13 Set La Corte Europea dei Diritti dell’Uomo chiarisce i limiti del controllo delle email aziendali da parte dei datori di lavoro

Background

Lo scorso 5 settembre 2017, la Grande Camera della Corte Europea dei Diritti dell’Uomo (in seguito “Corte EDU” o “la Corte”) ha stabilito che i dipendenti devono essere avvertiti in anticipo in caso di monitoraggio delle loro email aziendali.

Il caso, che ha coinvolto un lavoratore rumeno, Bogdan Barbulescu, risale a dieci anni fa quando quest’ultimo utilizzava un servizio di chat online, Yahoo Messenger, per rispondere alla richieste dei clienti. Durante questo periodo, l’azienda ha monitorato segretamente l’account aziendale del proprio dipendente, accusandolo di aver utilizzato la posta elettronica per scambiare messaggi con i propri familiari e, conseguentemente, lo ha licenziato.

L’uomo è ricorso dapprima ad un Tribunale rumeno, che tuttavia si è pronunciato in suo sfavore.

Il dipendente, che lamentava la violazione dell’articolo 8 della Convenzione Europea dei Diritti dell’Uomo (in seguito, “Art. 8 CEDU”), ha quindi deciso di portare il suo caso dinanzi alla Corte di Strasburgo, che ha inizialmente confermato la decisione in primo grado. L’appello di fronte alla Grande Camera della Corte ha però capovolto il precedente giudizio, riconoscendo il prevalente interesse al rispetto del diritto alla vita ed alla corrispondenza privata del dipendente.

Contesto giuridico e questioni principali

In un precedente analogo, Copland c. Regno Unito, la Corte aveva già riconosciuto la violazione dell’Art. 8 CEDU ma solo perché non vi era alcuna legge nazionale che regolasse il sistema di monitoraggio aziendale dei dipendenti. Nella decisione in esame ha stabilito ulteriori garanzie, imponendo alle aziende di informare i propri lavoratori circa i sistemi di controllo adottati.

La Corte ha richiamato l’importanza dell’Art. 8 CEDU ed ha sottolineato che, nel caso del Sig. Barbulescu, il dipendente non era stato preventivamente informato del fatto che sarebbe stato sottoposto a procedure di monitoraggio ed alla conseguente possibilità di accedere al contenuto dei messaggi da parte del proprio datore di lavoro.

La Corte EDU ha rilevato l’erronea valutazione dei giudici rumeni nell’operare un equo bilanciamento di interessi tra il diritto delle aziende di controllare i propri dipendenti, da un lato, e il diritto dei dipendenti al rispetto della propria vita e corrispondenza privata, dall’altro.

Non vi erano infatti sufficienti ragioni tali da giustificare il controllo delle comunicazioni di un dipendente poiché non c’erano elementi che potevano far ritenere che questi compisse attività illecite idonee a mettere in pericolo l’azienda. Peraltro, nel rispetto del principio di proporzionalità, l’azienda avrebbe potuto utilizzare metodi meno intrusivi.

Implicazioni pratiche

La decisione in questione non significa che alle aziende sia proibito tout-court controllare le comunicazioni dei dipendenti. Al contrario, essa chiarisce che per monitorare le comunicazioni dei dipendenti l’azienda deve:

• Fornire in anticipo un’informativa chiara che precisi le finalità del monitoraggio;
• Definire un’idonea base giuridica che legittimi la procedura di controllo;
• Valutare la proporzionalità e necessità del monitoraggio così come chiarito nel parere n. 2/2017 del WP29 al fine di verificare se con una modalità meno intrusiva si possano conseguire le medesime finalità. Tale ultimo aspetto potrebbe far parte di una Valutazione d’impatto sulla protezione dei dati (DPIA).