Log AdS e controllo a distanza dei lavoratori: cosa si può fare

Quando in azienda si annuncia che verranno registrati gli accessi degli Amministratori di Sistema, la reazione arriva quasi sempre dalla stessa direzione: il responsabile del personale, un sindacalista, lo stesso tecnico interessato, chiede se questo non significhi controllare i lavoratori a distanza, cosa che la legge vieta.

La domanda è legittima e merita una risposta precisa, perché non si tratta di una sfumatura teorica: da come viene impostata la raccolta dei log dipendono sia la conformità al Provvedimento del Garante del 27 novembre 2008, sia la legittimità del trattamento rispetto allo Statuto dei Lavoratori. Sbagliare in un senso espone a una contestazione privacy; sbagliare nell'altro espone a una contestazione sindacale e all'inutilizzabilità dei dati raccolti.

Questo articolo spiega perché i due obblighi non sono in contraddizione, dove si trova esattamente il confine e quali accorgimenti concreti servono per restare dalla parte giusta.

1. Due norme che sembrano andare in direzioni opposte

Da un lato il Provvedimento del Garante del 27 novembre 2008, modificato nel 2009, impone ai titolari del trattamento di adottare sistemi idonei alla registrazione degli accessi logici degli Amministratori di Sistema, di conservare tali registrazioni per almeno sei mesi e di verificarne l'operato con cadenza almeno annuale. È un obbligo, non una facoltà.

Dall'altro l'art. 4 della legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori) limita l'uso di strumenti dai quali derivi la possibilità di controllo a distanza dell'attività dei lavoratori, subordinandoli ad accordo sindacale o ad autorizzazione dell'Ispettorato del Lavoro. L'art. 114 del Codice privacy rinvia espressamente a questa disciplina: il rispetto dell'art. 4 è condizione di liceità del trattamento, non un adempimento parallelo.

L'apparente conflitto si scioglie osservando che le due norme guardano a oggetti diversi. Il Provvedimento del Garante disciplina il controllo di chi controlla i sistemi, cioè la tracciabilità di un ruolo tecnico privilegiato. L'art. 4 disciplina il controllo della prestazione lavorativa, cioè la misurazione di come una persona svolge il proprio lavoro. Un access log che registra "l'account X si è autenticato sul server Y alle 09:14" non dice nulla sulla produttività di nessuno: dice chi ha avuto la possibilità tecnica di accedere ai dati personali custoditi in quel sistema.

2. Cosa dice davvero l'art. 4 dello Statuto dei Lavoratori

Nella formulazione vigente, riscritta dal d.lgs. 151/2015, l'articolo si articola su tre commi che vanno letti insieme.

Il comma 1 stabilisce che gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, e solo previo accordo con le rappresentanze sindacali o, in mancanza, previa autorizzazione dell'Ispettorato del Lavoro.

Il comma 2 introduce l'eccezione decisiva: la disciplina del comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze.

Il comma 3 chiude il cerchio sul piano dell'utilizzabilità: le informazioni raccolte sono utilizzabili a tutti i fini connessi al rapporto di lavoro, quindi anche disciplinari, a condizione che sia data al lavoratore adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli, e nel rispetto della normativa sulla protezione dei dati personali.

Il comma 3 è il punto che le aziende trascurano più spesso. Anche quando lo strumento rientra nell'eccezione del comma 2 e non richiede accordo sindacale, senza informativa adeguata i dati raccolti rischiano di non poter essere utilizzati.

3. Perché i log degli Amministratori di Sistema non sono un controllo a distanza dell'attività lavorativa

Tre elementi, considerati insieme, collocano gli access log AdS fuori dal perimetro del comma 1.

La finalità è imposta da una norma

Il titolare non decide discrezionalmente di monitorare qualcuno: adempie a una prescrizione del Garante che ha come scopo dichiarato quello di agevolare la verifica dell'operato degli amministratori a tutela degli interessati i cui dati sono trattati. La finalità è la protezione dei dati personali, non la valutazione della prestazione.

L'oggetto è l'accesso, non l'attività

Il Garante ha chiarito che il Provvedimento richiede la registrazione degli eventi di accesso, tentativo di accesso e disconnessione, e che non è richiesta la registrazione dell'attività interattiva, ossia dei comandi impartiti o delle transazioni eseguite. Un sistema correttamente configurato produce quindi un tracciato di autenticazioni, non un diario di ciò che una persona ha fatto minuto per minuto. Abbiamo approfondito il tema in Log Amministratori di Sistema: cosa deve fare l'azienda.

Lo strumento rientra nell'eccezione del comma 2

La registrazione delle autenticazioni ai sistemi è, testualmente, uno strumento di registrazione degli accessi. Il Garante, nel documento di indirizzo sui metadati di posta elettronica del 6 giugno 2024, ha riconosciuto che l'eccezione del comma 2 copre la raccolta di dati registrati automaticamente dai sistemi e necessari al loro funzionamento e alla loro sicurezza, ma ha anche precisato il limite: quando la conservazione diventa generalizzata e prolungata oltre quanto necessario, si esce dall'eccezione e tornano applicabili le garanzie procedurali del comma 1.

È esattamente per questo che il perimetro va definito con rigore. Un sistema che raccoglie solo gli eventi di accesso dei soggetti designati AdS resta nell'eccezione; un sistema che, con la scusa dei log AdS, raccoglie navigazione web, contenuti, cronologia applicativa o attività di tutti i dipendenti, no.

4. Il confine si supera con l'uso, non con la raccolta

Nella pratica, il problema quasi mai nasce dal fatto che i log esistano. Nasce da cosa se ne fa.

Il principio di limitazione della finalità (art. 5, par. 1, lett. b del GDPR) impone che dati raccolti per verificare l'operato degli Amministratori di Sistema siano trattati per quella finalità. Usare lo stesso archivio per ricostruire gli orari di ingresso e uscita di un tecnico, per misurarne la produttività, per alimentare valutazioni sul rendimento o per costruire a posteriori una contestazione disciplinare estranea alla sicurezza dei dati significa cambiare la finalità del trattamento — e a quel punto l'inquadramento giuridico cambia con essa.

La regola operativa è semplice: se una domanda a cui i log rispondono riguarda la sicurezza dei dati, l'uso è coerente; se riguarda quanto e come lavora una persona, non lo è.

5. Gli adempimenti che rendono legittimo il trattamento

Perché la raccolta regga a un controllo del Garante, dell'Ispettorato o di un giudice del lavoro, servono alcuni passaggi documentali. Nessuno di essi è tecnico: sono tutti organizzativi.

Informativa adeguata ai sensi dell'art. 13 GDPR

Gli Amministratori di Sistema devono sapere che i loro accessi vengono registrati, con quali finalità, per quanto tempo, chi può consultare le registrazioni e in quali casi. La stessa informazione va resa, nella misura pertinente, a tutti i lavoratori i cui dati transitano nei sistemi amministrati.

Conoscibilità dell'identità degli Amministratori di Sistema

È un obbligo esplicito del Provvedimento, spesso ignorato: quando l'attività degli AdS riguarda, anche indirettamente, servizi o sistemi che trattano informazioni di carattere personale dei lavoratori, il titolare deve rendere nota o conoscibile l'identità degli amministratori nell'ambito della propria organizzazione. Il Garante indica come strumenti idonei l'informativa resa nell'ambito del rapporto di lavoro oppure comunicazioni interne come intranet, ordini di servizio o bollettini aziendali.

Designazione individuale con ambiti definiti

La designazione deve essere individuale e indicare analiticamente gli ambiti di operatività consentiti. Serve alla conformità, ma serve soprattutto qui: senza un perimetro autorizzato dichiarato, la verifica annuale non ha un metro di paragone e qualunque accesso diventa opinabile.

Regolamento o policy sull'uso degli strumenti informatici

È il documento che soddisfa il requisito di adeguata informazione richiesto dal comma 3 dell'art. 4. Deve descrivere quali strumenti sono messi a disposizione, quali registrazioni producono, chi vi accede, con quali modalità vengono effettuati i controlli e quali conseguenze possono derivarne.

Separazione tra controllore e controllato

Un archivio di log gestito dagli stessi amministratori che dovrebbe documentare non assolve la sua funzione. Il repository deve essere sottratto alla disponibilità esclusiva dei soggetti monitorati, come approfondito in Inalterabilità dei log AdS: cosa chiede il Garante.

Retention definita e rispettata

Almeno sei mesi, ma non per sempre: una conservazione indefinita è una violazione del principio di limitazione della conservazione e, sul fronte giuslavoristico, è proprio l'elemento che fa uscire il trattamento dall'eccezione del comma 2. Sul come, si veda Conservazione log per 6 mesi: come fare, passo per passo.

Registro dei trattamenti e valutazione dei rischi

Il trattamento va censito nel registro delle attività di trattamento, con finalità, categorie di interessati, termini di conservazione e misure di sicurezza. Nei contesti più delicati va valutata la necessità di una valutazione d'impatto.

6. Quando l'Amministratore di Sistema è un dipendente

Qui l'art. 4 entra in gioco davvero, perché il soggetto le cui autenticazioni vengono registrate è un lavoratore subordinato. La conclusione non cambia, la registrazione resta legittima, ma cambia il livello di attenzione richiesto.

Il dipendente-AdS ha diritto a un'informativa specifica, a conoscere gli ambiti in cui è autorizzato a operare, a sapere che gli esiti della verifica annuale vengono verbalizzati e a non vedersi contestare, sulla base di quei log, comportamenti che nulla hanno a che fare con la sicurezza dei dati. Il rapporto fiduciario, in questi casi, si costruisce sulla trasparenza del metodo: un amministratore che ha ricevuto una designazione chiara e sa esattamente cosa viene registrato percepisce il sistema come una tutela anche per sé, perché documenta ciò che ha fatto e, altrettanto, ciò che non ha fatto.

Il discorso si sposta invece sul piano contrattuale quando gli amministratori sono esterni: in quel caso servono la designazione a responsabile del trattamento e l'identificazione nominativa dei tecnici del fornitore, come spiegato in Amministratore di Sistema in outsourcing: obblighi quando l'IT è esterno.

7. Log AdS e metadati della posta elettronica: due cose diverse

Dal 2024 ricorre un equivoco che vale la pena chiarire, perché produce decisioni sbagliate.

Con il documento di indirizzo del 6 giugno 2024 il Garante ha indicato che la conservazione dei metadati necessari al funzionamento delle infrastrutture di posta elettronica non dovrebbe di norma superare i 21 giorni, salvo particolari condizioni documentate che ne rendano necessaria l'estensione. Da lì è nata la convinzione, diffusa quanto errata, che nessun log aziendale possa essere conservato più a lungo.

Sono due trattamenti distinti, con basi e perimetri diversi. Il termine indicato per i metadati di posta non comprime l'obbligo semestrale sui log AdS, così come l'obbligo semestrale non autorizza a conservare per sei mesi i metadati della posta di tutta l'azienda.

8. Quando dai log emerge un illecito

Può accadere che una verifica faccia emergere qualcosa di diverso da un'anomalia tecnica: un accesso a dati che nulla hanno a che fare con le mansioni, un'estrazione massiva prima delle dimissioni, un utilizzo di credenziali altrui.

La giurisprudenza ha elaborato la categoria dei controlli difensivi in senso stretto: la Corte di Cassazione, con la sentenza n. 25732 del 22 settembre 2021, li ha collocati fuori dal perimetro dell'art. 4, ma solo entro condizioni precise. Il controllo deve fondarsi su indizi concreti riferibili a un comportamento illecito, deve essere ex post, cioè avviarsi dopo l'insorgere del fondato sospetto e non prima, e deve rispettare il bilanciamento tra tutela del patrimonio aziendale e dignità e riservatezza del lavoratore. Restano comunque applicabili le regole in materia di protezione dei dati personali.

Tradotto operativamente: un sistema di logging attivo su tutto e su tutti, costruito in anticipo per il caso in cui un giorno serva, non è un controllo difensivo ed è difficile da difendere. Un archivio di access log raccolto per adempiere a un obbligo normativo, interrogato in modo mirato quando emerge un indizio specifico, è un'altra cosa. La differenza tra le due situazioni sta in gran parte nella documentazione predisposta prima che il problema si presenti.

9. Come una piattaforma dedicata riduce il rischio

La conformità su questo doppio fronte è prima di tutto organizzativa, ma l'architettura tecnica può renderla più semplice o più fragile.

PrivacyLog nasce con un perimetro dichiarato: nella configurazione dedicata al Provvedimento, il filtro di ingestion conserva gli eventi pertinenti al controllo degli accessi amministrativi, senza trasformarsi in un archivio indiscriminato dell'attività di tutti i dipendenti. Le registrazioni risiedono su una piattaforma indipendente, sottratta al controllo esclusivo degli amministratori monitorati; la retention è configurata sui termini previsti; le esportazioni possono essere protette con marca temporale; la verifica annuale produce evidenze utilizzabili nel verbale, per il quale mettiamo a disposizione un modello di esempio.

Quello che nessuno strumento può fare al posto del titolare è definire chi sono gli AdS, quali ambiti sono autorizzati e cosa viene comunicato ai lavoratori. I dettagli architetturali della piattaforma sono descritti nella pagina tecnica.

Domande frequenti

Registrare gli accessi degli Amministratori di Sistema richiede un accordo sindacale?

Di norma no, perché la registrazione degli accessi rientra nell'eccezione prevista dal comma 2 dell'art. 4 dello Statuto dei Lavoratori. L'accordo torna necessario se il sistema viene esteso oltre quel perimetro, per esempio raccogliendo in modo generalizzato e prolungato attività di tutti i lavoratori.

Serve informare i dipendenti che i log vengono raccolti?

Sì. L'informativa ai sensi dell'art. 13 GDPR è obbligatoria e l'adeguata informazione sulle modalità dei controlli è condizione di utilizzabilità dei dati secondo il comma 3 dell'art. 4. Il Provvedimento del Garante richiede inoltre di rendere nota o conoscibile l'identità degli Amministratori di Sistema all'interno dell'organizzazione.

I log AdS possono essere usati per un procedimento disciplinare?

Possono esserlo se il fatto contestato attiene alle finalità per cui i log sono raccolti: sicurezza dei dati e correttezza degli accessi, e se sono stati rispettati informativa e principi di protezione dei dati. Non possono essere usati per contestazioni estranee, come il rispetto dell'orario di lavoro.

Il Provvedimento richiede di registrare tutto quello che fa l'amministratore?

No. Il Garante ha chiarito che vanno registrati accesso, tentativo di accesso e disconnessione, e che non è richiesta la registrazione dell'attività interattiva, come comandi o transazioni.

La regola dei 21 giorni sui metadati email si applica anche ai log degli AdS?

No. Sono trattamenti diversi, con finalità e interessati diversi. Per gli access log degli Amministratori di Sistema il Provvedimento prevede una conservazione di almeno sei mesi.

Un amministratore può opporsi alla registrazione dei propri accessi?

Il trattamento non si fonda sul consenso, ma sull'adempimento di un obbligo previsto da un provvedimento dell'autorità di controllo. L'interessato conserva i diritti riconosciuti dal GDPR, che vanno esercitati e valutati nei limiti compatibili con tale finalità.

Chi può consultare le registrazioni?

L'accesso va limitato ai soggetti che svolgono la funzione di controllo per conto del titolare, con profili distinti da quelli degli amministratori monitorati. Anche gli accessi al repository dovrebbero essere tracciati.

Se dai log emerge un comportamento sospetto, posso attivare un monitoraggio mirato?

La giurisprudenza ammette i controlli difensivi in senso stretto quando esistono indizi concreti di un illecito e il controllo interviene dopo l'insorgere del sospetto, con un bilanciamento rispetto alla dignità e riservatezza del lavoratore. Un monitoraggio preventivo e generalizzato non rientra in questa categoria.

Conclusioni

Registrare gli accessi degli Amministratori di Sistema non è controllare i lavoratori a distanza, a condizione che il sistema faccia esattamente ciò per cui è stato previsto: tracciare chi accede ai sistemi che trattano dati personali, per consentire al titolare di verificarne l'operato.

Il confine non passa dalla tecnologia impiegata, ma da tre scelte organizzative: quali dati si raccolgono (accessi, non attività), per quali finalità si usano (sicurezza dei dati, non valutazione della prestazione) e cosa si è comunicato a chi ne è interessato. Un'azienda che ha definito il perimetro, designato individualmente gli amministratori, pubblicato una policy chiara e reso conoscibile l'identità degli AdS può sostenere il proprio impianto sia davanti al Garante sia davanti a un giudice del lavoro.

Un'azienda che ha acceso un sistema di raccolta senza dire niente a nessuno, invece, ha due problemi anziché nessuno: non ha una prova utilizzabile e ha un trattamento difficile da giustificare.

Riferimenti

• Provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008, come modificato il 25 giugno 2009, in materia di Amministratori di Sistema.
• FAQ ufficiali del Garante sugli Amministratori di Sistema.
• Art. 4 della legge 20 maggio 1970, n. 300, come modificato dal d.lgs. 151/2015.
• Art. 114 del d.lgs. 196/2003, come modificato dal d.lgs. 101/2018.
• Regolamento (UE) 2016/679, artt. 5, 13, 32 e 33.
• Garante privacy, documento di indirizzo del 6 giugno 2024 su programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati.
• Corte di Cassazione, Sezione Lavoro, sentenza n. 25732 del 22 settembre 2021.

Il contenuto ha finalità informativa e non sostituisce una valutazione riferita alle caratteristiche della singola organizzazione, né una consulenza legale in materia giuslavoristica.