Posta elettronica controllata solo se c’è la policy

La posizione della Corte di Cassazione
Sembra ormai consolidarsi la giurisprudenza in merito alla legittimità dell’accesso da parte di superiori e datori di lavori, alla posta elettronica in uso dei dipendenti.
Pochi giorni fa la Corte di Cassazione si è pronunciata in merito all’assoluzione di un dirigente di una azienda denunciato da una dipendente per aver abusivamente acceduto alla propria casella, stabilendo che i pc assegnati ai dipendenti al fine di svolgere le attività aziendali, devono avere come unica destinazione di utilizzo, proprio le attività aziendali, e dando pertanto come legittimo l’eventuale accesso che un superiore intenda effettuare qualora necessiti di informazioni o documenti residenti sul pc assegnato al dipendente.

La decisione della V Sezione della Corte di Cassazione ha sottolineato la rilevanza di un apposito accordo aziendale sottoscritto anche dalla dipendente che aveva presentato la denuncia; in sostanza, partendo dall’assunto che la strumentazione aziendale non è di esclusivo dominio del dipendente, ma rientra tra i beni a cui determinati soggetti in azienda possono comunque sempre accedere, la Corte ha sembrato sottolineare come una policy aziendale interna sia l’idonea pezza di appoggio per evitare di incorrere in condotte penalmente rilevanti. Questo orientamento ormai non conosce più smentite in alcuna sede giudiziaria. Stupisce che vi siano ancora persone che in pendenza del rapporto lavorativo, gestiscano documenti, pc e posta elettronica come se fossero di loro proprietà. E stupisce che l’adozione di una policy informatica aziendale sia una realtà solo per una piccola percentuale di aziende.

L’intervento del Garante
Qualche mese fa è dovuta addirittura intervenire l’Autorità Garante in materia di protezione di dati personali, emanando delle linee guida proprio in ordine alla necessità di un regolamento disciplinante l’utilizzo di pc, posta elettronica ed internet. Appaiono ormai certi taluni principi nell’ambito della gestione delle risorse informatiche poste a disposizione del dipendente per svolgere il proprio lavoro: anzitutto se le risorse non possono trovare altra destinazione che quella dell’uso aziendale, è anche vero che l’azienda che intenda potervi liberamente accedere, deve preventivamente ed in trasparenza, rendere note le condizioni di utilizzo ai propri dipendenti.

Questo non si deve tradurre in una semplice e blanda circolare da pubblicare in una bacheca aziendale o da inviare via mail, bensì vi sono delle procedure standard da seguire a pena di veder nulle le comunicazioni effettuate.

Si pensi ad esempio che molte policy aziendali non indicano in quale misura è consentito al dipendente utilizzare anche per ragioni personali servizi di posta elettronica o di rete, e se solo da determinate postazioni di lavoro o caselle; come del resto sono rare le indicazioni circa quali informazioni sono memorizzate temporaneamente (come i file di log) e chi vi può accedere legittimamente; ed infine, come prevede espressamente l’Autorità Garante, è raro rintracciare nelle policy passaggi relativi al se, e in quale misura, il datore di lavoro si riserva di effettuare controlli in conformità alla legge, anche saltuari o occasionali, indicando le ragioni legittime – ovviamente specifiche e non generiche – per cui verrebbero effettuati e le relative modalità.

I reati configurabili in assenza di policy
A fronte della precisazione della Cassazione che sembra voler fondare la propria pronuncia proprio sulla sussistenza del regolamento e dell’autorizzazione della dipendente a rendere disponibile la propria password, non si può tralasciare che in caso di assenza del suddetto regolamento, il dirigente indagato, avrebbe probabilmente avuto ben altra pronuncia dalla Corte di Cassazione.

Difatti, accedendo alla posta elettronica di un dipendente nell’ipotesi in cui il datore di lavoro abbia tralasciato superficialmente di predisporre una policy idonea, quest’ultimo o i dirigenti in sua vece, rischiano di incorrere nei reati di violazione della corrispondenza (potendosi considerare tale la posta elettronica) e trattamento illecito dei dati(ovvero violazione della privacy qualora durante l’accesso alla posta elettronica siano apprese informazioni cui non datore di lavoro o dirigenti non siano autorizzati). A questi potrebbe addirittura aggiungersi il reato di accesso abusivo al pc, qualora la gestione della password sia fatta in totale autonomia dal dipendente.

In conclusione è inutile negare l’essenzialità di uno strumento ormai molto prezioso nella crescita e nello sviluppo di una azienda, uno strumento che certamente dovrà evolversi con l’evolversi delle necessità delle parti coinvolte, e che consenta a datore di lavoro e dipendenti, di condividere le risorse in un clima non di sospetto ma di totale trasparenza.