusivamente quel determinato lavoratore, di operare un esame sui comportamenti e di conseguenza un giudizio sull’attività del prestatore. Non può essere altro che questo il significato di ‘controllo’ in quanto tale termine presuppone qualcosa di più della semplice ed anodina osservazione; esprime, cioè, anche una valenza critico-valutativa senza la quale non ci sarebbe l’attività di controllo stesso ed è proprio tale attività critico-valutativa che il legislatore ha voluto circondare di particolari garanzie poste a favore del prestatore impedendo che essa venga svolta in forme subdole ed odiose”20.

Occorre però, per terminare l’analisi, verificare cosa sott’intenda il concetto di attività lavorativa nel contesto specifico.

Scrive Giugni, “or bene, se a tale espressione non aggiungessimo successive specificazioni, la conseguenza che, a stretto rigore, dovrebbe dedursi in termini di applicazione dell’art.4 sarebbe nuovamente abnorme” (pag. 10 dello scritto). “Ed allora dovrà operarsi una ulteriore distinzione tra controllo sulle modalità della prestazione e qualità della stessa (risultato o prodotto o compito finito). Il controllo -inteso nel senso sopra descritto- a distanza sui ritmi, frequenze, tempi di lavoro, pause, assenze temporanee eccetera (Modalità della prestazione), è oggetto della tutela di cui all’articolo 4 perché diviene inevitabilmente un controllo vessatorio sul comportamento della persona del lavoratore. Di contro, il controllo sulla qualità della prestazione, nella misura in cui l’articolo quattro non elimina il potere (ndr. datoriale) della valutazione della prestazione in termini qualitativi da parte del datore di lavoro, è fuori dalla previsione della norma, la quale, non a caso, si riferisce all’attività lavorativa e non alla prestazione lavorativa, assumendo ad oggetto, in tal modo, quei comportamenti posti in essere dal lavoratore nell’esecuzione della prestazione che attengono più da vicino alla persona e non riguardano, invece, il risultato di tale attività”. Conclude quindi il giurista “il dato deve essere idoneo a rendere possibile l’esame dell’attività del lavoratore finalizzata all’accertamento della conformità dei ritmi di esecuzione della prestazione concretamente posta in essere con quelli che, in astratto, dovrebbero essere osservati dal prestatore stesso. In altri termini, dall’informazione fornita dal calcolatore si deve poter dedurre la precisa alternanza anche minima tra tempi di lavoro e non lavoro di modo che possono venire in luce le cosiddette micro-pause effettuate dal lavoratore durante l’esecuzione della prestazione”. Nello stesso contenzioso arriva alle medesime conclusioni il prof. Cesare Grassetti, dopo avere chiarito, esaminandone la ratio, che “l’art. 4 non ha inteso eliminare quel potere di controllo che il datore di lavoro ha, in quanto creditore della prestazione lavorativa, sulla quantità e sulla qualità della prestazione medesima”, precisa che “ciò che l’articolo quattro ha inteso vietare (1° comma) o sottoposto a particolare disciplina (2°comma) è quel tipo di controllo che, per i modi in cui attuato, lede la dignità del lavoratore e la sua sfera di riservatezza: e cioè quel controllo assillante, attuato di continuo, ‘minuto per minuto’, sulle attività del lavoratore, tale da rilevare con precisione i ritmi del lavoro, le pause, le assenze momentanee, e dunque tale da incidere, nella sostanza più sulla persona del lavoratore che sulla prestazione lavorativa. Oltre a ledere la dignità e la riservatezza del dipendente, il quale si sente in buona sostanza spiato mentre lavora, un siffatto controllo può arrecare pregiudizio alla stessa produttività del lavoratore, in quanto egli, sapendo di essere sottoposta a controllo a distanza può essere indotto ad assumere comportamenti ed atteggiamenti innaturali” (pagina 5 del citato scritto).

In realtà arriva alle stesse conclusioni, ma interpretando gli art. 5 e 6 del GDPR, la CNIL (Garante francese, nel provvedimento su Amazon France[4]).

Appare quindi coerente con questo sistema, la ricostruzione che Cass. Sez. Lav. n. 6489/2011 fa, all’apice dell’elaborazione interpretativa del sistema pre modifiche (modifiche disgraziate e inutili, tranne l’unificazione nazionale di accordi e autorizzazioni per aziende plurilocalizzate) del 2015. La sentenza recita: “Come è logico e confermato dal complesso della giurisprudenza in materia di questa Corte, nell’ambito delle esigenze prese in considerazione nel comma 1 (ndr dell’art. 4 S.L.) è ricompresa anche quella di tutela del patrimonio aziendale, potendo apparire non del tutto chiarito dalla giurisprudenza solo in quali precisi limiti le apparecchiature volte alla tutela dello stesso possano considerarsi, in relazione all’oggetto dei relativi controlli, addirittura esclusi dalla esigenza della previa autorizzazione a norma dell’art. 4, comma 2, dello statuto (cfr. Cass. n. 1236/21983; 8250/2000; 4746/2002; 15892/2007, 4375/2010). La vicenda in esame, tuttavia offre l’occasione di un ulteriore approfondimento riguardo a tale punto con la precisazione che la procedura autorizzatoria di cui all’art. 4, comma 2, è senza dubbio necessaria tutte le volte in cui i controlli vengono a consentire in via di normalità – e, si direbbe, inevitabilmente -, il controllo anche delle prestazioni lavorative, come nel caso in esame. Poiché nella specie, come è pacifico, gli impianti per il controllo sono stati autorizzati a norma dell’art. 4 dello statuto dei lavoratori, e l’utilizzazione in causa delle relative riprese riguarda proprio le esigenze di tutela alla base della loro installazione e autorizzazione, non è ravvisabile alcuna violazione della disciplina legale in esame, anche se il controllo a distanza ha costituito il mezzo per rilevare e dimostrare un illecito avente anche rilievo disciplinare”.

Cioè anche il controllo sul patrimonio (quindi estraneo all’art. 4, in quanto estraneo all’attività lavorativa) è soggetto alle procedure tutte le volte che a priori l’apparecchiatura controlla (e sorvegli i beni da) condotte illecite, ma nel fare ciò include (registrando) anche tutte quelle invece lecite (ragione per cui ad esempio il Garante ha autorizzato sistemi come i c.d. intelligent video[5], individuando nella capacità di discernimento del lecito dall’illecito come presupposto di attivazione del controllo una ragione autorizzatoria di conformità alla norma).

Se questo schema ricostruttivo appare dotato di coerenze (giuridiche e digitali), mi pare che si possa dire che purtroppo la confusione è tornata a regnare nella giurisprudenza e quindi nelle necessità organizzative del lavoro (ovviamente lecito) d’impresa.

Mi pare che il sistema dia elementi concordanti nell’escludere dai controlli (quindi non controlli difensivi, espressione equivoca, ma “non controlli” in senso legale) quelli ricostruttivi a posteriori, quando non siano espletati con strumenti digitali di investigazione, ma attraverso la ricostruzione dei log operativi dell’apparecchiatura (Giugni e Grassetti).

A maggior ragione quando le condotte ricostruite hanno natura criminosa (e quindi si pongono fuori dal sistema su cui la privacy può esercitare copertura: cfr. la giurisprudenza citata).

Sotto questo profilo resta francamente oscura la decisione della Suprema Corte n. 1516/2024: gli estratti contabili di imputabilità dell’utilizzazione del telepass, strumento che non può generare confusione sulla sua funzione e funzionamento, da cui risulti l’abuso dello strumento, trattandosi di riconciliazione di costi, appare fuori dallo schema dell’art. 4, quale comma che sia (e del resto così era la giurisprudenza risalente anche sulle spese telefoniche quando utilizzare i cellulari aveva costi variabili e rilevanti; mentre avrei qualche perplessità sulle affermazioni di applicazione del comma 2 in relazione ai palmari, ma tant’è).

Anche il provvedimento del Garante privacy del 6 giugno 2024 sui metadati della posta elettronica, che abbiamo commentato con l’amico Raffaele Zallone qualche settimana fa nella sua iniziale versione (sempre per il medesimo editore), darebbe qualche spunto di riflessione critica (ad esempio le linee di interpretazione giuridica espresse danno conto della non persuasività, almeno per chi scrive, di un criterio temporale, i 21 giorni, per il cambio tecnologico di qualificazione giuridica di una potenzialità che esiste già nello strumento), senonché il mondo degli strumenti di lavoro sta cambiando velocemente e queste apparecchiature stesse hanno perso la loro natura funzionalmente definita e tipicamente monofunzionale.

L’utilizzazione di piattaforme in cloud, per applicarvi tecnologie di Machine Learning, analytics ed adesso di AI Generativa, hanno confuso le funzioni, prima distinguibili, degli strumenti (lavoro o controllo).

Lo stesso strumento è oggi strumento di controllo, in potenza concreta, per effetto dei dati che raccoglie e della insistenza su una sola piattaforma; in cui tutti i dati e, tramite l’ampia correlabilità, le informazioni (in senso tecnico) sono accessibili ai vari applicativi, quanto strumento di lavoro.

Ammesso che in un mondo del lavoro indirizzato (ed assistito) dall’AI Generativa esista un lavoro senza controllo (e che l’Individual Control Model sia ancora la giusta via per la tutela della privacy in un mondo AI assistito[6]).

Quindi l’attenzione del Garante (così come di EDPS ed EDPB, anch’essi oggetto di precedenti articoli a quattro mani con Raffaele Zallone) è prudente e orientata, a parer di chi scrive (magari con qualche approfondimento dei criteri di interpretazione giuridica della normativa del lavoro), verso la giusta direzione. Resta comunque da ritrovare l’equilibrio, al momento incerto, della differenza tra mera raccolta di dati e attività di controllo, equilibrio che l’unicità dello strumento e la pluralità di spettro informativo rende problematico, incrementando potenzialmente la responsabilità datoriale in caso di mancanza di esatta conoscenza dei mezzi utilizzati.

La conclusione è che oggi, l’implementazione delle principali piattaforme di strumenti di lavoro va valutata con analitica comprensione delle implicazioni delle funzioni e delle opzioni applicative potenziali.

La consapevolezza dell’impresa nella sua versione digitale di flussi di dati e informazioni è un presupposto indispensabile e richiede coordinamento delle varie funzioni, indirizzate da uno schema legale ormai altamente complesso ed integrato, che va dalla privacy, al diritto del lavoro, al diritto penale, all’ESG, alla “231” ed in sostanza ad una costante verifica della qualità dei processi di compliance.