Dipendenti e controlli sul lavoro: le regole per le imprese
Nel rapporto di lavoro la privacy si incrocia con lo Statuto dei lavoratori. Un GPS sull'auto aziendale, un programma che conserva le email per anni o una casella dell'ex dipendente lasciata aperta sono i casi che arrivano più spesso al Garante, quasi sempre con il reclamo di chi è stato licenziato.
Le regole qui sotto valgono per qualunque datore di lavoro, anche con pochi dipendenti.
// Le regole in breve
Strumenti che possono controllare a distanza. Telecamere, GPS sui veicoli e altri strumenti da cui può derivare un controllo dei lavoratori si installano solo per esigenze organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio, e solo con un accordo sindacale o, in mancanza, con l'autorizzazione dell'Ispettorato del lavoro (articolo 4 dello Statuto dei lavoratori).
L'informativa è sempre dovuta. Per PC, telefoni e altri strumenti di lavoro l'accordo non serve, ma i dati si possono usare solo se il lavoratore ha ricevuto un'informativa chiara su come funzionano e su come avvengono i controlli. Il Garante ha sanzionato un'azienda che aveva l'accordo sindacale sul GPS ma non aveva mai dato l'informativa.
Niente punteggi di guida. Un dispositivo che registra tempi, chilometri, consumi e stile di guida per dare un voto mensile ai conducenti è un controllo dell'attività lavorativa: senza le garanzie dello Statuto è illecito, anche se lo chiede la capogruppo estera.
Le email sono corrispondenza. Contenuto, mittenti e allegati delle email sono protetti dalla segretezza della corrispondenza, anche sull'account aziendale. Le Linee guida del Garante del 2007 su posta elettronica e Internet restano il riferimento.
Quando il dipendente se ne va. L'account va disattivato, con una risposta automatica che indica un indirizzo alternativo. Non si inoltrano per settimane le sue email a un collega. E l'ex dipendente ha diritto di avere copia di tutte le email del suo account e dei documenti nel suo PC, non solo di quelle che l'azienda giudica «personali».
Metadati e log conservati poco. I metadati della posta elettronica raccolti dai servizi cloud si conservano, di norma, per pochi giorni e orientativamente non oltre 21 giorni (documento di indirizzo del Garante del 6 giugno 2024). Il Garante ha giudicato sproporzionati 5 anni per le email e 12 mesi per i dati di navigazione.
Le richieste dei dipendenti hanno una risposta. Un lavoratore, anche licenziato, può chiedere i propri dati, compresi quelli del GPS. Se l'azienda ritiene di non doverli dare, deve spiegare perché e indicare la possibilità di reclamo al Garante o di ricorso al giudice.
Whistleblowing. Le imprese private con almeno 50 lavoratori, e alcune sotto questa soglia (per esempio quelle con il modello 231), devono avere un canale interno per le segnalazioni che protegga l'identità di chi segnala (D.Lgs. 24/2023). Il Garante richiama i rischi della semplice email come canale di segnalazione e chiede una valutazione d'impatto.
Regole verificate il 11 novembre 2026 sulle fonti qui sotto.