Lo smart working (o lavoro agile) si è diffuso sempre di più negli ultimi anni come una delle modalità piùutilizzate dai datori per venire incontro alle esigenze lavorative dei dipendenti. Ma, per quanto possa essereconsiderato un’alternativa alla presenza in ufficio dei lavoratori, un utilizzo non controllato di questa formadi prestazione lavorativa può comportare, tra le tante conseguenze, anche un utilizzo incontrollato dei dati.
Cos’è lo smart working?
Lo smart working è definito come una modalità di esecuzione della prestazione di lavoro introdotta al fine
di incrementare la competitività e di agevolare la conciliazione dei tempi di vita e lavoro.
La normativa di riferimento è la legge 22 Maggio 2017, n. 81 (articoli 18-24), come da ultimo modificata
dalla Legge 4 agosto 2022, n. 122 che ha convertito con modificazioni il D.L. 21 giugno 2022, n. 73, c.d.
Decreto Semplificazioni. Secondo la legge n.81 del 2017 il lavoro agile si svolge con il possibile utilizzo di
strumenti tecnologici per lo svolgimento dell’attività lavorativa. La prestazione lavorativa viene eseguita, in
parte all’interno di locali aziendali e in parte all’esterno senza una postazione fissa, entro i soli limiti di
durata massima dell’orario di lavoro giornaliero e settimanale, derivanti dalla legge e dalla contrattazione
collettiva. Secondo l’art. 18 co.2 della suddetta legge, il datore di lavoro è inoltre responsabile del buon
funzionamento e della sicurezza degli strumenti tecnologici assegnati al lavoratore per adempiere alla
prestazione lavorativa. Da un punto di vista prettamente giuslavoristico, è importante sottolineare come gli obblighi della prestazione lavorativa previsti dall’art. 2104 e 2105 del Codice Civile, della contrattazione collettiva e da possibili regolamenti aziendali non vengono meno, ma sono integrati con le disposizioni specifiche previste dalla normativa sul lavoro agile.
Smart working e privacy
L’art. 21 della l. 81/2017 specifica che l’accordo di lavoro sulle modalità agili disciplina la modalità del
potere di controllo del datore di lavoro sulla prestazione lavorativa nel rispetto di quanto previsto dall’art. 4
della l. 300/1970: il datore deve indicare chiaramente le corrette modalità di utilizzo degli strumenti
informatici nonché con quale assiduità vengano effettuati i controlli e su quale base giuridica, nel rispetto
del principio di liceità previsto dalla normativa privacy. In aggiunta, il Protocollo Nazionale sul Lavoro in
Modalità agile nel settore privato (accordo raggiunto tra le Parti sociali presso il Ministero del Lavoro e
delle Politiche sociali, in data 7 Dicembre 2021) specifica, all’art. 5, che al lavoratore verrà messa a
disposizione la strumentazione tecnologica e informatica necessaria per il corretto svolgimento dell’attività
lavorativa e, in caso di furto o smarrimento dell’attrezzatura, sarà necessario attivare la procedura prevista
per i data breach ex art. 33 (notifica al Garante) ed eventualmente la comunicazione all’interessato prevista
dall’art. 34 del GDPR. Inoltre, l’art. 12 aggiunge che il datore di lavoro deve adottare tutte le misure
tecnico-organizzative adeguate a garantire la protezione dei dati personali dei lavoratori in modalità agile e
dei dati trattati da questi ultimi, e il lavoratore sarà tenuto alla stretta riservatezza dei dati aziendali
presenti sui dispositivi. Il Protocollo Nazionale consiglia l’adozione di misure di sicurezza a protezione dei
dati, quali la crittografia e l’utilizzo di VPN. Il Garante inoltre, nell’Allegato 1 al Provvedimento n. 467 del
2018, ha stilato un elenco di trattamenti che prevedono obbligatoriamente l’esecuzione di una DPIA, tra i quali rientra il trattamento effettuato mediante sistemi tecnologici dai quali derivi un controllo a distanza dei lavoratori.
Estremamente importante e spesso sottovalutata, la formazione dei dipendenti in lavoro agile (e non)
relativamente alla custodia e protezione degli strumenti di lavoro affidati, onde evitare la perdita
dell’integrità e della riservatezza del dato. Come adempimento essenziale ed aggiuntivo Il datore di lavoro
sarà tenuto a informare il lavoratore agile in merito ai trattamenti dei dati personali che lo riguardano,
anche nel rispetto di quanto disposto dall’art. 4 Statuto dei Lavoratori.
Questi due punti troveranno la loro collocazione nell’informativa privacy destinata al dipendente, nella quale dovranno essere esemplificate le modalità di trattamento e la forma dei controlli nel rispetto dell’art. 13.
Dunque, l’utilizzo della modalità del lavoro in forma agile, per quanto possa venire incontro alle esigenze
del dipendente, pone in evidenza determinati aspetti da tenere in stretta considerazione:
- la prima questione è data dal fatto che, il lavoratore, nell’utilizzare la strumentazione messa a disposizione possa non rispettare le misure tecniche stabilite dal datore con il rischio di arrivare a un data breach, oltre violare princìpi fondamentali di liceità e correttezza del trattamento stabilite dal datore;
- la seconda questione, di particolare importanza, riguarda il rischio di un controllo a distanza per mezzo di dispositivi installati sul device del lavoratore.
Controllo dei lavoratori e strumenti aziendali
A seguito delle modifiche apportate alla l. 20 maggio 1970, n. 300 dall’art. 23 del d. lgs. 14 settembre 2015,
n. 151, il datore di lavoro può impiegare strumenti tecnologici nell’ambiente lavorativo soltanto per
perseguire le legittime finalità tassativamente indicate dal legislatore (“organizzative e produttive”, “di
sicurezza del lavoro” e “di tutela del patrimonio aziendale”). Va da sé che, il datore, nel ricercare di
raggiungere la massima sicurezza aziendale, potrebbe incidentalmente controllare anche l’operato del
dipendente, risultando ciò in un controllo indiretto che rischia di assurgere alla preterintenzionalità. L’art. 4
dello Statuto dei Lavoratori è richiamato dall’art. 21 della legge 81 del 2017, dove è indicato che il datore
deve sottolineare le corrette modalità di utilizzo di questi strumenti aziendali e come e in quale misura
verranno effettuati i controlli.
Strumenti di lavoro sui quali potrebbe aversi un rischioso controllo datoriale, dovuto a un illecito focus
sull’esatto adempimento del lavoratore (e dunque vietato come stabilito dalla sentenza della Corte di
Cassazione con la sentenza 12 novembre 2021, n. 34092, che distingue i controlli in senso lato, ossia volti a
controllare il patrimonio aziendale e quindi riferibili ai dipendenti in generale, che devono seguire la
disciplina prevista dall’art.4, da quelli in senso stretto, volti ad accertare comportamenti illeciti riferibili al
singolo dipendente: questi ultimi controlli, anche se effettuati per mezzo di controlli tecnologici, esulano
dal perimetro dell’art. 4, in quanto effettuati ex post perché raccolti dopo l’insorgenza del sospetto di
commissione di illeciti) relativamente al lavoro agile, consistono, ad esempio nella geolocalizzazione: come
più volte ribadito dal Garante, i dati raccolti durante le trasferte, distacchi e lavoro a distanza possono
comportare un rischio di controllo di quelle che sono le abitudini dei lavoratori, nonostante nascano per
finalità organizzative.
Un altro esempio sono le pronunce del Garante in tema di log o metadati della posta elettronica usata in
contesti lavorativi (in modalità agile e non), che possono essere considerati come le informazioni registrate
nei log generati dai sistemi server di gestione e smistamento della posta elettronica e dalle postazioni
nell’interazione che avviene tra i diversi server interagenti. Il provvedimento 364 del 2024 (Programmi e
servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati)
stabilisce che il datore di lavoro, prima di iniziare il trattamento in ambito del rapporto di lavoro per mezzo
di strumenti tecnologici, verifichi l’esistenza di un idoneo presupposto di liceità ex art. 5 par.1 lett. a) ed ex
art. 6, oltre che il rispetto dell’art. 88 par. 2 GDPR: dunque può trattare i dati personali dei lavoratori anche relativi a categorie particolari di dati previsti dall’art. 9 del Regolamento, se il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4; 88 par. 2 del Regolamento. Nello specifico, i metadati della posta elettronica, trattandosi di una forma di corrispondenza, sono assistiti da garanzie di segretezza costituzionale ex art. 2 e 15 Cost., intese a tutelare la dignità della persona e la riservatezza, oltre che
strumenti che possono essere oggetto di ulteriore elaborazione automatica da parte del datore, dalla quale
può scaturire una forma di controllo indiretta ex co.1 art. 4 della l.300/1970.
Dunque richiedono l’espletamento della procedura presso le RSA o RSU aziendali e, in assenza, dell’Ispettorato del lavoro, oltre che il rispetto degli obblighi di trasparenza ex art. 5 par. 1 e art. 13 del Regolamento.
Il co. 2 dell’articolo 4 mette invece in evidenza un’eccezione: se gli strumenti di lavoro sono utilizzati dal
lavoratore per rendere la prestazione lavorativa, intendendosi per tali il semplice adempimento degli
obblighi che discendono dal contratto di lavoro.
Affinché possa essere considerato applicabile il co.2 nel caso di metadati/log di posta elettronica, nell’ottica della finalità di mantenimento delle infrastrutture aziendali di posta elettronica, il Garante ha ritenuto che la conservazione degli stessi non possa superare un periodo di 21 giorni. Perciò la conservazione per un periodo più esteso potrebbe comportare un indebito controllo a distanza del lavoratore con espletamento delle procedure previste dal co.1 dell’art. 4 Lo smart working potrebbe essere ricondotto all’art. 41 della Costituzione sulla libertà organizzativa del datore, essendo finalizzato a un migliore bilanciamento tra le esigenze lavorative e la vita personale, tenendo comunque in considerazione che l’art. 18 co. 3 bis della l. 81/2017 stabilisce che i datori sono comunque tenuti a riconoscere la priorità per la concessione del lavoro agile a determinate categorie di lavoratori, quali lavoratrici e lavoratori con figli fino a dodici anni di età o senza alcun limite di età nel caso di figli in condizioni di disabilità, o lavoratori loro stessi disabili o che siano caregivers.
In conclusione, il lavoro agile deve potersi ritenere una facilitazione per la vita del lavoratore, ma non deve
diventare una giustificazione per controlli massivi o occulti, come ribadito dal Garante della Privacy.
Dott.ssa Priscilla Pellini – DPO e Consulente Privacy sede di Milano
Lo smart working (o lavoro agile) si è diffuso sempre di più negli ultimi anni come una delle modalità piùutilizzate dai datori per venire incontro alle esigenze lavorative dei dipendenti. Ma, per quanto possa essereconsiderato un’alternativa alla presenza in ufficio dei lavoratori, un utilizzo non controllato di questa formadi prestazione lavorativa può comportare, tra le tante conseguenze, anche un utilizzo incontrollato dei dati.
Cos’è lo smart working?
Lo smart working è definito come una modalità di esecuzione della prestazione di lavoro introdotta al fine
di incrementare la competitività e di agevolare la conciliazione dei tempi di vita e lavoro.
La normativa di riferimento è la legge 22 Maggio 2017, n. 81 (articoli 18-24), come da ultimo modificata
dalla Legge 4 agosto 2022, n. 122 che ha convertito con modificazioni il D.L. 21 giugno 2022, n. 73, c.d.
Decreto Semplificazioni. Secondo la legge n.81 del 2017 il lavoro agile si svolge con il possibile utilizzo di
strumenti tecnologici per lo svolgimento dell’attività lavorativa. La prestazione lavorativa viene eseguita, in
parte all’interno di locali aziendali e in parte all’esterno senza una postazione fissa, entro i soli limiti di
durata massima dell’orario di lavoro giornaliero e settimanale, derivanti dalla legge e dalla contrattazione
collettiva. Secondo l’art. 18 co.2 della suddetta legge, il datore di lavoro è inoltre responsabile del buon
funzionamento e della sicurezza degli strumenti tecnologici assegnati al lavoratore per adempiere alla
prestazione lavorativa. Da un punto di vista prettamente giuslavoristico, è importante sottolineare come gli obblighi della
prestazione lavorativa previsti dall’art. 2104 e 2105 del Codice Civile, della contrattazione collettiva e da
possibili regolamenti aziendali non vengono meno, ma sono integrati con le disposizioni specifiche previste
dalla normativa sul lavoro agile.
Smart working e privacy
L’art. 21 della l. 81/2017 specifica che l’accordo di lavoro sulle modalità agili disciplina la modalità del
potere di controllo del datore di lavoro sulla prestazione lavorativa nel rispetto di quanto previsto dall’art. 4
della l. 300/1970: il datore deve indicare chiaramente le corrette modalità di utilizzo degli strumenti
informatici nonché con quale assiduità vengano effettuati i controlli e su quale base giuridica, nel rispetto
del principio di liceità previsto dalla normativa privacy. In aggiunta, il Protocollo Nazionale sul Lavoro in
Modalità agile nel settore privato (accordo raggiunto tra le Parti sociali presso il Ministero del Lavoro e
delle Politiche sociali, in data 7 Dicembre 2021) specifica, all’art. 5, che al lavoratore verrà messa a
disposizione la strumentazione tecnologica e informatica necessaria per il corretto svolgimento dell’attività
lavorativa e, in caso di furto o smarrimento dell’attrezzatura, sarà necessario attivare la procedura prevista
per i data breach ex art. 33 (notifica al Garante) ed eventualmente la comunicazione all’interessato prevista
dall’art. 34 del GDPR. Inoltre, l’art. 12 aggiunge che il datore di lavoro deve adottare tutte le misure
tecnico-organizzative adeguate a garantire la protezione dei dati personali dei lavoratori in modalità agile e
dei dati trattati da questi ultimi, e il lavoratore sarà tenuto alla stretta riservatezza dei dati aziendali
presenti sui dispositivi. Il Protocollo Nazionale consiglia l’adozione di misure di sicurezza a protezione dei
dati, quali la crittografia e l’utilizzo di VPN. Il Garante inoltre, nell’Allegato 1 al Provvedimento n. 467 del
2018, ha stilato un elenco di trattamenti che prevedono obbligatoriamente l’esecuzione di una DPIA, tra i quali rientra il trattamento effettuato mediante sistemi tecnologici dai quali derivi un controllo a distanza dei lavoratori.
Estremamente importante e spesso sottovalutata, la formazione dei dipendenti in lavoro agile (e non)
relativamente alla custodia e protezione degli strumenti di lavoro affidati, onde evitare la perdita
dell’integrità e della riservatezza del dato. Come adempimento essenziale ed aggiuntivo Il datore di lavoro
sarà tenuto a informare il lavoratore agile in merito ai trattamenti dei dati personali che lo riguardano,
anche nel rispetto di quanto disposto dall’art. 4 Statuto dei Lavoratori.
Questi due punti troveranno la loro collocazione nell’informativa privacy destinata al dipendente, nella quale dovranno essere esemplificate le modalità di trattamento e la forma dei controlli nel rispetto dell’art. 13.
Dunque, l’utilizzo della modalità del lavoro in forma agile, per quanto possa venire incontro alle esigenze
del dipendente, pone in evidenza determinati aspetti da tenere in stretta considerazione:
la prima questione è data dal fatto che, il lavoratore, nell’utilizzare la strumentazione messa a disposizione possa
non rispettare le misure tecniche stabilite dal datore con il rischio di arrivare a un data breach, oltre violare
princìpi fondamentali di liceità e correttezza del trattamento stabilite dal datore;
la seconda questione, di particolare importanza, riguarda il rischio di un controllo a distanza per mezzo di dispositivi installati sul
device del lavoratore.
Controllo dei lavoratori e strumenti aziendali
A seguito delle modifiche apportate alla l. 20 maggio 1970, n. 300 dall’art. 23 del d. lgs. 14 settembre 2015,
n. 151, il datore di lavoro può impiegare strumenti tecnologici nell’ambiente lavorativo soltanto per
perseguire le legittime finalità tassativamente indicate dal legislatore (“organizzative e produttive”, “di
sicurezza del lavoro” e “di tutela del patrimonio aziendale”). Va da sé che, il datore, nel ricercare di
raggiungere la massima sicurezza aziendale, potrebbe incidentalmente controllare anche l’operato del
dipendente, risultando ciò in un controllo indiretto che rischia di assurgere alla preterintenzionalità. L’art. 4
dello Statuto dei Lavoratori è richiamato dall’art. 21 della legge 81 del 2017, dove è indicato che il datore
deve sottolineare le corrette modalità di utilizzo di questi strumenti aziendali e come e in quale misura
verranno effettuati i controlli.
Strumenti di lavoro sui quali potrebbe aversi un rischioso controllo datoriale, dovuto a un illecito focus
sull’esatto adempimento del lavoratore (e dunque vietato come stabilito dalla sentenza della Corte di
Cassazione con la sentenza 12 novembre 2021, n. 34092, che distingue i controlli in senso lato, ossia volti a
controllare il patrimonio aziendale e quindi riferibili ai dipendenti in generale, che devono seguire la
disciplina prevista dall’art.4, da quelli in senso stretto, volti ad accertare comportamenti illeciti riferibili al
singolo dipendente: questi ultimi controlli, anche se effettuati per mezzo di controlli tecnologici, esulano
dal perimetro dell’art. 4, in quanto effettuati ex post perché raccolti dopo l’insorgenza del sospetto di
commissione di illeciti) relativamente al lavoro agile, consistono, ad esempio nella geolocalizzazione: come
più volte ribadito dal Garante, i dati raccolti durante le trasferte, distacchi e lavoro a distanza possono
comportare un rischio di controllo di quelle che sono le abitudini dei lavoratori, nonostante nascano per
finalità organizzative.
Un altro esempio sono le pronunce del Garante in tema di log o metadati della posta elettronica usata in
contesti lavorativi (in modalità agile e non), che possono essere considerati come le informazioni registrate
nei log generati dai sistemi server di gestione e smistamento della posta elettronica e dalle postazioni
nell’interazione che avviene tra i diversi server interagenti. Il provvedimento 364 del 2024 (Programmi e
servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati)
stabilisce che il datore di lavoro, prima di iniziare il trattamento in ambito del rapporto di lavoro per mezzo
di strumenti tecnologici, verifichi l’esistenza di un idoneo presupposto di liceità ex art. 5 par.1 lett. a) ed ex
art. 6, oltre che il rispetto dell’art. 88 par. 2 GDPR: dunque può trattare i dati personali dei lavoratori anche relativi a categorie particolari di dati previsti dall’art. 9 del Regolamento, se il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4; 88 par. 2 del Regolamento. Nello specifico, i metadati della posta elettronica, trattandosi di una forma di corrispondenza, sono assistiti da garanzie di segretezza costituzionale ex art. 2 e 15 Cost., intese a tutelare la dignità della persona e la riservatezza, oltre che
strumenti che possono essere oggetto di ulteriore elaborazione automatica da parte del datore, dalla quale
può scaturire una forma di controllo indiretta ex co.1 art. 4 della l.300/1970.
Dunque richiedono l’espletamento della procedura presso le RSA o RSU aziendali e, in assenza, dell’Ispettorato del lavoro, oltre
che il rispetto degli obblighi di trasparenza ex art. 5 par. 1 e art. 13 del Regolamento.
Il co. 2 dell’articolo 4 mette invece in evidenza un’eccezione: se gli strumenti di lavoro sono utilizzati dal
lavoratore per rendere la prestazione lavorativa, intendendosi per tali il semplice adempimento degli
obblighi che discendono dal contratto di lavoro.
Affinché possa essere considerato applicabile il co.2 nel caso di metadati/log di posta elettronica, nell’ottica della finalità di mantenimento delle infrastrutture aziendali di posta elettronica, il Garante ha ritenuto che la conservazione degli stessi non possa superare un periodo di 21 giorni. Perciò la conservazione per un periodo più esteso potrebbe comportare un indebito
controllo a distanza del lavoratore con espletamento delle procedure previste dal co.1 dell’art. 4
Lo smart working potrebbe essere ricondotto all’art. 41 della Costituzione sulla libertà organizzativa del
datore, essendo finalizzato a un migliore bilanciamento tra le esigenze lavorative e la vita personale,
tenendo comunque in considerazione che l’art. 18 co. 3 bis della l. 81/2017 stabilisce che i datori sono
comunque tenuti a riconoscere la priorità per la concessione del lavoro agile a determinate categorie di
lavoratori, quali lavoratrici e lavoratori con figli fino a dodici anni di età o senza alcun limite di età nel caso
di figli in condizioni di disabilità, o lavoratori loro stessi disabili o che siano caregivers.
In conclusione, il lavoro agile deve potersi ritenere una facilitazione per la vita del lavoratore, ma non deve
diventare una giustificazione per controlli massivi o occulti, come ribadito dal Garante della Privacy.
Dott.ssa Priscilla Pellini – DPO e Consulente Privacy sede di Milano
