Monitoraggio della posta elettronica da parte del datore di lavoro: quando può leggere le tue email?

Sì, nei Paesi Bassi il tuo datore di lavoro può leggere le tue email di lavoro, ma solo entro limiti ben definiti e mai semplicemente perché l'azienda è proprietaria della casella di posta. La lettura del contenuto deve sempre avere una giustificazione: un interesse legittimo ai sensi del GDPR, una ricerca necessaria e proporzionata, una politica aziendale scritta di cui eri a conoscenza in anticipo e, laddove esista un consiglio di fabbrica, il suo previo consenso al monitoraggio.

La posta elettronica aziendale è un sistema aziendale, quindi è il datore di lavoro a stabilirne le regole d'uso. Di seguito spieghiamo quando leggere le proprie email è lecito, quali sono i limiti e cosa si può fare se il datore di lavoro ha oltrepassato i limiti.

Il mio datore di lavoro può leggere le mie email?

Sì, per una specifica ragione aziendale e solo nella misura in cui tale ragione lo richiede. Si applicano contemporaneamente due insiemi di norme: la legislazione olandese in materia di lavoro e il GDPR.

Ai sensi dell'articolo 7:660 del Codice civile olandese ( Burgerlijk Wetboek , BW), il datore di lavoro può fornire istruzioni sull'utilizzo delle attrezzature aziendali e verificare che vengano rispettate. In base al Regolamento generale sulla protezione dei dati (GDPR, in olandese AVG ), il contenuto della casella di posta elettronica e i relativi dati di traffico costituiscono dati personali, pertanto ogni verifica necessita di una base giuridica. L'Autorità olandese per la protezione dei dati ( Autoriteit Persoonsgegevens , AP) vigila su questo secondo livello.

L'accesso tecnico non equivale a un'autorizzazione. Un amministratore di sistema può quasi sempre aprire una casella di posta elettronica o ripristinare un messaggio cancellato, ma la possibilità per il datore di lavoro di farlo è regolata dal GDPR e dal dovere di agire come un buon datore di lavoro ( goed werkgeverschap , articolo 7:611 BW). Più grave è l'intrusione, più forte deve essere la motivazione: il filtraggio automatico di spam e malware è facile da giustificare, ma non lo è la lettura da parte di un manager di mesi di corrispondenza di un collega.

Su quale base giuridica il tuo datore di lavoro può monitorarti?

Quasi sempre sulla base di un interesse legittimo ai sensi dell'articolo 6, paragrafo 1, lettera f) del GDPR, e non sul tuo consenso. Il consenso ai sensi dell'articolo 6, paragrafo 1, lettera a) del GDPR è raramente dato liberamente in un rapporto di lavoro.

L'interesse legittimo richiede tre elementi, valutati e registrati prima dell'apertura della casella di posta: un interesse reale e attuale, un trattamento necessario per soddisfarlo e un bilanciamento con i diritti del dipendente che risulti favorevole al datore di lavoro. Gli interessi che reggono sono concreti: un incidente di sicurezza, una sospetta fuga di segreti commerciali, una sospetta frode o un obbligo di indagine imposto da un'autorità di controllo. Un generico desiderio di vedere quanto si impegnano le persone non regge.

I principi dell'articolo 5 del GDPR si applicano integralmente. Il materiale rinvenuto durante l'indagine su una fuga di dati non può essere riutilizzato come file di performance, le ricerche devono essere limitate a quanto necessario e l'esportazione della casella di posta deve essere eliminata una volta conclusa l'indagine e qualsiasi procedura. Per un monitoraggio sistematico ed esteso, è richiesta una valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'articolo 35 del GDPR. Una clausola nel contratto che autorizza il monitoraggio dimostra che siete stati informati, ma non sostituisce il bilanciamento degli interessi o il consenso del consiglio di fabbrica. La nostra panoramica sulla posta elettronica e la protezione dei dati ai sensi del GDPR spiega come questi obblighi si integrano.

In che modo la necessità e la proporzionalità limitano una ricerca?

La necessità si chiede se l'obiettivo possa essere raggiunto senza leggere affatto la casella di posta. La proporzionalità si chiede se l'intrusione sia commisurata al problema.

Il principio di sussidiarietà è quello meno invasivo. In caso di sospetta fuga di dati, ciò significa che i metadati vengono prima del contenuto: mittente, destinatario, data e ora e allegati sono spesso sufficienti a confermare o smentire un sospetto. Se un responsabile ha bisogno di un file dalla casella di posta di un collega in congedo per malattia, il collega può inoltrarlo oppure un amministratore può effettuare una ricerca mirata; una casella di posta elettronica durante un periodo di malattia potrebbe contenere dati medici, una categoria particolare ai sensi dell'articolo 9 del GDPR.

Una ricerca proporzionata è limitata in termini di persone, termini di ricerca e tempo: il team interessato, i termini legati al materiale trapelato e un intervallo di settimane intorno all'incidente. Viene condotta da una persona senza interessi personali, come il responsabile della privacy o uno specialista esterno, e tutto viene registrato.

I messaggi privati ​​in una casella di posta aziendale sono protetti?

Sì. L'articolo 8 della Convenzione europea dei diritti dell'uomo (CEDU) tutela anche la vita privata e la corrispondenza sul luogo di lavoro, e i tribunali olandesi lo applicano direttamente.

Nella sentenza Bărbulescu contro Romania (5 settembre 2017), la Grande Camera della Corte europea dei diritti dell'uomo ha indicato i fattori da valutare: se il dipendente fosse stato informato in anticipo, fino a che punto si fosse spinto il monitoraggio, se sussistessero motivi legittimi, se fosse disponibile un metodo meno invasivo, le conseguenze per il dipendente e le garanzie offerte. Quando il datore di lavoro si imbatte in un messaggio palesemente privato, o che rivela informazioni sullo stato di salute, la religione, l'appartenenza sindacale o le opinioni politiche, deve interromperne la lettura e non inserirlo nel fascicolo.

Non utilizzare la corrispondenza personale sul tuo account di lavoro e sposta qualsiasi messaggio personale in arrivo in una cartella con un nome chiaro. Le app di messaggistica sul tuo dispositivo personale modificano ulteriormente l'equilibrio; consulta il nostro articolo per scoprire se il tuo datore di lavoro può leggere i tuoi messaggi WhatsApp.

Perché è necessario il consenso preliminare del consiglio di fabbrica?

Poiché la legge olandese attribuisce al consiglio di fabbrica ( ondernemingsraad ) il diritto di dare il proprio consenso in merito alle modalità di monitoraggio, l'introduzione, la modifica o la revoca di un sistema di monitoraggio di e-mail o internet richiede il suo previo consenso.

L'articolo 27(1)(k) della legge sui consigli di fabbrica ( Wet op de ondernemingsraden , WOR) disciplina il trattamento e la protezione dei dati personali del personale, mentre l'articolo 27(1)(l) disciplina le strutture idonee al controllo delle presenze, della condotta o delle prestazioni. La registrazione delle e-mail, il filtraggio di Internet, la videosorveglianza e i software di produttività rientrano in una o in entrambe le categorie. In assenza di consenso, il consiglio di fabbrica può invocare la nullità della decisione per iscritto entro un mese (articolo 27(5) WOR) e chiedere al tribunale distrettuale ( kantonrechter ) di ordinarne l'adempimento.

Ciò che richiede il consenso è l'organizzazione nel suo complesso, non ogni singola indagine al suo interno. Il consiglio di fabbrica è obbligatorio laddove lavorino almeno 50 persone (articolo 2 WOR); nelle organizzazioni più piccole, i requisiti del GDPR si applicano comunque integralmente.

Cosa deve contenere una politica di monitoraggio conforme alla legge?

Una spiegazione chiara e scritta di cosa viene monitorato, perché e come, fornita prima dell'inizio di qualsiasi monitoraggio. Una clausola generica che afferma che "il datore di lavoro può monitorare le comunicazioni" non è sufficiente.

• le finalità del monitoraggio, descritte in dettaglio;
• cosa viene elaborato e con quali mezzi, incluso se il contenuto è leggibile o se si tratta solo di dati di traffico;
• Chi può autorizzare un'ispezione, chi la effettua e come si applica il principio dei quattro occhi;
• per quanto tempo vengono conservati i dati di monitoraggio e i risultati delle indagini;
• se l'uso privato dei sistemi aziendali sia consentito e entro quali limiti;
• diritti dei dipendenti, compreso l'accesso ai propri dati e il diritto di presentare un reclamo all'AP.

Un datore di lavoro che promette ricerche per parole chiave e poi esporta una casella di posta elettronica piena viola le proprie regole pubblicate. La nostra nota sulla comprensione degli obblighi del datore di lavoro e del dipendente e i nostri approfondimenti più ampi sugli obblighi legali dei datori di lavoro olandesi spiegano come questi documenti interagiscono con il rapporto di lavoro.

Fino a che punto può spingersi il tuo datore di lavoro se sospetta una condotta scorretta?

Solo fino a dove arriva il sospetto documentato. Una decisione scritta all'inizio registra il sospetto, i fatti che lo supportano, lo scopo e perché mezzi più blandi non sono sufficienti; ampliare la ricerca perché la prima non ha dato risultati è una mera battuta di pesca.

Il monitoraggio occulto è giustificabile solo quando informarti ostacolerebbe le indagini, ad esempio perché le prove verrebbero distrutte, e deve essere temporaneo, circoscritto e reso noto solo in seguito. Hai il diritto di essere ascoltato in merito ai risultati prima che vengano tratte delle conclusioni.

Le prove ottenute illegalmente tramite e-mail sono generalmente ammesse nei procedimenti civili olandesi, poiché prevale l'interesse ad accertare la verità. Tuttavia, la violazione non è priva di conseguenze: essa dà diritto a un risarcimento danni, a una denuncia all'Autorità Garante per la Prevenzione del Lavoro (AP) e a una richiesta di equo indennizzo ( billijke vergoeding ) in caso di licenziamento. In un licenziamento sommario ( ontslag op staande voet ), il datore di lavoro deve dimostrare una causa urgente ai sensi dell'articolo 7:678 del Codice Civile olandese (BW) e agire senza indugio, cosa che un'indagine che si protrae per mesi compromette. La nostra guida su come gestire legalmente un licenziamento di un dipendente illustra tale procedura.

Lo stesso vale per l'accesso, la chat, il lavoro da remoto e gli ex dipendenti?

Sì. I registri di navigazione internet, i dati VPN, le piattaforme di chat come Teams o Slack, i permessi di accesso, la gestione dei dispositivi mobili e le dashboard di produttività necessitano tutti di uno scopo specifico, di necessità, di proporzionalità, di trasparenza e, ove applicabile, del consenso del consiglio di fabbrica.

Strumenti di monitoraggio continuo come la registrazione della digitazione, gli screenshot a intervalli regolari e l'obbligo di tenere la webcam accesa per l'intera giornata lavorativa sono estremamente difficili da giustificare; un tribunale olandese ha stabilito che richiedere a un dipendente di tenere la telecamera accesa tutto il giorno costituisce un'inaccettabile intrusione nella vita privata. Il lavoro da casa alza ulteriormente la soglia, poiché la casa è il nucleo della sfera privata ai sensi dell'articolo 8 della CEDU.

Dopo la tua partenza, il tuo datore di lavoro potrebbe non continuare a leggere la tua casella di posta elettronica. L'account dovrebbe essere disattivato tempestivamente, con una risposta automatica che indichi un collega, limitando l'inoltro delle email a un periodo prestabilito e contrassegnando i messaggi personali come inoltrati o eliminati. Mantieni il diritto di accesso e puoi richiedere la cancellazione dei dati non più necessari (articolo 17 del GDPR).

Che cosa dovresti controllare come dipendente?

Se ritieni che il tuo datore di lavoro abbia letto le tue email in modo illecito, inizia con una richiesta di accesso agli atti scritta e conserva una documentazione accurata. Agisci tempestivamente se è in gioco un licenziamento.

• Esisteva una politica di monitoraggio scritta e vi è stata consegnata prima dell'inizio del monitoraggio?
• Se il consiglio di fabbrica abbia dato il suo consenso all'accordo.
• Quali dati sono stati trattati dal tuo datore di lavoro, tramite una richiesta di accesso ai sensi dell'articolo 15 del GDPR, alla quale è necessario rispondere entro un mese.
• Se siano stati letti messaggi privati ​​o dati medici.
• Se la tua voce sia stata ascoltata prima che venissero tratte delle conclusioni.
• I termini da rispettare in caso di licenziamento, ad esempio due mesi per impugnare un licenziamento per giusta causa.

Che cosa dovresti verificare in qualità di datore di lavoro?

Documenta le tue motivazioni prima di aprire una cassetta postale. Un datore di lavoro che non è in grado di ricostruire la propria indagine si trova in una posizione di debolezza di fronte all'Associated Press o a un tribunale.

• Un interesse legittimo registrato e un test di bilanciamento ai sensi dell'articolo 6, paragrafo 1, lettera f) del GDPR.
• Una politica di monitoraggio scritta e comunicata e, ove necessario, una DPIA (Valutazione d'impatto sulla protezione dei dati).
• Previo consenso del consiglio dei lavori ai sensi dell'articolo 27(1)(k) e (l) WOR.
• Una ricerca limitata a persone, termini e periodo di tempo, condotta da una persona indipendente e registrata.
• Una procedura per i messaggi privati ​​e le categorie speciali di dati rinvenuti durante una ricerca.
• Conservazione ed eliminazione dei dati dell'indagine una volta che il caso è stato chiuso.

Cosa possiamo fare per voi con il monitoraggio della posta elettronica sul posto di lavoro?

I nostri avvocati specializzati in diritto del lavoro forniscono consulenza a dipendenti e datori di lavoro in materia di monitoraggio, privacy e controversie relative al licenziamento.

• Redigiamo la tua richiesta di accesso ai sensi dell'articolo 15 del GDPR e valutiamo la risposta del datore di lavoro.
• Valutiamo se l'indagine alla base di un avvertimento, una sospensione o un licenziamento sia stata legittima.
• Ci rivolgiamo al tribunale distrettuale per richiedere un risarcimento danni o un equo indennizzo, oppure per difenderci da tale richiesta.
• Presentiamo un reclamo all'Autoriteit Persoonsgegevens.
• Per i datori di lavoro, redigiamo la politica di monitoraggio e la richiesta di approvazione del consiglio di fabbrica.
• Abbiamo definito il protocollo d'indagine: ambito, termini di ricerca, investigatore indipendente e registrazione dei dati.

Sintesi

• Il tuo datore di lavoro può leggere la tua email di lavoro solo per un interesse aziendale concreto e documentato, e solo nella misura in cui tale interesse si estende (articolo 6, paragrafo 1, lettera f) del GDPR).
• La ricerca deve essere necessaria e proporzionata: prima i metadati, poi il contenuto, limitata a persone, termini di ricerca e periodo di tempo, condotta in modo indipendente e documentata.
• È necessario conoscere in anticipo la politica di monitoraggio e, laddove esista un consiglio di fabbrica, quest'ultimo deve aver dato il proprio consenso all'accordo (articolo 27 WOR).
• Ovviamente, i messaggi privati ​​e le categorie speciali di dati rimangono esclusi dal file, anche durante una perquisizione legittima.
• Se sospetti che il monitoraggio sia andato oltre i limiti consentiti, inizia con una richiesta di accesso ai sensi dell'articolo 15 del GDPR e agisci tempestivamente se è previsto un licenziamento.

Domande frequenti