Employer controls on the activity of workers: the new Workers' Statute article 4 and the consent of the worker
10.6092/issn.2421-2695/6019
L’Autore esamina il problema del ruolo del consenso nell’esercizio del potere di controllo “tecnologico” del datore di lavoro. L’indagine prende le mosse dalla ricostruzione del nuovo art. 4 St. lav. nella parte in cui, in particolare, consente il controllo sugli strumenti utilizzati dal lavoratore per rendere la prestazione.Tenendo conto della novella legislativa, nella seconda parte, viene analizzata l’interazione dello Statuto dei lavoratori con il Codice privacy, giungendosi a porre in evidenza una serie di anomalie sistematiche relative, nello specifico, al consenso al trattamento dei dati personali sensibili.
application/pdf
2421-2695
6019
1
it
Andrea Sitzia
Labour & Law Issues
Information and Consent
Il controllo (del datore di lavoro) sull’attività dei lavoratori: il nuovo articolo 4 st. lav. e il consenso (del lavoratore)
Text.Serial.Journal
https://labourlaw.unibo.it/
2
Saggi
2016-03-16
2016-03-14
2016-02-08
2016-12-23
81-102
LLI
Andrea Sitzia
2016/03/16
10.6092/issn.2421-2695/6019
81
Università degli Studi di Padova
2421-2695
1
Information and Consent
it
102
Ziccardi G., Il controllo delle attività informatiche e telematiche del lavoratore: alcune considerazioni informatico-giuridiche, q. Riv., 2016, 1, 48 ss.
Il controllo (del datore di lavoro) sull’attività dei lavoratori: il nuovo articolo 4 st. lav. e il consenso (del lavoratore)
https://labourlaw.unibo.it/article/download/6019/5795
2
 Il controllo (del datore di lavoro) sull’attività dei
lavoratori: il nuovo articolo 4 st. lav. e il consenso
                   (del lavoratore)



                   ANDREA SITZIA
            Università degli Studi di Padova




                   vol. 2, no. 1, 2016
                     ISSN: 2421-2695
       Il controllo (del datore di lavoro)
 sull’attività dei lavoratori: il nuovo articolo
   4 st. Lav. e il consenso (del lavoratore)


                                                     ANDREA SITZIA
                                        Università degli Studi di Padova
                                                   andrea.sitzia@unipd.it




                             ABSTRACT
The Author examines the issue of the role of the consent in
exercising “technological controls” on employees. The study moves away
the construction of new Article 4 of the “Worker’s Statute” (Law no.
300/1970) on the part in which, in particular, it allows the control
of working tools.
In the second part it is taken in consideration the interaction of the
“Worker’s Statute” with the Italian Data Protection Code (D. Lgs.
196/2003) and the result highlights some regular anomalies
specifically with regards to the consent to the treatment of sensitive
personal                                                          data.

Keywords: Employer’s Monitoring Powers; Control; Employees’
Privacy; Information and Consent.
                   A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



            Il controllo (del datore di lavoro) sull’attività dei
         lavoratori: il nuovo articolo 4 St. lav. e il consenso (del
                                lavoratore)


SOMMARIO: 1. Delimitazione del problema: il ruolo del consenso nel sistema del Codice
     privacy - 2. Il nuovo articolo 4 St. lav.: il secondo comma e il controllo sull’attività dei
     lavoratori - 3. Statuto dei lavoratori e Codice privacy: informativa e consenso - 4.
     Controllo e consenso



        1. Delimitazione del problema: il ruolo del consenso nel sistema
        del Codice privacy
                 La tormentata riforma dell’art. 4 St. lav. pone una serie di rilevanti
        questioni interpretative, direttamente incidenti nella prospettiva della
        tutela degli ambiti di riservatezza personale nei luoghi di lavoro (1).
                 Tra queste una rilevanza primaria assume il delicato problema del
        rapporto tra Statuto dei lavoratori e “Codice privacy” (ad oggi il d.lgs. n.
        196 del 2003, destinato ad essere soppiantato da un Regolamento
        europeo che pare ormai in dirittura d’arrivo), che viene riproposto dal
        terzo comma del nuovo art. 4 St. lav., come dimostra la recentissima
        affermazione del nostro Garante privacy a mente della quale nella
        materia dei “controlli datoriali” «sarà proprio il rispetto dei principi del
        Codice privacy il principale argine a un utilizzo pervasivo dei controlli sul
        lavoro» (2).
                 Tra i due  conviventi  modelli normativi vi è (da sempre) una
        netta differenza metodologica e valoriale, atteso che il primo (lo Statuto
        dei lavoratori) è portatore di una serie di divieti che inibiscono
        comportamenti dell’impresa ritenuti lesivi della dignità del lavoratore,
        mentre il secondo (il Codice privacy, come già la legge n. 675 del 1996) è
        caratterizzato da una impostazione generale onnicomprensiva, priva di
        una specifica considerazione per il lavoro.
                 È stato autorevolmente sottolineato che, rispetto al sistema
        civilistico posto a presidio della “privacy”, la tutela tradizionale


                  (1) Il tema è oggetto di ampia analisi scientifica. Un dato che deve essere
        tenuto in considerazione attiene alla pressione sempre più crescente nella direzione di
        un controllo sul comportamento dei lavoratori dovuta allo spostamento
        dell’attenzione dei datori di lavoro verso l’affidabilità personale del lavoratore, più che
        sulla mera valutazione delle sue capacità professionali; si veda al riguardo S.P.
        Emiliani, Potere disciplinare e protezione dei dati personali, ADL, 2007, 3, I, 630 ss.
                  (2) Così A. Soro, I lavoratori devono essere informati. Il datore di lavoro non può spiare
        le mail, ne L’Huffington post, 13 gennaio 2016.



        LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                       83
           A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



giuslavoristica attiene non tanto all’informazione riguardata come
oggetto (perno, invece, della normativa sulla privacy, costruita attorno al
“dato personale”) ma ai «modi di esercizio della corrispondente funzione
psichica» di acquisizione della conoscenza (3). Il sistema dello Statuto dei
lavoratori, più in particolare, poggia sulla dimensione “dinamica” della
conoscenza, riguardata in rapporto con il suo oggetto (la protezione della
riservatezza rispetto a profili estranei alla valutazione dell’idoneità
professionale di cui all’art. 8), mentre la legislazione sulla privacy si
muove in una dimensione più “statica”, concentrata sull’informazione,
considerata come bene giuridico in sé.
        In questa prospettiva, l’attuale sistema di regolazione della privacy
risulta costruito sulla valorizzazione del consenso del soggetto passivo
del “trattamento” dei dati personali di cui egli (quale “interessato”) è
“proprietario”; il “titolare” e il “responsabile” del trattamento lo devono
innanzitutto informare, dopodiché questi, che nella nostra prospettiva è
il lavoratore, può manifestare il suo assenso, che è necessario ed
indispensabile per rendere giuridicamente lecito il trattamento dei dati
personali (il tutto fatti salvi i casi, di cui si dirà più oltre, nei quali il
trattamento può essere effettuato senza consenso (4)).
        Calato nel microcosmo giuslavoristico, il meccanismo generale del
Codice privacy viene a scontrarsi con la valorizzazione della
inderogabilità della disciplina e l’indisponibilità (o solo parziale
disponibilità) dei diritti; da qui la maggiore coerenza ed efficacia dei
principi di “finalità”, “necessità”, “proporzionalità” e “trasparenza”, che
risultano maggiormente idonei a realizzare una tutela più attenta
all’oggetto della condotta di acquisizione delle informazioni (5).

           (3) Così E. Gragnoli, Dalla tutela della libertà alla tutela della dignità e della
riservatezza dei lavoratori, ADL, 2007, I, 1211 ss.
           (4) Sulla definizione di “consenso” si veda il Parere n. 15/2011 del Gruppo di
lavoro ex articolo 29 per la protezione dei dati, n. 01197/11/IT, WP187, adottato il 13
luglio 2011 e reperibile alla pagina Internet http://ec.europa.eu/justice/data-
protection/index_it.htm, dove si sottolinea che il consenso «non rappresenta sempre
lo strumento principale o quello più auspicabile per legittimare il trattamento dei dati
personali» (in questo senso si veda p. 11 del parere nella versione italiana, sub punto
II.4 nell’ottica di una ricostruzione di un uso “appropriato” del consenso come
fondamento giuridico). Nel Parere citato si chiarisce che l’ottenimento del consenso
non permette di aggirare altre disposizioni (come quelle in materia di trattamento di
dati sensibili e sulle quali si tornerà più avanti nel testo), rispetto alle quali il consenso
non opera come forma di esonero, ma come una salvaguardia.
           (5) Si veda, su queste tematiche, E. Gragnoli, Dalla tutela della libertà alla tutela
della dignità e della riservatezza dei lavoratori, op. cit., il quale sottolinea che il meccanismo
civilistico a mente del quale la legittimità dei comportamenti del soggetto attivo è
condizionata alle scelte negoziali del soggetto passivo non è compatibile con il sistema
delle tutele giuslavoristiche. Cfr. anche P. Tullini, Comunicazione elettronica, potere di
controllo e tutela del lavoratore, RIDL, 2009, I, 485 ss. e in generale P. Ichino, Il contratto di
lavoro, nel Trattato Cicu-Messineo, tomo III, Giuffrè, 2003, 224.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                     84
            A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



         Il nuovo testo dell’art. 4 St. lav. impone di riflettere sul rapporto
tra i limiti posti da questa norma ed il principio del consenso informato,
con l’obiettivo ultimo di verificare se, ed in che modo, il consenso
individuale operi come fondamento (o condizione) di legittimità del
controllo sugli strumenti di lavoro (comma 2) o, piuttosto, del
trattamento effettuato all’esito di tale controllo e, specularmente, se la
mancata manifestazione dell’assenso del lavoratore all’effettuazione di
siffatto controllo/trattamento possa impedire l’esercizio delle correlate
iniziative unilaterali del datore di lavoro (6).

2. Il nuovo articolo 4 St. lav.: il secondo comma e il controllo
sull’attività dei lavoratori
        L’esame dei profili sopra evocati richiede un preliminare tentativo
di ricostruzione del nuovo art. 4 St. lav. con particolare attenzione al
comma 2, da leggere in correlazione con il terzo comma, che da un lato
afferma l’utilizzabilità a tutti i fini connessi al rapporto di lavoro delle
“informazioni” raccolte ai sensi dei commi primo e secondo, e, dall’altro
lato, attribuisce, ai fini della tutela giuslavoristica, un esplicito ruolo al
sistema di regole contenuto nel Codice privacy (7).
        Oggi la norma prescrive che le condizioni per l’uso delle
“informazioni raccolte” (8) ai sensi dei commi 1 e 2 sono: a) l’aver
fornito adeguata informazione delle modalità d’uso degli strumenti stessi
e di effettuazione dei controlli e b) che venga rispettato tutto l’apparato
di regole procedurali e tutele del Codice privacy.
        Nella prospettiva del secondo comma occorre procedere ad una
delimitazione dell’oggetto dei controlli e del soggetto passivo delle
“informazioni” raccolte attraverso gli strumenti cui fa riferimento il
secondo comma (con particolare attenzione agli strumenti utilizzati dal
lavoratore per rendere la prestazione lavorativa).
        Le questioni sono sostanzialmente due: la prima riguarda la
delimitazione del concetto di “strumento utilizzato per rendere la

          (6) Si intende, così, sviluppare lo specifico quesito posto da M.T. Carinci, Il
controllo a distanza dell’attività dei lavoratori dopo il “Jobs Act” (art. 23 D. Lgs. 151/2015):
spunti per un dibattito, q. Riv., 2016, 1, III ss., qui XI.
          (7) L’ultima parte del terzo comma dell’art. 4 realizza una sorta di introiezione
del Codice privacy nella disciplina del lavoro, speculare a quegli articoli 113 e 114 dello
stesso Codice privacy, tutt’oggi in vigore, e che fino al 24 settembre 2015 avevano
governato l’interazione reciproca tra i due apparati normativi. Sul punto si veda anche
I. Alvino, I nuovi limiti al controllo a distanza dell’attività dei lavoratori nell’intersezione fra regole
dello Statuto dei lavoratori e quelle del Codice della privacy, cit., 29, il quale sottolinea come il
nuovo articolo 4 abbia creato «un circuito chiuso di rimandi legislativi […] che certo
non aiutano la comprensione dei limiti normativi all’utilizzabilità dei dati registrati
dallo strumento di controllo».
          (8) La struttura lessicale del terzo comma è evidentemente tributaria di un
forte influsso civilistico, come dimostra l’uso della locuzione “informazioni raccolte”.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                              85
            A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



prestazione di lavoro” (che definiremo, di seguito, semplicemente come
strumento di lavoro) e richiede di verificare se la norma consenta anche
l’installazione, sugli strumenti di lavoro, di programmi specificamente
funzionali al controllo dell’attività dei lavoratori (concetto comprensivo,
ma più esteso, dell’attività lavorativa).
         La seconda riguarda la possibile estensione dei controlli che
possono essere effettuati, a norma del terzo comma, sugli strumenti di
cui al secondo comma: possono questi avere ad oggetto l’attività dei
lavoratori?
         La prima questione pare debba essere risolta in senso negativo in
ragione di una lettura combinata, per differenza, del secondo comma con
il primo. L’esimente posta dal comma 2, invero, pare chiaramente
collegata all’utilizzazione in sé dello strumento da parte del lavoratore per
rendere la prestazione di lavoro, e non dalla mera inserzione (o presenza
purchessia) di un programma/sistema informatico di controllo nello
strumento di lavoro.
         Gli strumenti che “servono al lavoratore” per rendere la
prestazione lavorativa sono solamente quelli strettamente necessari e,
appunto, serventi (secondo la procedura organizzativa predisposta
dall’imprenditore) a tale scopo (9) e non quelli che servono, invece, per
realizzare funzioni differenti quali, in particolare, l’esercizio di ulteriori e
diversi poteri datoriali (10).
         Rispondere al secondo quesito è più complesso e articolato, atteso
che, come si vedrà, la nuova normativa introduce una regolamentazione
differenziata nel primo e nel secondo comma.
         Partendo dal primo comma si può constatare che, se è vero che in
esso non è più contenuto un esplicito divieto di utilizzo di
apparecchiature o strumenti con finalità esclusiva di controllo a distanza,
deve anche riconoscersi che tale divieto sia implicitamente conservato
dalla struttura lessicale del comma, da leggere in termini coerenti con la




           (9) In questo senso anche la Circolare n. 20/2015 della Fondazione Studi dei
Consulenti del Lavoro.
           (10) Cfr. I. Alvino, I nuovi limiti al controllo a distanza dell’attività dei lavoratori
nell’intersezione fra regole dello Statuto dei lavoratori e quelle del Codice della privacy, cit., 24 ss.;
M.T. Salimbeni, La riforma dell’articolo 4, cit., 610, la quale opportunamente chiarisce
che nel caso oggetto dell’esimente di legge «il meccanismo che genera il controllo è
nella gestione del lavoratore che lo attiva o disattiva per rendere la prestazione»; se
invece l’utilizzo dello strumento innesca un ulteriore sistema di controllo, quest’ultimo
risulta irrilevante ai fini dell’esecuzione della prestazione, e non può dirsi dunque
necessario; resta pertanto fuori dall’esimente del comma 2 ed il controllo rimane
legittimo solamente qualora si presentano le esigenze del comma 1; nello stesso senso
anche E. Dagnino, Tecnologie e controlli a distanza, DRI, 2015, 4, 988 ss.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                             86
            A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



legge di delegazione (11).
         Pare evidente, infatti, che  si ripete, limitatamente all’ambito del
primo comma  non è ammesso l’impiego di impianti audiovisivi ed altri
strumenti dai quali derivi anche la possibilità di controllo a distanza
dell’attività lavorativa al di fuori delle tre specifiche finalità che, sole,
rendono possibile l’impiego di strumenti potenzialmente intrusivi. Anzi,
sotto questo profilo, si ritiene di dover condividere l’opinione di chi
legge l’eliminazione del riferimento alla “finalità” di controllo a distanza
come una restrizione delle maglie del divieto, realizzata attraverso lo
spostamento del parametro di valutazione della liceità della condotta
datoriale dall’intenzione al dato oggettivo; questo in quanto la nuova
formulazione abbandona «il precedente riferimento all’uso per finalità di
controllo, che evoca elementi di intenzionalità che non sembra rilevino a
fronte di oggettive potenziali intrusioni nella sfera dei lavoratori, e si fa
rientrare nel divieto di impiego per controllo a distanza l’indeterminato
novero di apparecchiature che possano oggettivamente consentire tale
controllo» (12).
         La scomparsa dell’esplicitazione del divieto di compiere controlli
sull’attività dei lavoratori (quale atto ritenuto lesivo per la dignità degli
stessi), pur a fronte della sua implicita permanenza ai fini del comma 1
(13), mostra comunque un cambio di prospettiva nell’approccio
sistematico alla materia atteso che, dalla posizione di un principio
generale di divieto, si è passati al principio, positivo, dell’esplicitazione
dei fini leciti di impiego di mezzi di controllo a distanza che siano altro
rispetto agli strumenti di lavoro (14).
         Con riferimento agli impianti audiovisivi ed agli strumenti di cui
l’imprenditore/datore di lavoro ritenga di dotarsi per esigenze diverse
rispetto all’esecuzione della prestazione lavorativa si può dunque
affermare che oggi, come nel 1970, il legislatore continui a ritenerne
intollerabile l’uso per controllare l’attività lavorativa.
         Venendo al secondo comma, e dunque alla disciplina relativa agli

            (11) In questo senso anche I. Alvino, I nuovi limiti al controllo a distanza
dell’attività dei lavoratori nell’intersezione fra regole dello Statuto dei lavoratori e quelle del Codice
della privacy, q. Riv., 2016, 1, 3 ss., qui 16.
            (12) Così M.T. Salimbeni, La riforma dell’articolo 4 dello Statuto dei lavoratori,
RIDL, 2015, 4, I, 589 ss., qui 601 ss.
            (13) Sia permesso rinviare ad A. Sitzia, I controlli a distanza dopo il “Jobs Act” e la
Raccomandazione R(2015)5 del Consiglio d’Europa, LG, 2015, 7, 671 ss., qui 678.
            (14) In dottrina si è ravvisato il rischio che una tale modifica possa
«comportare il diffondersi di interpretazioni che riconoscano la legittimità di un
controllo che verta sulla prestazione purché le possibilità di controllo sulla stessa siano
conseguenza ulteriore dell’impiego del mezzo e purché l’uso sia coerente con una
finalizzazione esclusiva del mezzo alle esigenze individuate dal comma 1»; in questo
senso E. Dagnino, Tecnologie e controlli a distanza, cit.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                             87
           A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



strumenti di lavoro, il discorso è diverso.
        La combinazione dei primi due commi della norma, la scomparsa
di un esplicito divieto generalizzato di controllo sull’attività lavorativa e
l’affermazione dell’utilizzabilità delle “informazioni raccolte” (ai sensi
degli stessi primi due commi) a tutti i fini connessi al rapporto di lavoro,
conduce a ritenere che sugli strumenti di lavoro possa operarsi, oggi,
qualsiasi tipo di controllo (15).
        Il legislatore del 2015, con il secondo comma dell’art. 4 St. lav., ha
ammesso, per contro, il controllo tecnologico nel senso che, al di fuori
dell’applicazione del primo comma, gli strumenti di lavoro, purché siano
effettivamente tali, possono essere impiegati anche per effettuare
controlli a distanza dell’attività dei lavoratori, fermi i limiti della rilevanza
ai fini della valutazione dell’attitudine professionale (art. 8 St. lav.), del
rispetto della dignità del lavoratore, della riservatezza sua e di terzi, e del
rispetto della tutela generale civilistica in materia di privacy; in questo
senso è forse possibile affermare che, nei limiti di cui si è detto, il
legislatore, novellando l’art. 4, abbia fondato quel vero e proprio potere
di controllo di cui la dottrina, nella vigenza della vecchia normativa,
negava l’esistenza (16).
        Pare, dunque, che il legislatore si sia lasciato influenzare dalla
suggestione secondo la quale lo sviluppo delle tecnologie nella vita
quotidiana (arrivato al punto di aver trasformato le modalità di relazione
tra persone, che vivono “interconnesse”) fa sì che gli strumenti di lavoro
non producano più quella “sensazione” di invasione molesta e
intollerabile nella propria sfera personale che accompagnava, un tempo, e
ancor’oggi, la sottoposizione alle videocamere o le intrusioni nelle




          (15) Non convince la lettura “soft” della novella, avanzata da autorevole
dottrina, secondo cui, se si è ben inteso, la sola novità consisterebbe nell’esclusione
degli strumenti direttamente utilizzati dal lavoratore dal campo di applicazione della
regola della contrattazione preventiva con le r.s.a. (così P. Ichino, Controlli a distanza:
tanto rumore per nulla, 9 giugno 2015, in http://www.pietroichino.it). Tale lettura omette di
considerare che il comma 2 esonera gli strumenti di lavoro dall’integrale applicazione
del comma 1, come sottolineato, del resto, dal Garante privacy nell’Audizione presso
la Commissione Lavoro della Camera e del Senato nel luglio 2015 (il testo
dell’intervento è reperibile alla pagina web http://www.garanteprivacy.it). In senso molto
critico si veda anche F. Liso, Jobs Act e controlli a distanza dei lavoratori: qualche
considerazione, NelMerito, 6 luglio 2015, http://www.nelmerito.com, il quale deduce dalla
“perfida” eliminazione del divieto generale di utilizzo di apparecchiature mirate a
controllare l’attività dei lavoratori l’apertura della strada a pervasivi controlli della
prestazione lavorativa fatti attraverso gli strumenti di lavoro.
          (16) Così G. Suppiej, Il rapporto di lavoro (costituzione e svolgimento), Cedam, 1982,
166 s. Diversamente, cfr. M.T. Carinci, Il controllo a distanza dell’attività dei lavoratori dopo
il “Jobs Act” (art. 23 D. Lgs. 151/2015): spunti per un dibattito, cit., III.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                    88
            A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



conversazioni tramite centralino aziendale (17).
         L’esito della riforma non sembra, però, del tutto rispettoso delle
finalità di protezione che il legislatore dovrebbe prefiggersi di perseguire;
il venir meno di cautele culturali o sociali nei confronti degli strumenti di
lavoro, che si può tradurre in un approccio “disinibito” agli stessi,
avrebbe verosimilmente giustificato una maggiore cautela da parte del
legislatore (18).
         La combinazione dei primi due commi dell’art. 4 lascia, dunque,
un ampio margine per l’esplicarsi del potere di controllo tecnologico
sugli strumenti di lavoro, non essendo sempre necessaria l’installazione di
programmi di controllo ad hoc per rendere possibile un incisivo controllo
sull’attività posta in essere dai lavoratori attraverso l’utilizzo dei
medesimi.
         Ogni strumento di lavoro informatico/tecnologico, infatti, è
generalmente dotato di una intrinseca capacità di immagazzinare (in
quantità e modi diversi, funzionali ai diversi programmi, attraverso i c.d.
“file log”) dati relativi alla sequenza anche cronologica delle operazioni
effettuate dall’addetto, man mano che queste vengono eseguite dal
sistema o dall’applicazione, rendendo così realizzabile un ampio e


          (17) In questo senso A. Trojsi, Il comma 7, lettera f) della legge delega n. 183/2014.
Tra costruzione del Diritto del lavoro dell’era tecnologica e liberalizzazione dei controlli a distanza
sui lavoratori, in M. Rusciano et al., Jobs Act e contratti di lavoro dopo la legge delega 10
dicembre 2014, n. 183, W.P. CSDL “Massimo D’Antona”, http://csdle.lex.unict.it/, collective
volumes, n. 3/2014, p. 122, la quale afferma che «Al riguardo, non si può non tener
conto dell’evoluzione dell’atteggiamento degli stessi fruitori (e/o utenti) delle
tecnologie (in generale, ed anche in ambito lavorativo), oggi significativamente mutato
rispetto ai primi anni di utilizzo di tali strumenti, dovuta proprio alla consuetudine
(ovvero, all’abitudine e all’assuefazione) a queste, che ha prodotto una naturale ed
inevitabile accettazione della nuova realtà tecnologica, non percepita più, a differenza
di una volta, come causa di possibili continui attentati alla propria sfera personale e di
un’intrusione così intollerabile e molesta. Per non parlare, poi, dei casi, sempre più
diffusi, in cui l’utilizzo del computer è incorporato nella prestazione lavorativa stessa,
per cui diventa difficile, se non impossibile, attuare il controllo su questa se non
attraverso lo strumento informatico, non permettendo di distinguere “strumento di
lavoro” e “strumento di controllo”)».
          (18) Autorevole dottrina aveva segnalato da tempo, con notevole
lungimiranza, il carattere particolarmente vessatorio dei controlli tecnologici «e ciò per
la natura alienante ed intimidatoria che, in tali casi, riveste un controllo lontano ed
impersonale, freddo ed imperscrutabile, con il quale non è possibile intrattenere
relazione umana alcuna né dialettica di qualsiasi genere, ma soltanto un rapporto di
timorosa subalternità» (così G. Ghezzi, in G. Ghezzi, F. Liso, Computer e controllo dei
lavoratori, GDLRI, 1986, 30, 353 ss., qui 360). L’utilizzo degli strumenti di lavoro per
finalità di controllo a distanza rischia, evidentemente, di rendere disumano il luogo di
lavoro, in ragione del carattere “totalizzante” e «capace di afferrare ogni momento
dell’attività dei lavoratori» (così A. Bellavista, Controlli elettronici e art. 4 dello Statuto dei
Lavoratori, RGL, 2005, 775).



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                          89
            A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



incisivo monitoraggio (19).
        La questione interpretativa più grave attiene proprio a questi
“file”, i quali, ove possano dirsi necessari per il funzionamento del
programma al quale accedono, consentono un controllo lecito  ma in
certi casi molto invasivo, soprattutto qualora sia reso possibile il
monitoraggio sull’uso di Internet e della posta elettronica (20)  sulle
attività svolte dal lavoratore attraverso l’utilizzo delle strumentazioni
informatiche di cui egli sia stato dotato per ragioni di servizio.
        La lettura qui proposta dell’art. 4 St. lav. porta inevitabilmente a
condividere l’opinione espressa dal Garante privacy nel citato intervento
del 13 gennaio 2015, a mente del quale il limite al controllo sui lavoratori,
con riferimento agli strumenti utilizzati da questi per rendere la
prestazione di lavoro, è rappresentato (ormai soltanto) dal Codice
privacy, il che significa, concretamente, che «i controlli datoriali devono
comunque essere improntati a gradualità nell’ampiezza e nella tipologia
con assoluta residualità dei controlli più invasivi, legittimati solo a fronte
di specifiche anomalie e comunque all’esito dell’esperimento di misure
preventive meno limitative dei diritti dei lavoratori» (21).
        Più precisamente, peraltro, si dovrebbe dire che il controllo sugli
strumenti di lavoro non è soggetto ad alcun limite, mentre il trattamento
dei dati raccolti attraverso l’esercizio del controllo resta assoggettato ai
principi di finalità (specificato dall’art. 4 medesimo nel senso che le

          (19) I browser per navigare su Internet memorizzano informazioni molto
dettagliate ed estese nel tempo; inoltre, anche il sistema operativo, a basso livello,
registra le attività richieste, accessi a Internet, memorizzazioni di dati, accessi a
periferiche eccetera, rendendosi così possibile l’acquisizione di molte informazioni
anche senza che sia necessario dotarsi di programmi specifici di controllo. Sul tema
dell’incorporazione degli strumenti di controllo nella tecnologia si veda, da ultimo, G.
Ziccardi, Il controllo delle attività informatiche e telematiche del lavoratore: alcune considerazioni
informatico-giuridiche, q. Riv., 2016, 1, 48 ss. Non è un caso che il Gruppo di lavoro
istituito a norma dell’art. 29 della direttiva 95/46/CE abbia recentemente sottolineato,
con riferimento ai dati raccolti attraverso il monitoraggio dell’uso di internet da parte
dei lavoratori, che «the amount and nature of the data collected represents a significant
intrusion into the private life of the employees» (così la Opinion 06/2014 on the notion of
legitimate interests of the data controller under Article 7 of Directive 95/46/EC consultabile alla
pagina web http://ec.europa.eu/justice/data-protection/index_en.htm).
          (20) Sulla particolare “invadenza” dei controlli tecnologici si veda M. Aimo,
Privacy, libertà di espressione e rapporto di lavoro, Jovene, 2003, 119 ss. Il Gruppo di lavoro
ex art. 29 sulla protezione dei dati personali ha più volte affermato che la quantità e la
natura dei dati raccolti attraverso il monitoraggio di Internet e della posta elettronica
rappresenta una significativa intrusione nella vita privata dei lavoratori. Si veda al
riguardo il fondamentale parere 8/2001, approvato il 13 settembre 2001 e, da ultimo, il
parere 6/2014, entrambi reperibili alla pagina web http://ec.europa.eu/justice/data-
protection/index_en.htm.
          (21) Così A. Soro, I lavoratori devono essere informati. Il datore di lavoro non può spiare
le mail, cit.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                         90
           A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



finalità ammesse sono quelle connesse al rapporto di lavoro), liceità,
legittimità e non eccedenza, previsti dall’art. 11 del Codice privacy, da
integrare, o, meglio, “dimensionare”, attraverso un’interpretazione di
ritorno all’art. 8 St. lav., atteso che in questa norma si rinvengono le
«coordinate entro le quali tradurre e far operare l’imperativo posto» dal
Codice privacy «circa la necessaria corrispondenza tra motivo della raccolta
dei dati personali e scopo del trattamento» (22).

3. Statuto dei lavoratori e Codice privacy: informativa e consenso
        Il terzo comma dell’articolo 4 condiziona l’utilizzabilità
“giuslavoristica” delle informazioni acquisite attraverso il controllo
innanzitutto a che venga fornita al lavoratore adeguata informazione
sulle modalità d’uso e di effettuazione dei controlli stessi.
        Questa informazione sembra essere additiva rispetto all’obbligo
(onere) di informativa imposto dall’art. 13 del Codice privacy, rispetto al
quale si pone come adempimento differente e speciale, anch’esso
autonomamente necessario ai fini della legittimità del trattamento (23).
        L’informazione di cui all’art. 4, comma 3, St. lav. ha un oggetto
molto preciso ed ampio che sembra precludere, diversamente rispetto a
quanto affermato dalla giurisprudenza affermatasi negli ultimi anni, ogni
forma di controllo occulto (24).
        La seconda condizione posta dall’art. 4, nel richiamare l’obbligo di
rispettare il Codice privacy, svolge, invece, una funzione di specificazione
e adattamento al sistema lavoristico della regola generale di cui all’art. 11,
co. 2, del d.lgs. n. 196 del 2003, a norma del quale «i dati personali trattati

           (22) Così P. Chieco, Privacy e lavoro, Cacucci Editore, 2000, 95; si veda anche S.
Piccininno, Legge, contratto e consenso nella tutela della riservatezza del lavoratore. I rimedi
giurisdizionali, MGL, 1998, 184 ss.; S. Emiliani, Potere disciplinare e protezione dei dati
personali, ADL, 2007, 3, I, 630 ss.; A. Sitzia, Il diritto alla “privatezza” nel rapporto di lavoro
tra fonti comunitarie e nazionali, Cedam, 2013.
           (23) In questo senso anche A. Maresca, Jobs Act, come conciliare potere di controllo e
tutela della dignità e riservatezza del lavoratore, Ipsoa Quotidiano, 22 febbraio 2016. L’A.
precisa che l’informazione di cui al terzo comma dell’art. 4 deve riferirsi «a tutti gli
strumenti utilizzati per lavorare (ricadenti nel 2° comma), non potendosi ipotizzare
un’unica informativa onnicomprensiva, che diverrebbe illeggibile e non soddisferebbe
l’esigenza della trasparenza dei controlli».
           (24) Si vedano, sul punto, le considerazioni sviluppate da E. Dagnino,
Tecnologie e controlli a distanza, cit. La norma pone inoltre un evidente problema di
coordinamento con l’art. 7 St. lav. ai fini dell’esercizio del potere disciplinare. Non è
chiaro, infatti, laddove i singoli strumenti di lavoro siano portatori di modalità d’uso
particolari e correlate a particolari forme di effettuazione di controlli ad hoc, se le
corrispondenti informazioni debbano (o no) essere portate a conoscenza dei lavoratori
(tutti) attraverso l’integrazione del codice disciplinare. Su questo aspetto pare potersi
ritenere sufficiente che il regolamento aziendale espliciti la valenza disciplinare della
violazione delle specifiche modalità d’uso dei diversi strumenti di lavoro in ordine alle
quali venga fornita adeguata informazione.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                      91
           A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



in violazione della disciplina rilevante in materia di trattamento dei dati
personali non possono essere utilizzati».
         Vengono in rilievo, in questo modo, gli obblighi di informativa e
consenso.
         L’art. 13 del Codice privacy disciplina l’informativa nei confronti
dell’interessato, che ricomprende una serie di indicazioni in merito al
trattamento ed alle tipologie di operazioni in cui lo stesso si articola, al
fine di consentire all’interessato di esprimere il proprio consenso
(informato) al trattamento dei dati che lo riguardano. L’informativa
costituisce, coerentemente, «non soltanto il presupposto logico oltre che
di validità del consenso prestato dall’interessato, ma anche e soprattutto
lo strumento attraverso cui quest’ultimo, conoscendo le finalità e le
modalità di trattamento cui saranno sottoposti i dati da lui conferiti,
potrà ex post verificarne il rispetto ed eventualmente azionare, in caso
contrario, gli strumenti di tutela che la legge gli offre» (25).
         L’informativa, dunque, svolge una funzione essenziale nel quadro
complessivo del sistema generale di tutele predisposto dal Codice privacy
in quanto costituisce il principale strumento attraverso il quale trova
declinazione concreta il principio di finalità e trasparenza (26).
         Il modello del Codice privacy, peraltro, come già sopra rilevato,
attribuisce un’importanza ancora più incisiva al consenso, come dimostra
la stessa struttura del reato di trattamento illecito di dati personali,
disciplinato dall’art. 167, che, con riguardo al caso di rapporti fra privati,
incrimina solamente la violazione della regola del consenso espresso del
titolare dei dati personali e non quella relativa all’informativa.
         Gli artt. da 23 a 27 si occupano del trattamento effettuato da
soggetti privati o da enti pubblici economici riguardante sia i dati
“comuni” che i dati “sensibili” o “giudiziari”.
         Con riferimento al trattamento dei dati personali comuni, fatti
salvi i casi di deroga espressamente previsti dal Codice stesso, e dei quali

         (25) S. Kirschen, Il Codice della Privacy, fra tradizione ed innovazione, in R. Panetta
(a cura di), Libera circolazione e protezione dei dati personali, tomo I, in Trattati, a cura di P.
Cendon, Giuffrè, 2006, 11 ss., qui 58.
         (26) Una chiara dimostrazione di quanto affermato nel testo si trae dalla
lettura del provvedimento del Garante Privacy del 6 novembre 2008 relativo ai
“programmi di fidelizzazione: trattamento di dati personali riferiti al dipendente e loro
utilizzo a fini disciplinari” (lo si veda in http://www.garanteprivacy.it, doc. web n.
1573780). Questo provvedimento, reso con riferimento ad una fattispecie in cui un
datore di lavoro ebbe ad utilizzare, con finalità disciplinari, le risultanze del
monitoraggio effettuato sulla carta di fedeltà assegnata ad un lavoratore dipendente
senza avere indicato tale finalità nell’informativa resa al momento dell’attribuzione
della carta. Nel dichiarare un tale comportamento illegittimo il Garante ha precisato
che, nello specifico, il datore di lavoro ha violato il principio di finalità, «il quale esige
che il trattamento sia effettuato per scopi determinati ed espliciti e non incompatibili
con quelli che hanno determinato la raccolta dei dati».



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                      92
            A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



si dirà, ai sensi dell’art. 23, il trattamento è ammesso solo con il consenso
dell’interessato (27), consenso che può riguardare l’intero trattamento
ovvero solamente una o più operazioni dello stesso.
         Il consenso deve essere espresso liberamente e specificamente
con riferimento ad un trattamento individuato in maniera puntuale e
deve essere documentato per iscritto, eccezion fatta per i casi in cui il
trattamento riguardi dati sensibili, per il quale è necessario che venga
prestato in forma scritta. Il consenso espresso dell’interessato, nel
sistema dell’art. 23, primo comma, del Codice privacy, deve risultare da
opzioni di tipo positivo (c.d. opt in) anziché dall’attribuzione della mera
facoltà riconosciuta agli interessati di esprimere un dissenso o,
eventualmente, di barrare una casella per la rinuncia o l’opposizione a
determinati o ad ulteriori trattamenti (c.d. opt out).
         Il consenso non è richiesto nelle ipotesi elencate dall’art. 24, tra le
quali rileva, in primo luogo, quella disciplinata dalla lettera a), che (in
conformità con quanto previsto dalla lettera c) dell’art. 7 della direttiva
95/46/CE) riguarda i casi in cui il trattamento «è necessario per
adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla
normativa comunitaria».
         Questa prima eccezione è ampliata da quella prevista dalla lett. b)
del medesimo art. 24, a norma del quale il trattamento dei dati comuni è
ammesso, anche in assenza di consenso espresso dell’interessato, quando
sia «necessario per eseguire obblighi derivanti da un contratto del quale è
parte l’interessato o per adempiere, prima della conclusione del contratto,
a specifiche richieste dell’interessato» (28).
         Le eccezioni di cui alle lettere a) e b) coprono, secondo taluni, la
maggior parte dei trattamenti di dati comuni concernenti i lavoratori da
parte delle imprese nel settore privato (29).
         Si pensi, al riguardo, a tutte le operazioni di trattamento rese
necessarie per il rispetto della normativa previdenziale, assistenziale,
fiscale e bancaria, tutti gli obblighi di documentazione del rapporto di
lavoro imposti a diversi fini, tra cui rileva anche la verifica del rispetto

          (27) Sul tema cfr. S.M. Meloni, Il trattamento dei dati da parte di soggetti privati: la
disciplina del consenso, in V. Cuffaro, R. D’Onofrio, V. Ricciuto (a cura di), Il Codice del
trattamento dei dati personali, Utet, 2007, 197 ss. Per un approfondito esame in chiave
penalistica si veda C. Pecorella, R. De Ponti, Impiego dell’elaboratore sul luogo di lavoro e
tutela penale della privacy, www.penalecontemporaneo.it, 15 maggio 2011.
          (28) La norma italiana è parzialmente difforme rispetto al corrispondente
articolo 7, lett. b), della direttiva 95/46/CE, il cui testo, molto più semplicemente,
ammette il trattamento senza consenso qualora esso sia «necessario all’esecuzione del
contratto».
          (29) Così S. Piccininno, Legge, contratto e consenso nella tutela della riservatezza del
lavoratore. I rimedi giurisdizionali, cit., 186, ripreso da M. Aimo, Privacy, libertà di espressione e
rapporto di lavoro, cit., 143; cfr. anche C. Faleri, Autonomia individuale e diritto alla
riservatezza, RIDL, 2000, I, 303 ss.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                         93
           A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



della normativa in materia di sicurezza e igiene sul lavoro, il rispetto
dell’art. 2087 c.c., che talvolta rende obbligatorio lo stesso esercizio del
potere disciplinare (30), la verifica del rispetto della stessa normativa in
materia di privacy per ragioni di sicurezza dei dati e dei sistemi (si pensi
alla misura di sicurezza obbligatoria consistente nella predisposizione
delle c.d. credenziali di autenticazione informatica), oltre a tutti i
trattamenti che trovano fonte tanto nel contratto individuale di lavoro
(obblighi di fonte legale o necessari per la conclusione e/o l’esecuzione
di un contratto di lavoro, compresi gli obblighi di natura retributiva),
quanto nelle clausole “normative” del contratto collettivo applicato al
rapporto (31).
         Il trattamento senza consenso è altresì autorizzato, ai sensi della
lett. g) dell’art. 24, che opera quand’esso, «con esclusione della diffusione,
è necessario, nei casi individuati dal Garante sulla base dei principi sanciti
dalla legge, per perseguire un legittimo interesse del titolare o di un terzo
destinatario dei dati, anche in riferimento all’attività dei gruppi bancari e
di società controllate o collegate, qualora non prevalgano i diritti e le
libertà fondamentali, la dignità o un legittimo interesse dell’interessato».
La norma nazionale rimette all’Autorità Garante una rilevante funzione
di bilanciamento di interessi, vincolando la deroga ad una autorizzazione
di carattere generale, nella quale devono essere individuati i casi in cui il
trattamento dei dati al fine di perseguire un interesse del titolare o di un
terzo sia “legittimo” e necessario”.
         Gli spazi della deroga consentita dalla lettera g) non sono illimitati,
né la norma (come l’omologa disposizione della direttiva europea) può
essere considerata una sorta di “last resort” nell’ambito della quale possa
farsi rientrare qualsiasi situazione che esuli dai casi normati (dalle
precedenti lettere dell’art. 24) di esclusione del consenso: nell’operare il
test di bilanciamento è necessario tenere presente quanto precisato dal
Gruppo di lavoro art. 29, ovverosia che «what is necessary for the legitimate
interests of the controller (or third parties) must be balanced against the interest or
fundamental rights and freedom of the data subject» (32).
         Ciò significa che la norma non consente alcun automatismo, ma

          (30) L’esercizio del potere disciplinare, a rigore, non può dirsi riconducibile
all’adempimento di specifici obblighi o compiti previsti dalla legge, da un regolamento
o dalla normativa comunitaria per la gestione del rapporto di lavoro, così come la
lettera di contestazione disciplinare non è oggetto di un obbligo ma, semmai, di un
onere a carico del lavoratore come rileva S.P. Emiliani, Potere disciplinare e protezione dei
dati personali, cit., 643.
          (31) Sul punto si veda M. Aimo, Privacy, libertà di espressione e rapporto di lavoro,
cit., 143 e P. Chieco, Privacy e lavoro, cit.
          (32) Così l’Opinion 6/2014 del Data Protection Working Party, cit., § II.2,
ove si evidenzia anche come il testo della direttiva, sul punto, non sia del tutto chiaro,
donde l’esigenza dell’articolato intervento dell’Autorità.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                  94
            A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



impone una verifica attenta circa la sussistenza di un “interesse”
meritevole di tutela e della sua “legittimità” o “illegittimità”. Sul punto il
Gruppo di lavoro europeo ha precisato che nella valutazione di rilevanza
ai fini della disciplina in discorso, un “interesse legittimo”, per essere tale,
dev’essere lecito (“lawful”), articolato in maniera sufficientemente chiara
al fine di permettere il test di bilanciamento (e quindi sufficientemente
specifico), e rappresentare un interesse reale e attuale (quindi non
dev’essere puramente speculativo) (33).
         Quello che emerge con chiarezza dall’esame della direttiva
europea di riferimento è, dunque, l’insufficienza, ai fini della deroga al
consenso dell’interessato, di un puro e semplice interesse del titolare,
richiedendosi, per contro, una precisa delimitazione delle ragioni che
nello specifico consentano di ammettere una prevalenza dell’interesse del
titolare rispetto ai diritti e libertà fondamentali dell’interessato (come tali
astrattamente prevalenti).

4. Controllo e consenso
         Giunti a questo punto dell’analisi occorre verificare se l’esercizio
del potere di controllo richieda o no la manifestazione del consenso del
lavoratore interessato.
         Autorevole dottrina ha recentemente risolto in senso negativo la
questione, ritenendo che la normativa sulla privacy non possa interferire
sul duplice profilo: a) delle finalità del controllo, essendo queste
espressamente previste dall’art. 4, non sarebbero suscettibili di limitazioni
ulteriori da parte della disciplina sulla privacy, e b) dell’informazione,
essendo questa «affrontata dalla legge in modo chiaro» ed essendo
costruita come una comunicazione unilaterale del datore di lavoro al
lavoratore (34).
         Questa interpretazione si basa, se si è ben inteso, sulla specificità
dell’informazione prevista dall’art. 4 St. lav., che, avendo ad oggetto le
modalità d’uso degli strumenti e l’effettuazione dei controlli, ha la
funzione di “abilitare” il datore di lavoro ad utilizzare i dati acquisiti a
tutti i fini connessi al rapporto di lavoro, compresi quelli disciplinari.
         L’art. 4 St. lav., però, non prevede alcuna deroga rispetto agli
adempimenti previsti dal Codice privacy che anzi, come si è detto, viene
interamente richiamato nell’ultima parte del comma terzo.
         L’esclusione del consenso, dunque, potrebbe essere affermata
esclusivamente alla luce degli articoli 24 e 26 del Codice privacy, relativi,

          (33) Al § III.3.1 l’Opinion sopra citata, nel declinare le caratteristiche del
“legittimo interesse” porta l’esempio del monitoraggio sui lavoratori, precisando che
può essere meritevole di tutela solamente “for safety or management purposes”.
          (34) Così A. Maresca, Jobs Act, come conciliare potere di controllo e tutela della dignità e
riservatezza del lavoratore, cit.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                         95
          A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



rispettivamente, ai dati comuni e ai dati sensibili.
         Per quanto concerne i dati comuni che siano fatti oggetto di
monitoraggio occorre verificare se il controllo implichi i) un trattamento
obbligatorio per legge (art. 24, comma 1, lett. a)) oppure ii) un
trattamento finalizzato (e necessario) all’adempimento di obblighi
discendenti dal contratto (art. 24, comma 1, lett. b)) oppure ancora iii)
rientri tra i casi individuati dal Garante tra quelli in cui il trattamento sia
necessario per perseguire un legittimo interesse del titolare, qualora non
prevalgano i diritti e le libertà fondamentali, la dignità o un legittimo
interesse dell’interessato (art. 24, comma 1, lett. g)).
         In questa prospettiva il consenso può dirsi non necessario in virtù
della lettera a) solamente nelle ipotesi in cui l’esercizio del potere di
controllo sia effettivamente obbligatorio per legge, mentre la lettera b),
per come è formulata, non sembra agevolmente ricomprendere
l’esercizio di un potere unilaterale che all’evidenza non rappresenta atto
necessario per l’esecuzione di obblighi derivanti dal contratto. Sotto
questo profilo va detto che il testo della direttiva di riferimento, all’art. 7,
lett. a), si esprime in termini molto più ampi, riferendosi a ciò che è
necessario “all’esecuzione del contratto” (“performance of the contract” nel
testo inglese), locuzione, questa, che più agevolmente consentirebbe di
inglobare l’esercizio del potere di controllo (35).
         Ancora diverso è il discorso per quanto concerne i dati di
carattere sensibile che possano essere oggetto di trattamento in ragione
dell’esercizio del controllo tecnologico.
         La norma di riferimento, in questo caso, è l’art. 26, co. 4, lett. d),
del Codice privacy, che ripropone una regola simile, ma non identica, a
quella prevista dall’art. 24 con riguardo ai dati comuni, stabilendo che i
dati sensibili possono essere oggetto di trattamento anche senza
consenso, previa autorizzazione del Garante, solamente quando il
trattamento è necessario per adempiere a specifici obblighi o compiti
previsti dalla legge, da un regolamento o dalla normativa comunitaria per
la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza
del lavoro e della popolazione e di previdenza e assistenza, nei limiti

         (35) Si tenga comunque conto che, con riferimento alla norma della direttiva
richiamata nel testo, il Gruppo di lavoro art. 29, ha avuto modo di sottolineare che ci
sono casi, come quello del monitoraggio di internet, e-mail, telefono o video
sorveglianza sui lavoratori, in cui il trattamento va oltre ciò che è necessario per
l’esecuzione del contratto, precisandosi che in queste ipotesi bisogna tenere contro
anche della natura dell’impiego. Si veda in questo senso il Parere 6/2014, sopra citato,
al § III.2.2. L’interpretazione della direttiva dimostra come sia estremamente
problematico affermare in termini trancianti che il consenso non sia richiesto in modo
generalizzato e astratto quanto al controllo sui lavoratori, atteso che una soluzione di
questo tipo rischierebbe di porre la nuova normativa in contrasto con la disciplina
europea.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                               96
           A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



previsti dall’autorizzazione e ferme restando le disposizioni del codice di
deontologia e buona condotta di cui all’art. 111 (36).
        Anche sul punto può registrarsi una parziale differenza della
norma italiana rispetto all’omologa disposizione europea (l’art. 8,
paragrafo 2, lett. b), della direttiva 95/46/CE) in quanto quest’ultima
ammette l’esclusione del consenso non solo nel caso di assolvimento di
obblighi specifici del titolare, ma anche nel caso di esercizio di diritti
(“rights” nel testo inglese) facenti capo al medesimo. La norma italiana ha
recepito il termine “diritti” con “compiti”, donde occorre chiedersi se
l’esercizio del controllo possa dirsi integrare un obbligo o un compito
previsto dalla legge (da un regolamento o dalla normativa comunitaria)
per la gestione del rapporto di lavoro.
        Quand’anche, poi, si voglia ritenere che diritto sia sinonimo di
compito, resta in ogni caso problematico affermare l’esclusione del
consenso al di fuori di eventuali casi di controllo “obbligato” perché
funzionale ad un ipotetico esercizio doveroso del potere disciplinare.
Perché il Garante possa intervenire al riguardo occorrerebbe fornire una
lettura più libera dell’art. 26, e ritenere che l’esercizio del potere di
controllo di cui all’art. 4 St. lav., essendo necessario per esigere (o meglio
verificare) l’adempimento, integri un “compito”, previsto dalla legge, per
la gestione del rapporto di lavoro, il che, evidentemente, non sembra così
scontato.
        La norma che impone il consenso in caso di trattamento di dati
sensibili, inoltre, costituisce lex specialis rispetto a quella inerente i dati
comuni, in quanto introduce una protezione ulteriore per questa speciale
categoria di dati. Questo significa che lo spazio per l’intervento del
Garante nell’introduzione di ipotesi di esonero dovrà essere verificato
caso per caso in ragione dell’impatto che il trattamento può avere nella
sfera della riservatezza dell’interessato (37).


          (36) Resta inteso che, anche con riferimento alle ipotesi di cui agli artt. 24 e 26
del Codice Privacy, il riferimento ivi contenuto alle operazioni di raccolta e
trattamento di informazioni necessarie per finalità precontrattuali o per l’esecuzione di
obblighi nascenti dal contratto deve leggersi in combinazione con la norma di cui
all’art. 8 St. lav., ovverosia nel rispetto dei limiti segnati dalla norma statutaria in
riferimento ai dati personali rilevanti per la valutazione delle attitudini professionali del
lavoratore interessato.
          (37) Anche in questo caso di estremo interesse risulta il parere 6/2014 del
Gruppo di lavoro art. 29 sopra citato, nell’ambito del quale il § III.1.2 è dedicato al
rapporto tra l’art. 7 e l’art. 8 della direttiva. Con riferimento all’art. 26 del Codice
privacy il Garante italiano ha, in passato, avuto modo di affermare che il “diritto di
azione e difesa” non può ritenersi “di pari rango” rispetto a quello del lavoratore, il
che lascia scoperto, secondo parte della dottrina, l’interesse all’esercizio generale del
potere disciplinare, capace di assurgere a diritto “di pari rango” rispetto alla
riservatezza del lavoratore solamente qualora, ad esempio, siano implicati atti di



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                97
           A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



        Anche per quanto concerne i dati sensibili, dunque, si riscontra un
problema giuridico di non secondario rilievo quanto all’esercizio del
potere di controllo (soprattutto in ordine al controllo reso possibile dal
comma 2 dell’art. 4 St. lav.). In questi casi non sembra affatto agevole
affermare la necessità del trattamento in ragione della sussistenza di un
obbligo di legge, regolamento o normativa comunitaria, al di fuori di
limitati casi eccezionali, che necessitano comunque di essere
espressamente previsti dal Garante.
        Nel caso in cui, dunque, il controllo tecnologico possa avere ad
oggetto informazioni sensibili, in assenza di una legittima Autorizzazione
generale del Garante, il datore di lavoro dovrebbe acquisire il consenso
informato del lavoratore (38), in assenza del quale resterebbe inibito
l’esercizio del potere di controllo (ed il conseguente potere disciplinare).
Il lavoratore, per parte sua, patirà le conseguenze della mancata
prestazione del consenso (tutte necessariamente comunicate nella previa
informativa), compresa la mancata assunzione o la risoluzione del
contratto per sopravvenuta impossibilità di svolgimento della prestazione
(39).
        Questo, naturalmente, sempre che il consenso sia prestato
“liberamente”. Sul punto, giova ricordare che si tende a ritenere tale
solamente il consenso (40) che possa essere ritirato “senza pregiudizio
per i propri interessi”, «solo se si presenta come manifestazione del
diritto all’autodeterminazione informativa, e dunque al riparo da qualsiasi
pressione, se non viene condizionato all’accettazione di clausole che
determinano un significativo squilibrio dei diritti e degli obblighi
derivanti dal contratto» (41).
        La materia ripropone, così, il problema della fittizia libertà del


molestia sessuale posti in essere sul luogo di lavoro (cfr., in questo senso, S.P.
Emiliani, Potere disciplinare e protezione dei dati personali, cit., 644).
          (38) Ampia conferma di quanto sostenuto nel testo si rinviene in numerosi
documenti sovranazionali relativi al problema del controllo tecnologico (soprattutto
ove effettuato su Internet e posta elettronica). Si veda, al riguardo, in particolare, la
Raccomandazione Rec (2015)5 del Consiglio d’Europa ai paragrafi 14.3, 20.2 e 21.
          (39) Si veda al riguardo D. Pizzonia, Uso della posta elettronica sul posto di lavoro,
privacy e potere di controllo, RGL, 2008, 4, 907 ss.
          (40) La normativa italiana non fornisce una nozione esplicita di “consenso”.
Al riguardo, peraltro, oltre all’elaborazione civilistica tradizionale sul tema del
consenso dell’avente diritto, sovviene, nello specifico, la direttiva n. 95/46/CE, che
all’art. 2, lett. h), definisce il “consenso della persona interessata” come «qualsiasi
manifestazione di volontà libera, specifica e informata con la quale la persona
interessata accetta che i dati personali che la riguardano siano oggetto di un
trattamento».
          (41) Garante per la protezione dei dati personali, provvedimento del 28
maggio 1997.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                   98
           A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



consenso in contesti caratterizzati da “dislivelli di potere” (42).
         Nel caso in cui non sussistano i presupposti per la validità del
consenso, la raccolta delle informazioni ed il relativo trattamento dei dati
sono illeciti, con la conseguenza che «l’interessato non deve esercitare
un’azione di annullamento ma agire per l’accertamento della illiceità
dell’attività relativa ai suoi dati posta in essere nonostante la mancanza di
un suo valido consenso» (43).
         Più in particolare, secondo autorevole dottrina civilistica, l’art. 23
del Codice Privacy considera il consenso alla stregua di un elemento della
fattispecie legale, che ha l’effetto di far venir meno il carattere
dell’antigiuridicità che altrimenti presenterebbe l’attività relativa ai dati
personali (44).
         Con riferimento al trattamento dei dati personali nel rapporto di
lavoro questa ricostruzione deve essere integrata attraverso l’interazione
della normativa generale in materia di protezione dei dati personali con il
diritto del lavoro, il che porta ad affermare che una manifestazione di
assenso non può operare se non in termini tali da non contraddire i tratti
portanti e caratterizzanti del complesso normativo posto a tutela della
riservatezza del lavoratore.
         In altri termini, in materia di lavoro, solamente i “dati” il cui
trattamento è ammesso ai sensi dell’art. 8 St. lav. possono assumere
rilevanza ai fini dell’operatività del consenso del lavoratore (45).

          (42) M. Aimo, Privacy, libertà di espressione e rapporto di lavoro, cit., 142; S. Rodotà,
Privacy e costruzione della sfera privata, Pol. Dir., 1991, 542
          (43) Si veda S. Patti, Consenso, Commento all’art. 23, in La protezione dei dati
personali, Commentario al D.Lgs. 30 giugno 2003, n. 196 («Codice della privacy»), a cura di M.
Bianca, F.D. Busnelli, Le Nuove Leggi Civili Commentate, tomo I, Cedam, 2007, 551 ss.
          (44) Così S. Patti, Consenso, cit., 553.
          (45) Autorevole dottrina, nel richiamare la distinzione tra riservatezza in senso
stretto (intesa quale diritto assoluto ad impedire a chiunque l’accesso alla propria sfera
riservata) e riservatezza in senso proprio (intesa come diritto al silenzio di altri rispetto
a determinate notizie da questi conosciute in seguito all’accesso legittimo o illegittimo
alla sfera riservata), ha sottolineato che il diritto alla riservatezza è diritto disponibile,
ma non illimitatamente, il che permette di affermare che all’atto di stipulare contratto
di lavoro, il lavoratore rinuncia a una parte della tutela della propria riservatezza. Da
questo consegue che «in linea generale deve ritenersi che soggiacciano ai limiti
inderogabili precisi posti dalla legge gli atti di disposizione del diritto di riservatezza
aventi per oggetto l’acquisizione e il trattamento di dati personali in epoca successiva
alla pattuizione, mentre la disponibilità del diritto individuale è illimitata per ciò che
riguarda l’acquisizione e il trattamento attuati nell’immediatezza del consenso prestato,
ovvero la singola e ben circoscritta “apertura” della propria sfera di riservatezza (così
ad esempio, il lavoratore non può validamente autorizzare il datore di lavoro a
svolgere in futuro indagini sulla sua vita privata, ma può fornire un’informazione in
proposito autorizzando contestualmente il trattamento immediato del dato fornito)»
(così E. Gragnoli, Dalla tutela della libertà alla tutela della dignità e della riservatezza dei
lavoratori, cit.). Oltre la sfera riconosciuta come disponibile dal legislatore (art. 8 St.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                      99
           A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



         Ciò significa che il trattamento potrà ritenersi legittimo solamente in
quanto si svolga entro i limiti individuati dallo Statuto dei lavoratori ed il
lavoratore abbia prestato un valido consenso informato (o comunque abbia
ricevuto una corretta e idonea informativa nei casi in cui il trattamento sia
effettuabile anche in assenza di consenso) ai sensi del Codice Privacy.
         Il trattamento resta comunque illegittimo se relativo a dati trattati in
violazione dei limiti di cui allo Statuto dei lavoratori, senza che l’eventuale
consenso, libero e informato, del lavoratore, valga a mutare i termini di tale
illegittimità (46).




lav.), vi è una sfera di non conoscibilità per il datore di lavoro che non consente al
lavoratore di autorizzare per il futuro indagini sulla propria vita privata. Un’eventuale
espressione di consenso al riguardo sarebbe del tutto illecita così come parimenti nulla
sarebbe da considerare un’eventuale rinunzia manifestata anche nelle forme di cui
all’art. 2113 c.c.
          (46) Cfr. A. Bellavista, La disciplina della protezione dei dati personali e i rapporti di
lavoro, in Diritto del lavoro, Commentario diretto da F. Carinci, tomo II, Il rapporto di
lavoro subordinato: costituzione e svolgimento, a cura di C. Cester, 2a ed., Utet, 2007, 468, il
quale rileva che il consenso del lavoratore può operare «come unico e valido
presupposto autorizzativo del trattamento, alla stregua dell’art. 23 del codice, solo
quando il medesimo trattamento rispetti il principio desumibile dall’art. 8 st. lav. e
abbia una forte connessione con il rapporto di lavoro oppure si svolga nell’esclusivo
interesse del lavoratore». Al riguardo altra dottrina sottolinea che fra le due normative,
quella generale in materia di privacy e quella speciale del diritto del lavoro, si realizza
anche una forma di “interazione virtuosa”, atteso che la normativa sulla privacy amplia
l’attitudine regolativa dell’art. 8 St. lav. richiedendo il consenso informato (o
comunque l’informazione nei casi in cui il trattamento è effettuabile anche in assenza
di consenso). In questo senso P. Chieco, Privacy e lavoro, cit., 35 ss.



LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                      100
                      A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



Bibliografia

Aimo A., Privacy, libertà di espressione e rapporto di lavoro, Jovene, 2003;
Alvino I., I nuovi limiti al controllo a distanza dell’attività dei lavoratori nell’intersezione fra regole dello
          Statuto dei lavoratori e quelle del Codice della privacy, q. Riv., 2016, 1, 3 ss.;
Bellavista A., Controlli elettronici e art. 4 dello Statuto dei Lavoratori, RGL, 2005, 775;
Bellavista A., La disciplina della protezione dei dati personali e i rapporti di lavoro, in Diritto del lavoro,
          Commentario diretto da F. Carinci, tomo II, Il rapporto di lavoro subordinato: costituzione e
          svolgimento, a cura di C. Cester, 2a ed., Utet, 2007, 468 ss.;
Carinci M.T., Il controllo a distanza dell’attività dei lavoratori dopo il “Jobs Act” (art. 23 D. Lgs.
          151/2015): spunti per un dibattito, q. Riv., 2016, 1, III ss.;
Chieco P., Privacy e lavoro, Cacucci, 2000;
Dagnino E., Tecnologie e controlli a distanza, DRI, 2015, 4, 988 ss.;
Emiliani S.P., Potere disciplinare e protezione dei dati personali, ADL, 2007, 3, I, 630 ss.;
Faleri C., Autonomia individuale e diritto alla riservatezza, RIDL, 2000, I, 303 ss.;
Ghezzi G., in G. Ghezzi, F. Liso, Computer e controllo dei lavoratori, GDLRI, 1986, 30, 353 ss.;
Gragnoli E., Dalla tutela della libertà alla tutela della dignità e della riservatezza dei lavoratori, ADL,
          2007, I, 1211 ss.;
Ichino P., Il contratto di lavoro, nel Trattato Cicu-Messineo, tomo III, Giuffrè, 2003;
Liso F., Jobs Act e controlli a distanza dei lavoratori: qualche considerazione, Nel Merito, 6 luglio 2015,
          http://www.nelmerito.com;
Kirschen S., Il Codice della Privacy, fra tradizione ed innovazione, in R. Panetta (a cura di), Libera
          circolazione e protezione dei dati personali, tomo I, in Trattati, a cura di P. Cendon, Giuffrè,
          2006, 11 ss.;
Maresca A., Jobs Act, come conciliare potere di controllo e tutela della dignità e riservatezza del lavoratore,
          Ipsoa Quotidiano, 22 febbraio 2016;
Meloni S.M., Il trattamento dei dati da parte di soggetti privati: la disciplina del consenso, in V. Cuffaro,
          R. D’Onofrio, V. Ricciuto (a cura di), Il Codice del trattamento dei dati personali, Utet,
          2007, 197 ss.;
Patti S., Consenso, Commento all’art. 23, in La protezione dei dati personali, Commentario al D.Lgs. 30
          giugno 2003, n. 196 («Codice della privacy»), a cura di M. Bianca, F.D. Busnelli, Le Nuove
          Leggi Civili Commentate, tomo I, Cedam, 2007, 551 ss.;
Pecorella C., De Ponti R., Impiego dell’elaboratore sul luogo di lavoro e tutela penale della privacy,
          www.penalecontemporaneo.it, 15 maggio 2011;
Piccininno S., Legge, contratto e consenso nella tutela della riservatezza del lavoratore. I rimedi
          giurisdizionali, MGL, 1998, 184 ss.;
Pizzonia D., Uso della posta elettronica sul posto di lavoro, privacy e potere di controllo, RGL, 2008, 4,
          907 ss.;
Rodotà S., Privacy e costruzione della sfera privata, Pol. Dir., 1991, 542;
Salimbeni M.T., La riforma dell’articolo 4 dello Statuto dei lavoratori, RIDL, 2015, 4, I, 589 ss.;
Sitzia A., I controlli a distanza dopo il “Jobs Act” e la Raccomandazione R(2015)5 del Consiglio d’Europa,
          LG, 2015, 7, 671 ss.;
Sitzia A., Il diritto alla “privatezza” nel rapporto di lavoro tra fonti comunitarie e nazionali, Cedam, 2013;
Soro A., I lavoratori devono essere informati. Il datore di lavoro non può spiare le mail, ne L’Huffington
          post, 13 gennaio 2016;
Suppiej G., Il rapporto di lavoro (costituzione e svolgimento), Cedam, 1982;
Trojsi A., Il comma 7, lettera f) della legge delega n. 183/2014. Tra costruzione del Diritto del lavoro
          dell’era tecnologica e liberalizzazione dei controlli a distanza sui lavoratori, in M. Rusciano et Aa.,
          Jobs Act e contratti di lavoro dopo la legge delega 10 dicembre 2014, n. 183, W.P. CSDL
          “Massimo D’Antona”, in http://csdle.lex.unict.it/, collective volumes, n. 3/2014;




         LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                         101
                     A. SITZIA, Il controllo (del datore di lavoro) sull’attività dei lavoratori



Tullini P., Comunicazione elettronica, potere di controllo e tutela del lavoratore, RIDL, 2009, I, 485 ss.;
Ziccardi G., Il controllo delle attività informatiche e telematiche del lavoratore: alcune considerazioni
         informatico-giuridiche, q. Riv., 2016, 1, 48 ss.




         LLI, Vol. 2, No. 1, 2016, ISSN: 2421-2695                                                    102
