Antivirus, filtri per la navigazione, sistemi contro la fuoriuscita di dati e registrazioni delle telefonate del customer care sono strumenti ormai diffusi nelle aziende. Nati per proteggere informazioni, patrimonio e qualità del servizio, possono però consentire di ricostruire attività, tempi e modalità operative dei dipendenti. Il loro impiego deve quindi rispettare le regole sul controllo a distanza e sulla protezione dei dati personali.
Lo Statuto dei lavoratori, all’articolo 4 della legge 300/1970, vieta gli strumenti installati con il solo scopo di osservare l’attività del personale. Sono invece ammessi i sistemi introdotti per esigenze organizzative e produttive, per la sicurezza o per la tutela del patrimonio, anche quando producono un controllo indiretto sul lavoratore. In questi casi è necessario un accordo preventivo con le rappresentanze sindacali oppure, se queste mancano, l’autorizzazione dell’Ispettorato del lavoro.
Quando serve l’autorizzazione
Il via libera non è richiesto per gli strumenti indispensabili allo svolgimento della mansione e per quelli destinati a rilevare accessi e presenze. L’eccezione, tuttavia, è interpretata in modo restrittivo da giudici e Garante privacy. Ogni soluzione deve essere valutata nelle sue singole componenti, tra hardware, software e applicativi, per verificare se consenta forme di controllo. Il Tribunale di Venezia, con la sentenza n. 601 del 27 ottobre 2022, ha richiamato proprio questa necessità.
Non sono considerati semplici strumenti di lavoro i programmi che operano in background senza che il dipendente ne sia consapevole o quelli che permettono all’azienda di svolgere elaborazioni ulteriori non disattivabili dal lavoratore. È inoltre vietato il monitoraggio continuo e sistematico del personale. L’AI Act esclude anche i software che rilevano emozioni, stato d’animo o livello di stress attraverso, per esempio, l’analisi dei messaggi scambiati sulle piattaforme aziendali.
Particolare attenzione riguarda la posta elettronica. Le comunicazioni inviate da account personali, anche se conservate sui server dell’impresa, possono essere utilizzate solo per finalità legittime e proporzionate, dopo un’informazione dettagliata sulle modalità di controllo. La consultazione è possibile nell’ambito dei cosiddetti controlli difensivi, ma soltanto in presenza di sospetti concreti di condotte dannose. La verifica deve essere successiva, circoscritta e proporzionata.
È stata ritenuta legittima, per esempio, una ricerca limitata a parole chiave, affidata a poche persone autorizzate e fondata su una policy conosciuta dal lavoratore. Restano invece esclusi i controlli generalizzati sull’intera casella. La Cassazione, con la sentenza n. 24204 del 29 agosto 2025, ha ribadito la particolare tutela riconosciuta alla riservatezza della corrispondenza.
Il ruolo dell’intelligenza artificiale
Un singolo applicativo può restituire dati isolati, come una segnalazione, un accesso o una chiamata. Un sistema di intelligenza artificiale può però collegare queste informazioni e costruire profili di comportamento, trasformando controlli occasionali in un monitoraggio permanente. Per questo l’AI Act considera ad alto rischio i sistemi destinati a monitorare e valutare i lavoratori.
Il decreto Trasparenza impone di informare i dipendenti sull’uso di sistemi automatizzati. Inoltre, una decisione definitiva sul rapporto di lavoro non può essere affidata esclusivamente alla macchina: è necessario mantenere un intervento umano. Per le aziende, la verifica operativa consiste nel valutare ogni funzione dei software, disattivare quelle che consentono un controllo diretto, ottenere gli eventuali accordi o autorizzazioni prima dell’installazione e fornire un’informativa chiara. I dati devono essere limitati a quanto necessario per gli scopi dichiarati e, senza informativa, non possono essere utilizzati neppure a fini disciplinari.
