Il telefono di lavoro: che cosa può vedere il datore

La legge federale: intercettazioni e comunicazioni conservate

Le regole federali sono in due gruppi di norme del titolo 18 del U.S. Code. La legge federale sulle intercettazioni del 1968 (18 U.S.C. §§ 2510 e seguenti) è stata modificata nel 1986 dall'Electronic Communications Privacy Act (ECPA), che ha anche introdotto la legge sulle comunicazioni conservate (Stored Communications Act, §§ 2701 e seguenti). Valgono per chiunque, non solo nel lavoro, ma alcune eccezioni contano molto nel rapporto con il datore.

Le intercettazioni e il consenso

Chi intercetta intenzionalmente una comunicazione telefonica, orale o elettronica commette un reato punito fino a cinque anni di reclusione (§ 2511, commi 1 e 4). Per la legge, intercettare significa acquisire il contenuto di una comunicazione con un dispositivo elettronico, meccanico o di altro tipo (§ 2510, punto 4). La legge però esclude il reato quando chi intercetta, senza agire come pubblico ufficiale, è parte della comunicazione oppure quando:

«one of the parties to the communication has given prior consent to such interception unless such communication is intercepted for the purpose of committing any criminal or tortious act»

È la regola del § 2511(2)(d): basta il consenso previo di una delle parti, salvo che lo scopo sia commettere un reato o un illecito. Per questo contano le politiche aziendali sull'uso degli strumenti di lavoro accettate dal dipendente. Altre due regole restringono il divieto:

• Chi fornisce il servizio. Il dipendente o l'incaricato di un fornitore di servizi di comunicazione può intercettare, rivelare o usare una comunicazione nel normale svolgimento del suo lavoro, quando è un'attività necessaria per prestare il servizio o per proteggere i diritti o i beni del fornitore (§ 2511(2)(a)(i)).
• Gli apparecchi usati nell'attività ordinaria. La definizione degli strumenti di intercettazione esclude gli apparecchi telefonici forniti dal gestore del servizio e usati dall'abbonato o dall'utente nel normale svolgimento della sua attività (§ 2510(5)(a)).

Le comunicazioni conservate

Il § 2701 punisce chi accede intenzionalmente, senza autorizzazione o eccedendo quella ricevuta, a un sistema attraverso cui è fornito un servizio di comunicazione elettronica e così acquisisce, modifica o blocca una comunicazione conservata nel sistema. Il divieto non si applica, dice la lettera (c), alle condotte autorizzate:

1. da chi fornisce il servizio di comunicazione, via filo o elettronica;
2. dall'utente del servizio, per le comunicazioni sue o a lui destinate;
3. dalle norme sulle richieste delle autorità (§§ 2703, 2704 e 2518).

Un servizio di comunicazione elettronica è qualunque servizio che dà ai suoi utenti la possibilità di inviare o ricevere comunicazioni (§ 2510(15)). Quando è l'azienda a fornire ai dipendenti la casella di posta o la piattaforma di messaggi, l'accesso che autorizza ai messaggi conservati rientra nella prima eccezione. Un account personale presso un fornitore esterno è un servizio fornito da un altro: le eccezioni sono costruite attorno al fornitore e all'utente, non attorno a chi possiede il telefono. Come la legge federale tratta le richieste dell'autorità a questi fornitori è spiegato in I dati nel cloud: SCA e CLOUD Act.

Gli Stati: l'avviso prima del controllo

Alcuni Stati hanno aggiunto un obbligo specifico: dire prima ai dipendenti che possono essere controllati. Tre esempi, con regole diverse tra loro.

Nella legge di New York l'avviso deve dire che telefonate, posta elettronica e uso di internet del dipendente, con qualunque dispositivo o sistema elettronico, possono essere controllati «at any and all times and by any lawful means». Sul sito ufficiale del Senato dello Stato la norma è indicata come § 52-c*2, perché nella stessa legge esistono due articoli numerati 52-c. New York e Delaware escludono i sistemi che gestiscono il tipo o il volume della posta, dei messaggi vocali o del traffico internet senza prendere di mira una persona determinata, usati solo per la manutenzione o la protezione dei sistemi. Il Connecticut consente il controllo senza avviso quando il datore ha fondati motivi di ritenere che i dipendenti violino la legge, violino i diritti del datore o di altri dipendenti o creino un ambiente di lavoro ostile, e il controllo può fornirne la prova; la norma non si applica alle indagini penali.

Datori di lavoro pubblici: il Quarto emendamento

Il Quarto emendamento protegge dalle perquisizioni irragionevoli dei poteri pubblici, e vale anche quando lo Stato agisce come datore di lavoro. Il caso di riferimento è City of Ontario v. Quon, 560 U.S. 746 (2010). La città di Ontario, in California, aveva dato ai suoi agenti cercapersone in grado di inviare messaggi di testo, avvertendoli che i messaggi potevano essere controllati. Un sergente aveva superato più volte il limite di caratteri previsto dal contratto con il gestore; il capo della polizia fece acquisire le trascrizioni dei messaggi per capire se il limite fosse troppo basso per le esigenze di servizio o se gli sforamenti dipendessero da messaggi personali.

La Corte non ha deciso se il sergente avesse un'aspettativa ragionevole di riservatezza: l'ha data per esistente e ha concluso che il controllo era comunque ragionevole, perché aveva uno scopo legato al lavoro e non investigativo e perché leggere le trascrizioni era un modo efficiente per rispondere a quella domanda, senza essere eccessivamente invasivo. Ha anche avvertito:

«The Court must proceed with care when considering the whole concept of privacy expectations in communications made on electronic equipment owned by a government employer.»

Per i datori privati il Quarto emendamento non entra in gioco: contano le leggi federali e statali viste sopra, il contratto e la politica aziendale.

Account personali e password

Il telefono di lavoro può contenere anche account personali. Alcuni Stati li proteggono espressamente. In California il datore non può chiedere al dipendente o al candidato di rivelare nome utente e password dei social personali, di aprirli in sua presenza o di mostrarne il contenuto (Labor Code § 980, lettera b). Può chiedere di mostrare contenuti ritenuti ragionevolmente rilevanti per un'indagine su un comportamento scorretto o su violazioni di legge del dipendente, purché li usi solo per quell'indagine o per il procedimento che ne deriva (lettera c). La stessa norma precisa che il datore può chiedere il nome utente, la password o un altro mezzo per accedere a un dispositivo elettronico fornito da lui (lettera d), e vieta ritorsioni contro chi rifiuta una richiesta illegittima (lettera e). È una regola della California: negli altri Stati bisogna guardare la legge locale.

Che cosa guardare

1. Di chi è il dispositivo e chi fornisce il servizio. Telefono aziendale o personale, casella aziendale o account personale: le eccezioni federali dipendono da chi fornisce il servizio e da chi ne è utente.
2. Che cosa hai accettato. Il consenso previo di una delle parti è un'eccezione del § 2511(2)(d): per questo conta che cosa dice la politica aziendale sull'uso degli strumenti che hai accettato.
3. In quale Stato lavori. A New York, in Connecticut e in Delaware il datore che controlla deve avvisare prima; altre leggi statali possono prevedere regole proprie.
4. Datore pubblico o privato. Solo per il primo entra in gioco il Quarto emendamento (Quon).
5. I viaggi. Il telefono aziendale può essere controllato anche alla frontiera, con regole diverse: vedi Dispositivi aziendali e segreti commerciali.

Casi frequenti

• «Il datore può leggere la mia casella di posta aziendale?» Se il servizio è fornito dall'azienda, l'accesso che autorizza ai messaggi conservati rientra nell'eccezione del § 2701(c)(1); restano gli obblighi di avviso degli Stati che li prevedono e quello che dice la politica aziendale.
• «Lavoro a New York per una società italiana che ha un ufficio a Manhattan.» La legge di New York riguarda ogni datore con una sede di attività nello Stato, a prescindere dalla nazionalità: se controlla telefonate, posta o internet, deve dare l'avviso all'assunzione.
• «Il telefono è mio, ma lo uso anche per lavoro.» Le eccezioni del § 2701 guardano al servizio, non all'apparecchio: la casella aziendale sul telefono personale resta un servizio dell'azienda, l'account personale no. In California la regola sui codici di accesso riguarda solo i dispositivi forniti dal datore.

Fonti

18 U.S.C. §§ 2510, punti 5 e 15, 2511, commi 1, 2(a)(i), 2(d) e 4, e 2701 (U.S. Code vigente, con la nota sul titolo breve dell'Electronic Communications Privacy Act of 1986). New York Civil Rights Law § 52-c, sezione «Employers engaged in electronic monitoring; prior notice required» (nysenate.gov, § 52-C*2); Connecticut General Statutes § 31-48d (cga.ct.gov); Delaware Code, titolo 19, § 705 (delcode.delaware.gov); California Labor Code § 980 (leginfo.legislature.ca.gov). Corte Suprema degli Stati Uniti, City of Ontario v. Quon, 560 U.S. 746 (2010), testo integrale. Verificato il 24 settembre 2026.