Sorveglianza dei dipendenti mediante spyware

Con sentenza del 17 gennaio 2013 (link), il Tribunale federale si è espresso su un caso di sorveglianza del PC attribuito ad un alto funzionario della protezione civile sul posto di lavoro operata attraverso uno spyware (periodo: dal 15 giugno al 22 settembre 2009). Da tale verifica era emerso che il funzionario, su un totale di 8'297 minuti, aveva dedicato 5'863 minuti (pari al 70.6% del tempo passato al computer, rispettivamente al 22.76% del tempo totale di lavoro) ad attività private o comunque estranee alla sua funzione.Il punto principale riguarda la validità / ammissibilità della perizia quale mezzo di prova nel procedimento a seguito di licenziamento con effetto immediato, alla luce del fatto che le prove acquisite illegalmente non sono, in via di principio, utilizzabili. Cadendo la prova, anche il licenziamento subito dal funzionario sarebbe decaduto siccome non comprovato. 
Il TF ha confermato che la perizia era stata acquisita illecitamente e che la stessa non poteva essere utilizzata. Di conseguenza, ha respinto il ricorso con cui il ricorrente aveva postulato di annullare il giudizio cantonale e di confermare il licenziamento disciplinare.

Le conclusioni pratiche che si possono trarre dalla sentenza sono le seguenti.

1. L’utilizzo di spyware, in quanto monitoraggio in tempo reale / occulto / permanente / dettagliato del comportamento del dipendente sul posto di lavoro, è assolutamente ed a priori illecito (dunque vietato) (cfr. art. 6 cpv. 4 LL e art. 26 cpv. 1 OLL3), nel senso che non sussistono possibilità per il datore di lavoro di invocare un interesse preminente tale da rendere ammissibile questa misura di sorveglianza.
   
2. L'impiego dello spyware non si concilia manifestamente con il requisito di necessità (quale componente del principio di proporzionalità), il quale impone che tra i vari mezzi idonei a disposizione la scelta ricada su quello meno incisivo e meno pregiudizievole per gli interessi in causa. 
   
3. A fronte di un abuso accertato oppure di un sospetto concreto di abuso, il datore di lavoro deve limitarsi ad analizzare in maniera nominativa i logfiles disponibili - relativi di regola ai soli dati marginali ("chi [indirizzo-IP oppure, per le e-mail professionali, indirizzo del mittente e del destinatario], cosa [indirizzo completo del sito internet visionato, Uniform Ressource Locator, URL, rispettivamente oggetto del messaggio di posta elettronica], quando [data e ora della consultazione, rispettivamente della comunicazione]") ma non anche ai contenuti del traffico informatico. 
   
4. Il TF ha colto l’occasione per riassumere la propria giurisprudenza in relazione all’art. 26 OLL3, il quale, lo ricordiamo, vieta la sorveglianza del comportamento del dipendente sul posto di lavoro.
   

• DTF 130 II 425: dopo avere rilevato la conformità alla legge della disposizione in questione, il TF ha aggiunto che, secondo il suo tenore e lo scopo perseguito, essa non intende vietare in maniera generale l'impiego di sistemi di sorveglianza. Vietati sono solo i sistemi destinati a sorvegliare il comportamento dei lavoratori sul loro luogo di lavoro, ma non anche quelli necessari per altri scopi. È così nella natura stessa di un rapporto di lavoro che il datore di lavoro possa esercitare un certo controllo sul comportamento e sull'attività del suo personale. Non solo per motivi di sicurezza o di organizzazione e pianificazione del lavoro ma anche - previa informazione dei lavoratori - per controllare il lavoro stesso, soprattutto la sua qualità. In sintesi, l'art. 26 OLL3 vieta i sistemi di sorveglianza che mirano unicamente o essenzialmente a sorvegliare il comportamento in quanto tale dei lavoratori. Nondimeno, anche laddove il suo impiego non è vietato, sebbene determini oggettivamente un tale effetto, il sistema di sorveglianza scelto deve, in considerazione di tutte le circostanze del caso, costituire un mezzo proporzionato allo scopo perseguito e i lavoratori devono essere informati preventivamente sul suo impiego. Nella fattispecie ivi esaminata il TF ha ritenuto di massima lecito l'impiego di un sistema di localizzazione satellitare GPS sui veicoli aziendali per controllare se i collaboratori del servizio esterno effettuano le visite alla clientela. Il datore di lavoro deve avere la possibilità di evitare eventuali abusi. La sorveglianza può in particolare considerarsi una misura proporzionata se avviene solo a posteriori e in maniera indiretta e non è permanente.
  
• Sentenza 6B_536/2009: si trattava invece di valutare il caso di un datore di lavoro che aveva denunciato per furto una sua dipendente fondandosi sulle registrazioni di una videocamera installata nel locale di cassa all'insaputa dei collaboratori. La Corte di diritto penale del Tribunale federale ha proceduto in quella vertenza a interpretare in maniera restrittiva l'art. 26 cpv. 1 OLL3 vietando unicamente quei sistemi di sorveglianza atti a danneggiare la salute o il benessere dei lavoratori. Una sorveglianza non è per contro stata ritenuta danneggiare sempre e automaticamente la salute dei lavoratori. La videosorveglianza del locale di cassa non determinava nella fattispecie esaminata la sorveglianza per un lungo periodo del comportamento dei lavoratori sul luogo di lavoro, bensì focalizzava essenzialmente l'attenzione sulla cassa nelle cui vicinanze i lavoratori venivano a trovarsi solo sporadicamente e per breve tempo. Una simile sorveglianza non era atta a danneggiare la salute o il benessere dei lavoratori. Inoltre la videosorveglianza serviva a prevenire la commissione di reati penali sicché il datore di lavoro vantava un interesse notevole a una simile misura. In tali condizioni i diritti della personalità dei lavoratori non sono stati illecitamente lesi. La videosorveglianza non violava pertanto l'art. 26 OLL3 e poteva essere utilizzata quale mezzo di prova.
  

Su un punto il TF si esprime in maniera opinabile: il TF parte dal presupposto che i dati relativi alla navigazione web (logfiles contenenti indirizzi dei siti web (URL) visitati dal dipendente) costituiscano dati marginali (ossia dati sul traffico informatico privi di contenuti) (cfr. c. 5.5.4.). Ma è veramente sempre così? Se in relazione all’e-mail è facile distinguere l’elemento contenuto (il messaggio) dai dati marginali o secondari (indirizzo, data invio, oggetto, ecc.), quando si tratta di navigazione web l’immissione dell’URL in qualsiasi web browser (se la risorsa è ancora disponibile) consente di collegare un dato apparentemente secondario ad un contenuto ben determinato. Ecco che la memorizzazione continuativa e la conseguente    analisi degli URLs dei siti visitati dai dipendenti da parte del datore di lavoro può, in determinate circostanze, costituire una misura di sorveglianza del comportamento del dipendente vietata dall’art. 26 cpv. 1 OLL3! Affaire à suivre.