Controllo dell’attività dei dipendenti: principi di legalità e proporzionalità

Contesto

L'articolo della CNIL (Francia) esamina il potere del datore di lavoro di controllare l'attività dei dipendenti e l'uso delle attrezzature professionali, specificando che tale potere non può essere esercitato in modo eccessivo. Questo controllo mira a verificare la corretta esecuzione dei compiti e ad assicurare la sicurezza di beni e persone. I dispositivi utilizzati possono riguardare attrezzature informatiche (telefono, computer, auto di servizio), accesso ai locali e controllo orari, o videosorveglianza. Per essere lecito, un dispositivo di controllo deve soddisfare tre condizioni cumulative: essere giustificato e proporzionato all'obiettivo perseguito, essere sottoposto alle istanze rappresentative del personale (nelle aziende con almeno 50 dipendenti), e essere portato a conoscenza dei dipendenti. La proporzionalità implica che il dispositivo non deve ledere eccessivamente i diritti e le libertà, in particolare il diritto alla vita privata, il quale si estende al luogo di lavoro come stabilito dal Codice del Lavoro francese (Art. L.1121-1) e dalla giurisprudenza. L'employer deve definire chiaramente l'obiettivo e il perimetro del controllo, identificare i rischi e assicurarsi che non esistano mezzi meno intrusivi per raggiungere l'obiettivo. La sorveglianza costante è generalmente considerata eccessiva, a meno di eccezioni come la geolocalizzazione di veicoli d'emergenza per finalità di soccorso. Strumenti con scopi nascosti o che non distinguono tra uso professionale e privato, come un keylogger per il telelavoro, sono sproporzionati e quindi vietati. Un esempio di dispositivo proporzionato è un software trasparente che conta e trasmette trimestralmente il numero di pratiche trattate per dipendente, poiché non equivale a una sorveglianza costante.

Perché conta

Questo articolo è cruciale per le organizzazioni che trattano dati personali in quanto definisce i limiti legali e i principi di conformità per il controllo dei dipendenti. La messa in atto di sistemi di monitoraggio implica il trattamento di dati personali, rendendo i principi di giustificazione, proporzionalità, trasparenza e minimizzazione fondamentali. La mancata osservanza di queste condizioni può portare a violazioni della privacy dei dipendenti, con conseguenti rischi legali, sanzioni e danni reputazionali. L'applicazione di questi principi è essenziale per garantire la conformità alle normative sulla protezione dei dati, come il GDPR, che enfatizza la necessità di valutare l'impatto sulla privacy (DPIA) e di attuare misure tecniche e organizzative adeguate (Data Protection by Design and by Default). Anche se ISO 27001 non è esplicitamente menzionata, la gestione delle risorse umane e il controllo degli accessi e delle attività rientrano nelle aree di interesse della sicurezza delle informazioni, richiedendo un approccio strutturato e conforme alle leggi.

Cosa fare

• Valutare la necessità e la proporzionalità di ogni sistema di controllo, cercando sempre l'alternativa meno intrusiva.
• Definire chiaramente gli obiettivi del controllo, i dati necessari e le modalità di conservazione e accesso.
• Consultare le istanze rappresentative del personale prima dell'introduzione di nuovi dispositivi di sorveglianza.
• Informare in modo trasparente i dipendenti sull'esistenza, le finalità e le modalità dei controlli.
• Garantire che i dispositivi non permettano una sorveglianza costante o indiscriminata.

Cosa evitare

• Implementare dispositivi di controllo senza una chiara giustificazione e una valutazione della proporzionalità.
• Utilizzare strumenti che catturano indiscriminatamente dati personali e professionali (es. keylogger).
• Adottare sistemi di sorveglianza costante o permanente sui dipendenti.
• Nascondere le finalità dei dispositivi di controllo o utilizzarli per scopi diversi da quelli dichiarati.
• Omettere la consultazione delle rappresentanze dei lavoratori o la comunicazione ai dipendenti.

Implicazioni pratiche

Le organizzazioni devono adottare un approccio proattivo e basato sul rischio nella gestione dei sistemi di controllo sui dipendenti. È essenziale bilanciare le esigenze di gestione e sicurezza con il rispetto dei diritti fondamentali dei lavoratori, in particolare il diritto alla privacy. La mancata conformità non solo espone a rischi legali e sanzioni, ma può anche minare la fiducia dei dipendenti e danneggiare la cultura aziendale.

Azioni da fare

• Effettuare una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) per tutti i dispositivi di monitoraggio dei dipendenti.
• Redigere o aggiornare informative privacy chiare e dettagliate per i dipendenti, spiegando i controlli.
• Implementare procedure per la gestione dei dati raccolti, inclusi i tempi di conservazione e le autorizzazioni di accesso.
• Fornire formazione continua ai responsabili e al personale sull'uso etico e legale dei sistemi di controllo.

Errori da evitare

• Considerare i dispositivi di controllo come soluzioni universali senza un'analisi specifica del contesto aziendale.
• Non riesaminare periodicamente l'efficacia e la conformità dei sistemi di controllo rispetto alle evoluzioni normative e tecnologiche.
• Creare una cultura aziendale basata sulla sfiducia attraverso una sorveglianza eccessiva.

Domande di self-assessment

• Ogni sistema di controllo implementato è effettivamente necessario e non eccessivo?
• Abbiamo documentato la giustificazione e la valutazione di proporzionalità per ogni dispositivo?
• I nostri dipendenti sono pienamente consapevoli dei sistemi di controllo e delle loro finalità?
• Riusciamo a dimostrare che i dati raccolti sono minimi e trattati in modo sicuro e conforme?
• Sono state consultate le rappresentanze dei lavoratori prima dell'introduzione o modifica dei sistemi di controllo?

Riferimenti

Normativa nazionale: GDPR (principi di minimizzazione, proporzionalità, liceità, trasparenza) · Codice del Lavoro francese Art. L.1121-1 · Giurisprudenza della Corte di Cassazione francese (2001)