Controlli su email, PC e smart working: cosa può fare (davvero) il datore di lavoro

Puoi leggere le email aziendali dei tuoi dipendenti? Controllare i siti che visitano? Verificare cosa fanno quando lavorano da casa? Dopo aver visto le regole della videosorveglianza, completiamo il quadro con l’altro grande fronte del controllo a distanza: gli strumenti digitali — PC, email, smartphone, software gestionali, GPS — e il lavoro agile. È un terreno dove il Garante Privacy sanziona con regolarità aziende di ogni dimensione, spesso per prassi che i titolari considerano “normali”: leggere la casella email di un dipendente assente, conservare per anni i log di navigazione, installare software di monitoraggio sui portatili aziendali.

In questa guida vediamo cosa distingue gli “strumenti di lavoro” dagli strumenti di controllo, quali verifiche sono lecite su email e navigazione, le regole per il GPS sui veicoli, i limiti del controllo nello smart working e gli adempimenti da mettere in regola.

Indice dei contenuti

• Strumenti di lavoro vs strumenti di controllo
• Email aziendale: cosa è lecito e cosa no
• Navigazione internet e log
• GPS su veicoli e dispositivi
• Smart working: i limiti del controllo da remoto
• La policy aziendale: il documento che manca a quasi tutti
• Sanzioni e casi reali
• Conclusioni

Strumenti di lavoro vs strumenti di controllo

L’art. 4 dello Statuto dei Lavoratori, dopo la riforma del 2015, distingue due categorie:

• Strumenti di controllo (comma 1): telecamere e ogni impianto da cui derivi possibilità di controllo a distanza → richiedono accordo sindacale o autorizzazione ITL
• Strumenti di lavoro (comma 2): gli strumenti “utilizzati dal lavoratore per rendere la prestazione” (PC, email, smartphone, gestionali) e i sistemi di registrazione di accessi e presenze → non richiedono accordo né autorizzazione

Ma attenzione all’equivoco: “strumento di lavoro” non significa “controllo libero”. Il comma 3 pone due condizioni per poter utilizzare le informazioni raccolte (anche a fini disciplinari):

1. Aver dato al lavoratore adeguata informazione sulle modalità d’uso degli strumenti e di effettuazione dei controlli (la policy aziendale)
2. Rispettare la disciplina privacy (GDPR): minimizzazione, proporzionalità, conservazione limitata

📌 La regola pratica: senza policy scritta e consegnata, qualunque informazione raccolta dagli strumenti digitali è inutilizzabile — anche contro il dipendente che ha effettivamente commesso l’illecito. Molti licenziamenti “certi” sono stati annullati per questo.

Inoltre, se sullo strumento di lavoro viene installato un software che aggiunge funzioni di monitoraggio non necessarie alla prestazione (screenshot periodici, keylogger, registrazione dei tempi di attività), lo strumento “trasmigra” nel comma 1: serve accordo o autorizzazione, e nella maggior parte dei casi il Garante lo considera comunque illegittimo per sproporzione.

Email aziendale: cosa è lecito e cosa no

L’email è il fronte più delicato. Gli orientamenti consolidati del Garante:

• La casella aziendale nominativa (nome.cognome@azienda.it) gode di una aspettativa di riservatezza: non è liberamente ispezionabile dal datore
• L’accesso sistematico e preventivo ai contenuti delle email è vietato
• I metadati delle email (mittente, destinatario, ora — non il contenuto) possono essere conservati per esigenze tecniche solo per un periodo limitato (l’orientamento del Garante indica pochi giorni, estensibili con adeguate garanzie e comprovate esigenze)
• In caso di assenza del dipendente: no all’accesso diretto alla casella; sì a un messaggio di risposta automatica che indichi contatti alternativi. Per necessità urgenti e documentate, l’accesso va limitato al minimo, preferibilmente alla presenza del lavoratore o con procedure predefinite nella policy
• Alla cessazione del rapporto: la casella va disattivata tempestivamente (non tenuta attiva e consultata per mesi), con eventuale inoltro automatico temporaneo comunicato all’ex dipendente

Navigazione internet e log

Per la navigazione web valgono principi analoghi:

• Lecito filtrare preventivamente le categorie di siti non pertinenti (blacklist): previene senza monitorare
• I log di navigazione vanno conservati solo per esigenze di sicurezza informatica, in forma il più possibile aggregata e per tempi limitati
• Vietata la ricostruzione sistematica della cronologia individuale del singolo lavoratore in assenza di specifiche e documentate ragioni (es. indagine su un incidente di sicurezza)
• I controlli devono procedere per gradi: prima verifiche su dati aggregati/anonimi, poi — solo se emergono anomalie — controlli mirati e circoscritti

GPS su veicoli e dispositivi

Il GPS sui veicoli aziendali (furgoni, mezzi di consegna, auto dei tecnici) è generalmente considerato uno strumento che consente il controllo a distanza: nella prassi dell’Ispettorato richiede la procedura dell’art. 4 comma 1 (accordo o autorizzazione), salvo che la geolocalizzazione sia elemento essenziale della prestazione (es. trasporto valori). Requisiti tipici delle autorizzazioni:

• Finalità: sicurezza del lavoratore, tutela del mezzo, ottimizzazione logistica — mai il controllo della prestazione
• Rilevazione non continuativa dove possibile, o con posizione visibile solo ad autorizzati
• Disattivazione fuori dall’orario di lavoro (fondamentale per i veicoli a uso promiscuo)
• Informativa specifica ai lavoratori e tempi di conservazione limitati

Smart working: i limiti del controllo da remoto

Il lavoro agile (L. 81/2017) non amplia i poteri di controllo del datore — semmai li rende più delicati, perché lo strumento entra nel domicilio del lavoratore. Punti fermi:

• Vietati: webcam sempre attive, screenshot periodici, keylogger, software che misurano i movimenti del mouse o i tempi di inattività. Il Garante li ha sanzionati ripetutamente come controllo massivo e sproporzionato
• Il controllo della prestazione in smart working avviene per obiettivi e risultati, non per sorveglianza tecnologica
• L’accordo individuale di lavoro agile deve disciplinare l’esercizio del potere di controllo e le condotte sanzionabili — è il luogo giusto per definire le regole
• Va garantito il diritto alla disconnessione nelle fasce di riposo
• Restano fermi gli obblighi di sicurezza: informativa annuale sui rischi del lavoro agile (art. 22 L. 81/2017), indicazioni su postazione e videoterminali

La policy aziendale: il documento che manca a quasi tutti

Il regolamento sull’uso degli strumenti informatici (policy) è il documento che rende utilizzabili i controlli leciti. Contenuti minimi:

1. Strumenti assegnati e regole d’uso (uso personale ammesso/vietato/tollerato entro limiti)
2. Quali controlli l’azienda può effettuare, con quali modalità, con quale gradualità
3. Gestione di email in caso di assenza e alla cessazione del rapporto
4. Tempi di conservazione di log e metadati
5. Regole per password, dispositivi personali (BYOD), dati aziendali
6. Conseguenze disciplinari delle violazioni (con affissione ex art. 7 Statuto)

La policy va consegnata a ogni lavoratore con prova di ricezione, richiamata nel registro dei trattamenti e coordinata con l’informativa privacy dipendenti — temi che abbiamo trattato nella guida agli obblighi GDPR sul lavoro.

Sanzioni e casi reali

Condotta	Conseguenza
Software di monitoraggio occulto / keylogger	Illecito art. 4 (penale) + sanzione GDPR
Accesso sistematico alle email dei dipendenti	Sanzioni Garante (casi reali da 50.000 a 100.000+ euro anche per PMI)
Conservazione illimitata di metadati e log	Sanzione GDPR + ordine di cancellazione
GPS senza autorizzazione ITL	Reato art. 38 Statuto + inutilizzabilità dei dati
Licenziamento basato su controlli illegittimi	Inutilizzabilità delle prove → annullamento/condanna

Conclusioni

Il controllo digitale in azienda si regge su tre pilastri: trasparenza (policy consegnata), proporzionalità (controlli graduali e mirati), minimizzazione (conservare poco, per poco tempo). Tre verifiche immediate:

1. Esiste una policy sull’uso degli strumenti informatici consegnata a tutti i lavoratori?
2. Sai quanto a lungo il tuo sistema conserva log di navigazione e metadati email — e la durata è giustificata?
3. GPS e software con funzioni di monitoraggio sono coperti da autorizzazione o accordo?