Privacy dei lavoratori, il controllo è lecito solo se resta proporzionato

Il Garante sloveno interviene su due strumenti di controllo diffusi anche in Italia — localizzatori indossabili e investigatori privati per le assenze per malattia — fissando paletti che ricalcano, con qualche differenza interessante, la disciplina italiana su controlli a distanza e visite fiscali.

Negli ultimi mesi l’Information Commissioner sloveno si è pronunciato su due strumenti di controllo datoriale che pongono lo stesso interrogativo di fondo: quanto può estendersi il potere di controllo del datore prima di violare la sfera privata del dipendente? I due casi offrono l’occasione per rileggere la disciplina italiana su controlli a distanza e visite fiscali, esposta agli stessi dilemmi che si ripropongono, con nomi diversi, in tutta Europa.

Il chip nella tuta

In Slovenia, un’azienda aveva chiesto un parere sulla possibilità di dotare gli operai di indumenti da lavoro con microchip di localizzazione, per finalità di salute e sicurezza. Il nodo non era la finalità in sé, ma un dettaglio organizzativo tutt’altro che marginale: se l’indumento viene portato a casa, il tracciamento continua a funzionare anche fuori dall’orario di lavoro, senza che il dipendente possa disattivarlo.

Il Garante sloveno ha richiamato tre principi, applicabili a qualsiasi dispositivo di localizzazione — veicoli, attrezzature o indumenti indossati direttamente dalla persona:

• la finalità dichiarata non basta: la sicurezza sul lavoro è un obiettivo legittimo, ma la localizzazione non può trasformarsi, di fatto, in una sorveglianza sistematica dei movimenti del lavoratore;
• il test di proporzionalità deve includere le alternative meno invasive, come dispositivi che si disattivano automaticamente al termine del turno;
• il perimetro temporale è un requisito autonomo: un trattamento proporzionato durante l’orario di lavoro non lo è automaticamente anche fuori da esso. Un dispositivo che resta attivo quando l’indumento è a casa sposta il trattamento dalla sfera professionale a quella privata, cambiandone la base di legittimità.

Il detective e i limiti al controllo della malattia

Il secondo caso, più delicato perché coinvolge dati sanitari, riguarda un dipendente visitato a casa da un investigatore privato incaricato di verificare un sospetto abuso del congedo per malattia. Il detective ha chiesto informazioni sulla terapia in corso, sulla durata prevista dell’assenza e sulle prescrizioni del medico, senza identificarsi, senza esibire un’autorizzazione scritta e senza rivelare l’azienda per cui agiva.

Il Garante sloveno non ha escluso in principio il ricorso a investigatori privati, ma ha tracciato un perimetro molto stretto:

• si possono raccogliere solo dati necessari e proporzionati, riferiti al comportamento osservabile del lavoratore, non ai dettagli di diagnosi o terapia, che restano dati sanitari fuori dalla sua competenza;
• vanno rispettati gli obblighi di trasparenza del GDPR: chi controlla deve identificarsi e indicare per conto di chi agisce. L’anonimato del controllore è stato considerato un possibile indice di violazione, da accertare comunque in un procedimento formale;
• l’incarico deve avere una base scritta e documentata, definita prima dell’avvio dell’attività, non come giustificazione a posteriori.

Il parallelo italiano

Entrambi i casi sloveni richiamano tensioni già presenti nel nostro ordinamento, incanalate in istituti diversi.

Sulla localizzazione, l’articolo 4 dello Statuto dei Lavoratori subordina l’installazione di strumenti da cui derivi anche indirettamente un controllo a distanza a un accordo sindacale o, in mancanza, all’autorizzazione dell’Ispettorato del Lavoro. Il Garante italiano, sui sistemi di geolocalizzazione di veicoli e dispositivi aziendali, richiede da tempo la disattivazione fuori dall’orario di lavoro: un principio che il caso sloveno applica, con la stessa logica, a un oggetto meno consueto, l’indumento da lavoro, dimostrando che la “disattivabili fuori orario” non dipende dalla natura del dispositivo ma dalla sua capacità di produrre un tracciamento continuativo della persona.

Sul controllo delle assenze, l’ordinamento italiano conosce la visita fiscale (art. 5, L. 300/1970), affidata in via esclusiva ai medici dell’INPS: il datore non può disporre autonomamente accertamenti sanitari, ma solo richiederli all’Istituto.

Il ricorso a investigatori privati, diffuso nella prassi per verificare comportamenti — non condizioni di salute — incompatibili con la malattia dichiarata, si muove su un terreno diverso: la giurisprudenza ammette i controlli difensivi in senso stretto, mirati ad accertare condotte illecite sulla base di un fondato sospetto già maturato, ma esclude che questo margine si estenda alla raccolta di informazioni sanitarie di dettaglio, presidiate dalle garanzie rafforzate dell’art. 9 GDPR e dell’art. 2-septies del Codice Privacy.

Il caso sloveno non introduce quindi un principio ignoto al nostro sistema, ma ne offre un’applicazione concreta a un eccesso — l’investigatore che entra nel merito della terapia — che rappresenta esattamente ciò che i controlli difensivi non possono legittimare.

Vademecum per i datori di lavoro italiani

• Mappare la persistenza del trattamento fuori dall’orario: qualsiasi dispositivo di localizzazione deve disattivarsi al termine del turno, specie se portabile fuori dai locali aziendali.
• Documentare il test di proporzionalità prima dell’introduzione dello strumento, indicando le alternative meno invasive valutate.
• Verificare l’accordo sindacale o l’autorizzazione dell’Ispettorato del Lavoro ex art. 4 Statuto dei Lavoratori prima di attivare strumenti di controllo a distanza.
• Formalizzare per iscritto l’incarico a investigatori privati, definendo perimetro, finalità e base giuridica prima dell’inizio dell’attività.
• Istruire il personale investigativo esterno sui limiti oggettivi: nessuna domanda su diagnosi o terapia, prerogativa esclusiva degli’accertamenti INPS.
• Assicurare tracciabilità e trasparenza del controllo, anche quando svolto da soggetti esterni identificabili su richiesta.

La lezione, per il chip come per il detective, è la stessa: la legittimità di un controllo datoriale non si misura sull’obiettivo dichiarato, ma sulla capacità dello strumento di restare entro quei confini — nel tempo, nello spazio, nel tipo di dati raccolti. Un principio che l’Italia conosce da decenni, ma che ogni nuova tecnologia di controllo costringe a riscrivere.