Garante Privacy: illegittimo l'uso dei log di sistema per il monitoraggio dei dipendenti

1. Il fatto

   Secondo quanto riferito da testate quali Il Sole 24 Ore e Agenda Digitale, l'Autorità Garante ha concluso un'istruttoria nei confronti di una società tecnologica che impiegava i log di sistema (registrazioni degli accessi ai server, tempi di connessione e utilizzo delle applicazioni) per monitorare capillarmente l'attività dei propri dipendenti. Il procedimento, giunto all'adozione di un provvedimento sanzionatorio definitivo, ha accertato che i dati raccolti per dichiarate esigenze di sicurezza informatica venivano in realtà conservati per tempi eccessivi e incrociati al fine di valutare la rendimento individuale dei lavoratori.

   La società si è difesa argomentando che la raccolta era necessaria alla tutela del patrimonio aziendale e che configurava i cosiddetti controlli difensivi. Ciononostante, l'Autorità ha riscontrato l'assenza della procedura di accordo sindacale e di un'informativa adeguata, dichiarando l'illiceità del trattamento. La vicenda pone in rilievo la problematica del cosiddetto mutamento di finalità: all'azienda è precluso l'uso surrettizio di un presidio tecnico di sicurezza per scopi disciplinari, eludendo le tutele approntate dallo Statuto dei Lavoratori.

2. 

   Le norme in gioco

   Il fulcro della questione risiede nell'articolo 4 della legge 300/1970 (Statuto dei Lavoratori).

   1. Il comma 1 dispone che gli strumenti dai quali derivi la possibilità di controllo a distanza possono essere impiegati esclusivamente per esigenze organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale, previo accordo sindacale o autorizzazione dell'Ispettorato del Lavoro.
   2. Il comma 2 esenta da tale procedura di garanzia gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa, ma la giurisprudenza interpreta restrittivamente tale deroga, escludendone il tracciamento massivo dei log di sistema.
   3. Il comma 3 subordina la garanzia di utilizzabilità dei dati al rispetto del GDPR e alla somministrazione di un'adeguata informativa. Ulteriori riferimenti essenziali sono costituiti dagli articoli 5 e 13 del Regolamento UE 2016/679, che sanciscono il principio di limitazione della finalità: i dati raccolti per la sicurezza non possono essere trattati per scopi differenti in mancanza di un'idonea base giuridica.

3. Cosa dice la giurisprudenza

   L'orientamento consolidato della giurisprudenza di legittimità ha chiarito che i log generati da un server non costituiscono di per sé uno strumento di lavoro, bensì una modalità di controllo indiretto. I giudici hanno affermato che, laddove l'infrastruttura informatica consenta un monitoraggio continuativo, analitico e preventivo, l'impresa è tenuta ad attivare la procedura di codeterminazione sindacale, a pena di inutilizzabilità dei dati in sede disciplinare.

   Inoltre, la giurisprudenza ha delineato i confini dei cosiddetti controlli difensivi. Tali verifiche sono ammesse in deroga all'accordo sindacale soltanto se avviate ex post, vale a dire a fronte di un fondato e specifico sospetto circa la commissione di un grave illecito da parte del dipendente. Non è per contro ammissibile un controllo tecnologico sistematico della produttività ordinaria, poiché il diritto del datore di lavoro di salvaguardare i beni aziendali non può travalicare la dignità e la riservatezza del lavoratore nell'ambiente digitale.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   1. Distinguere rigorosamente la raccolta tecnica dei log a fini di incident response dall'impiego dei medesimi dati per la valutazione della prestazione lavorativa.
   2. Predisporre preventivamente una DPIA (Valutazione di Impatto sulla Protezione dei Dati) prima di attivare sistemi IT suscettibili di intercettare, anche solo potenzialmente, le attività dei dipendenti.
   3. Verificare che l'informativa resa ai sensi dell'art. 13 del GDPR presenti il necessario grado di analiticità, non risultando sufficiente un generico richiamo alla sicurezza informatica per legittimare contestazioni disciplinari.
   4. Calibrare i tempi di conservazione delle registrazioni informatiche, circoscrivendoli a quanto strettamente necessario per le finalità tecniche individuate.

Riferimenti: Articolo 4 Legge 300/1970Articolo 5 Regolamento UE 2016/679 (GDPR)Articolo 13 Regolamento UE 2016/679 (GDPR)Articolo 114 D.Lgs. 196/2003

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 11 settembre 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica