Un regolamento per l’uso degli strumenti informatici deve spiegare ai lavoratori come usare account, dispositivi, posta, archivi e servizi aziendali, quali comportamenti richiedono assistenza e quali controlli vengono effettivamente svolti. La sua utilità dipende dalla corrispondenza con le impostazioni reali. Un documento che vieta tutto ma viene ignorato nell’attività quotidiana non offre istruzioni affidabili.
Per un datore di lavoro italiano, il regolamento deve essere coordinato con GDPR, Codice privacy e articolo 4 dello Statuto dei lavoratori. La presa visione non autorizza automaticamente qualsiasi controllo e non sana una raccolta illecita. Il provvedimento del Garante del 28 maggio 2026 richiama le condizioni della raccolta e dell’eventuale uso ulteriore dei dati nel rapporto di lavoro.
Stabilire destinatari e strumenti coperti
Elencare dipendenti, collaboratori e altri utilizzatori secondo i rapporti effettivi. Precisare quali regole riguardino dispositivi aziendali, strumenti privati autorizzati, lavoro da remoto e servizi acquistati dal reparto. La politica di sicurezza informatica definisce indirizzi e responsabilità; il regolamento li traduce nelle azioni quotidiane di chi usa gli strumenti.
Indicare un referente per dubbi ed eccezioni. Se un’applicazione non è disponibile ma il compito deve essere svolto, l’utente deve conoscere come richiedere una soluzione approvata. Un divieto privo di alternativa può spostare il lavoro su account personali e servizi non gestiti.
Distinguere istruzioni comuni e allegati specifici. Chi usa soltanto una postazione condivisa non ha bisogno di leggere dettagli amministrativi del sistema MDM; chi riceve un telefono deve invece conoscere le regole pertinenti alla sua gestione e cancellazione.
Descrivere accessi e credenziali con azioni concrete
Il testo dovrebbe indicare uso individuale degli account, protezione dei fattori di autenticazione, divieto di condivisione non autorizzata e canale di recupero. La politica di password e autenticazione multifattore può contenere i requisiti tecnici, mentre il regolamento spiega cosa fare se un fattore viene perso o compare una richiesta sospetta.
Un esempio di clausola operativa: «Se ricevi una richiesta di approvazione dell’accesso che non hai avviato, non approvarla e segnala l’evento attraverso il canale di assistenza indicato. Non comunicare password o codici a chi li richiede per telefono o messaggio.» Il testo deve essere accompagnato da un canale funzionante e da personale preparato.
Per assenze e urgenze, prevedere deleghe e sostituzioni attraverso gli strumenti disponibili. Non richiedere di lasciare la password al collega o al responsabile. La necessità di continuità deve essere gestita con autorizzazioni tracciabili e circoscritte.
Chiarire archiviazione, condivisione e uso personale
Indicare dove conservare documenti di lavoro, come condividerli e quali canali evitare. Una cartella approvata può avere regole diverse da un collegamento pubblico o da un allegato inviato a una casella privata. La minimizzazione dei dati aiuta a evitare che le copie contengano informazioni estranee al compito.
L’eventuale uso personale deve essere descritto chiaramente: ammesso entro limiti, vietato o previsto soltanto in determinati ambienti. Questa scelta non conferisce al datore di lavoro un accesso indiscriminato ai contenuti. Le procedure di assistenza e cessazione devono restare proporzionate e coerenti con l’informazione fornita.
Per i dispositivi mobili, collegare il testo alla gestione MDM e alla separazione dei dati. Il lavoratore deve sapere se è prevista la rimozione dei soli dati aziendali o una cancellazione completa, quali informazioni vede l’amministratore e come segnalare un errore.
Separare regole d’uso e informazione sui controlli
Il regolamento non deve usare espressioni come «l’azienda può controllare tutto in qualsiasi momento». Occorre descrivere finalità, strumenti, categorie di dati, modalità e garanzie dei controlli reali, coordinandole con l’informativa privacy. Prima di descriverli, verificare che la raccolta e le funzionalità siano lecite.
L’articolo 4 distingue il regime degli strumenti dai quali può derivare controllo a distanza e quello degli strumenti utilizzati per rendere la prestazione e registrare accessi e presenze. La qualificazione dipende dalle funzioni concrete. Per i casi del comma 1 valgono le garanzie procedurali previste dalla legge, come accordo sindacale o autorizzazione amministrativa. Il comma 3 richiede adeguata informazione su uso e controlli e rispetto della disciplina privacy per l’utilizzo dei dati.
La guida sui metadati della posta elettronica e il Garante mostra perché log tecnici, contenuti dei messaggi e raccolte più ampie debbano essere distinti. Una clausola nel regolamento non sostituisce l’analisi della configurazione del fornitore.
Preparare incidenti, richieste e canali riservati
Spiegare come segnalare perdita del dispositivo, invio errato, allegato sospetto o accesso anomalo. Il dipendente dovrebbe sapere quali prime azioni sono utili e quali possono distruggere prove o aggravare l’evento. Evitare istruzioni che impongono di risolvere autonomamente una compromissione prima di avvisare l’IT.
Le segnalazioni di sicurezza e le segnalazioni protette da altre discipline non sono equivalenti. Se l’organizzazione ha un canale interno di whistleblowing, il regolamento può rinviare alla procedura di riservatezza del canale, chiarendo che la casella IT ordinaria non la sostituisce. Non richiedere di inoltrare al superiore gerarchico ogni contenuto indipendentemente dalla natura della segnalazione.
Indicare anche dove inoltrare le richieste delle persone sui dati. La procedura dell’articolo 12 richiede che il personale riconosca una richiesta ricevuta durante il lavoro e non la lasci nella propria casella fino al rientro del referente.
Una struttura di regolamento da completare
| Parte | Contenuto necessario per l’utilizzatore |
|---|---|
| Ambito | Persone, strumenti e contesti coperti |
| Account | Accesso, fattori, recupero e deleghe |
| Documenti | Archivi approvati, condivisione e copie |
| Dispositivi | Custodia, aggiornamenti, mobilità e assistenza |
| Posta e navigazione | Uso ammesso e comportamenti richiesti |
| Controlli | Informazioni coerenti con raccolte e garanzie effettive |
| Incidenti | Canali e prime azioni |
| Cessazione | Restituzione, revoca e gestione dei dati |
| Eccezioni | Chi decide, per quanto tempo e con quali condizioni |
La struttura non è un testo da far firmare senza verifica. Ogni sezione deve essere confrontata con il servizio reale e con le regole applicabili al rapporto di lavoro. I dettagli disciplinari richiedono il coordinamento con la disciplina lavoristica e contrattuale pertinente, senza inventare sanzioni standard nel documento informatico.
Un esempio di adozione in un’impresa con lavoro ibrido
Un’impresa ipotetica rileva che i dipendenti usano caselle personali per trasferire file troppo grandi. Prima di aggiornare il regolamento, rende disponibile un sistema approvato di condivisione e verifica accessi e scadenze dei collegamenti. Il testo indica quel sistema e il canale per chiedere spazio o assistenza.
Durante una prova, un lavoratore deve condividere un documento con un consulente esterno. Riesce a creare un accesso limitato al destinatario e a revocarlo, mentre la precedente cartella aperta a chiunque viene disabilitata. La formazione mostra questo percorso, invece di limitarsi a ricordare il divieto di inviare file alla propria email.
L’impresa raccoglie domande e corregge un’istruzione poco chiara sulle assenze. La presa visione registra la versione consegnata, ma la verifica principale riguarda il comportamento reso possibile dagli strumenti e la comprensione delle regole.
Controllare comprensione e aggiornamenti
Usare esempi brevi nelle sessioni di formazione: richiesta di autenticazione inattesa, perdita del telefono, destinatario errato, account condiviso. Se si utilizza un questionario, progettare la raccolta e i risultati secondo la guida ai sondaggi GDPR, evitando valutazioni nominative superflue o riutilizzi non spiegati.
Riesaminare il regolamento quando cambiano strumenti, controlli o modelli di lavoro. Conservare versioni e comunicazioni pertinenti, distinguendo la data di adozione dalla data di effettiva distribuzione. Un allegato rimasto sul vecchio portale può far circolare istruzioni ormai incompatibili con il sistema attuale.
L’accountability collega regola, configurazione, informazione e verifica. La qualità del regolamento si vede quando un utilizzatore sa dove lavorare, come chiedere aiuto e quali effetti hanno le funzioni che usa ogni giorno.