AGI – Sono “illegittime” la “conservazione e la categorizzazione” dei dati personali dei dipendenti, da parte del datore di lavoro, “relativi alla navigazione in Internet, all’utilizzo della posta elettronica e alle utenze telefoniche da essi chiamate”. È quanto è tornata a sancire la Cassazione, con una sentenza depositata nelle scorse settimane dalla sezione Lavoro, confermando quanto deciso dalla Corte d’appello di Milano nell’ambito di una causa che vedeva contrapposta una società datrice di lavoro e alcuni ex dipendenti. In primo grado, il tribunale di Milano aveva accolto parzialmente il ricorso della società, relativamente all’utilizzabilità, nel procedimento, delle comunicazioni mail dei lavoratori, affermando che, sebbene fossero state estratte da account privati, erano state fatte confluire sul server aziendale, per cui la corrispondenza doveva considerarsi aperta e non chiusa.
La decisione della Corte d’Appello
Di opposto avviso, i giudici d’appello, che avevano quindi respinto il ricorso del datore di lavoro, il quale, invece, sosteneva che la corrispondenza prodotta era stata “tutta rinvenuta sui sistemi informatici aziendali di sua proprietà”, quali personal computer e server e, quindi, “consultabile senza alcuna chiave di accesso” in quanto la società era titolare dei sistemi informatici e aziendali. La Suprema Corte ha ritenuto corretta la decisione di secondo grado e ha rigettato il ricorso della società: “la posta acquisita dal datore di lavoro proveniva da account personali, sebbene inseriti sul server aziendale, per accedere ai quali occorreva una password”, rilevano i giudici del ‘Palazzaccio’ nella loro sentenza. La Corte milanese, aggiungono, ha “correttamente applicato i principi” sanciti dalla sentenza della Corte di Strasburgo del 2017, nella quale “è stato affermato che le comunicazioni trasmesse dai locali dell’impresa nonché dal domicilio di una persona possono essere comprese nella nozione di ‘vita privata‘ e di ‘corrispondenza‘” sancita dall’articolo 8 della Convenzione Europea dei diritti dell’uomo.
I criteri della CEDU e la tutela della privacy
“In modo esatto”, scrive ancora la Cassazione, i giudici d’appello “hanno tenuto conto anche dei criteri fissati” dalla Cedu “in tema di rispetto dei principi della finalità legittima (il controllo nelle sue varie forme deve essere giustificato da gravi motivi), della proporzionalità (il datore di lavoro deve scegliere, nei limiti del possibile, tra le varie forme e modalità di adeguato controllo, quelle meno intrusive) e della preventiva dettagliata informazione ai dipendenti sulle possibilità, forme e modalità del controllo – si legge ancora nella sentenza – in modo tale che, in ossequio alla necessità di contemperare le esigenze datoriali di controllo con quelle di tutela della privacy del dipendente, non è stata ritenuta consentita un’attività di controllo massivo, mentre sono state considerate indispensabili le opportune informative in merito alla possibile attività di controllo, con esclusione, in tale ottica, di controlli preventivi proprio perché si esulerebbe dal piano ‘difensivo'”.
Assenza di autorizzazione e disposizioni specifiche
Nel caso in esame, osserva infine la Corte, i dipendenti avevano “precisato che non avevano impostato alcuna opzione per ricevere le mail personali sul medesimo applicativo di posta elettronica utilizzato sul pc aziendale e di non avere concesso alcuna autorizzazione“, mentre “la società non aveva dimostrato di avere impartito specifiche disposizioni finalizzate a regolamentare le modalità di controllo e/o di duplicazione della corrispondenza dei lavoratori”.
