Dati, controllo e cybersecurity: cosa insegna l’accordo Generali

La digitalizzazione del lavoro produce una quantità crescente di dati relativi all’utilizzo di dispositivi, applicazioni, reti e infrastrutture aziendali. Una parte di questi dati è indispensabile per garantire la sicurezza dei sistemi informatici. Allo stesso tempo, la loro raccolta, combinazione e conservazione rende tecnicamente possibile una conoscenza molto dettagliata delle attività svolte dai lavoratori. È dentro questa tensione, destinata ad assumere un peso crescente nelle relazioni di lavoro, che si colloca l’accordo sottoscritto il 31 luglio 2026 dal Gruppo Generali e dai coordinamenti delle rappresentanze sindacali aziendali FIRST-CISL, FISAC-CGIL, UILCA, FNA e SNFIA ai sensi dell’articolo 4 dello Statuto dei lavoratori.

L’accordo riguarda l’introduzione di un sistema SIEM, Security Information and Event Management, utilizzato per centralizzare e analizzare i log provenienti dalle infrastrutture informatiche aziendali. Si tratta di informazioni generate da una pluralità di sistemi: firewall, reti, VPN, strumenti di autenticazione, Microsoft 365, posta elettronica, sistemi antivirus, server, database e servizi cloud. I dati raccolti comprendono, tra l’altro, indirizzi IP, identificativi dei dispositivi, user ID, registrazioni degli accessi, informazioni sulle azioni effettuate, metadati delle e-mail e riferimenti temporali. È esclusa invece la raccolta dei contenuti delle comunicazioni, delle chat, dei documenti, degli allegati e delle registrazioni audio o video.

È proprio l’ampiezza potenziale di questa infrastruttura informativa a rendere l’accordo interessante oltre il caso aziendale. Il problema non coincide infatti con la presenza di uno strumento esplicitamente destinato al controllo dei lavoratori. Molti dei sistemi digitali oggi utilizzati nelle imprese generano informazioni per finalità differenti: sicurezza, organizzazione, manutenzione, comunicazione, compliance. Sono però informazioni che, una volta aggregate e correlate, possono rendere osservabili comportamenti individuali, tempi di utilizzo, accessi ai sistemi e sequenze di attività.

Il nodo riguarda quindi la governance del dato prima ancora che il singolo strumento tecnologico. L’accordo Generali prova a intervenire precisamente su questo piano, definendo preventivamente finalità, condizioni di accesso, tempi di conservazione e modalità di utilizzo delle informazioni.

La finalità attribuita al SIEM è circoscritta alla sicurezza informatica: prevenzione degli accessi non autorizzati e degli attacchi, gestione degli incidenti, ricostruzione tecnica degli eventi e rispetto degli obblighi normativi e degli standard di cybersecurity. L’accordo richiama inoltre espressamente i principi di necessità, proporzionalità, minimizzazione, trasparenza e limitazione della conservazione previsti dal GDPR. Il Gruppo dichiara di aver effettuato sia la valutazione di impatto sia il test di bilanciamento e prevede l’aggiornamento dell’informativa privacy dei lavoratori.

Particolarmente rilevante è la separazione tra sicurezza informatica e valutazione della prestazione. Il sistema non può essere utilizzato per controllare direttamente o indirettamente l’attività lavorativa, la produttività, i tempi di lavoro o le modalità di svolgimento della prestazione, né per profilare i dipendenti. Anche gli alert e le correlazioni prodotti automaticamente dal SIEM non possono costituire autonomamente elementi di valutazione dell’operato del lavoratore. L’accordo non introduce tuttavia una inutilizzabilità assoluta dei dati sul piano disciplinare: ne ammette l’impiego nei casi previsti dalla legge qualora, nel corso delle verifiche di sicurezza, emergano incidentalmente elementi relativi a condotte fraudolente.

Sono rilevanti anche le regole relative all’accesso. La consultazione dei dati è consentita soltanto in presenza di uno specifico evento di sicurezza, a personale formalmente autorizzato e secondo i principi di necessità, pertinenza e proporzionalità. Gli accessi sono a loro volta tracciati. Le attività ordinarie devono essere svolte, ove tecnicamente possibile, su dati aggregati, mascherati, anonimizzati o pseudonimizzati; la riconduzione nominativa all’utente richiede invece uno specifico evento di sicurezza, una motivazione documentata e un accesso autorizzato.

Anche la retention viene sottratta a una gestione indeterminata. I log centralizzati nel SIEM possono essere conservati per un massimo di dodici mesi, mentre quelli presenti nei sistemi di origine hanno tempi differenti, compresi tra trenta e centottanta giorni a seconda della tipologia. Alla scadenza devono essere cancellati o resi non identificabili.

Ma forse il passaggio più interessante dal punto di vista delle relazioni industriali si trova nelle disposizioni che mantengono aperto il coinvolgimento sindacale dopo l’introduzione della tecnologia. Ogni sei mesi l’azienda deve fornire alle rappresentanze sindacali un report aggregato sugli accessi effettuati nell’ambito delle verifiche di sicurezza non ordinarie, indicando il numero degli accessi e le relative macro-finalità. Inoltre azienda e organizzazioni sindacali devono incontrarsi almeno annualmente per verificare l’applicazione dell’accordo, discutere le eventuali criticità e valutare modifiche normative o tecnologiche rilevanti.

Questo elemento distingue una autorizzazione una tantum da un tentativo più articolato di governo della tecnologia. I sistemi digitali non sono infatti oggetti statici: cambiano le funzionalità, aumentano le possibilità di correlazione dei dati, mutano le infrastrutture e possono modificarsi anche le finalità concretamente perseguibili. Per questo la questione non si esaurisce nella conformità iniziale dello strumento, ma riguarda la possibilità di verificarne nel tempo gli utilizzi effettivi.

L’accordo Generali offre quindi un caso interessante di contrattazione della trasformazione digitale. Non perché risolva in via generale il rapporto tra tecnologia e controllo, ma perché mostra uno spazio possibile per le relazioni industriali: entrare nell’architettura concreta dei sistemi, distinguere le finalità legittime dagli utilizzi ulteriori, disciplinare l’accesso ai dati e costruire meccanismi periodici di verifica.

È un terreno destinato ad ampliarsi. Cybersecurity, sistemi di intelligenza artificiale, piattaforme aziendali e strumenti di people analytics producono infatti una progressiva sovrapposizione tra infrastruttura tecnologica e organizzazione del lavoro. La questione sarà sempre meno soltanto quella di stabilire se una tecnologia “controlla” il lavoratore. Sarà piuttosto quella di comprendere quali dati produce, chi può accedervi, per quali scopi possono essere utilizzati, per quanto tempo possono essere conservati e quali soggetti partecipano alla definizione di queste regole. In questo senso la contrattazione collettiva può diventare uno degli strumenti attraverso cui la digitalizzazione del lavoro viene non soltanto introdotta, ma concretamente governata.

Bollettino ADAPT 21 settembre 2026, n. 33

Francesco Seghezzi

Presidente ADAPT

X@francescoseghezz