Segnalazioni interne: cosa deve garantire un modulo

Un’azienda di imballaggi di Biasca, con quaranta collaboratori, vuole che quanto si osserva in officina arrivi alla direzione: una protezione di una macchina spostata da settimane; un fornitore imparentato con un membro del team; un comportamento nel turno del mattino che qualcuno non vuole più lasciar correre. Finora tutto passava dal superiore diretto. Ora si vuole aggiungere un modulo sulla intranet.

Il modulo si costruisce in un quarto d’ora. La domanda a cui risponde, però, non è «di quali campi abbiamo bisogno», ma «chi lo legge poi». È da questa domanda che dipende se il modulo verrà usato. Un canale di segnalazione di cui non si sa dove porti resta vuoto — e un modulo vuoto non è la stessa cosa di un’azienda senza problemi.

Perché un modulo di segnalazione non è un modulo di contatto

Un normale modulo di contatto sul sito produce una richiesta: una persona scrive di sé e desidera una risposta. Un modulo di segnalazione interno produce qualcos’altro. Tre differenze saltano all’occhio.

La segnalazione riguarda quasi sempre una terza persona. Nella tabella non figura allora soltanto chi ha scritto, ma anche su chi. Entrambi sono dati personali ai sensi dell’art. 5 lett. a LPD, ed entrambi hanno diritti collegati.

È il mittente la parte delicata. In una richiesta d’offerta il nome è una formalità. In una segnalazione su un conflitto di interessi il nome è il dato che decide le conseguenze per chi ha scritto.

Serve una via di ritorno. A una richiesta si risponde per e-mail. A una segnalazione arrivata senza indirizzo non si può rispondere — a meno che il modulo non l’abbia previsto in anticipo.

Chi può vedere un invio

L’ordinanza sulla protezione dei dati indica la riservatezza fra quattro obiettivi di protezione: i dati devono essere «accessibili soltanto alle persone autorizzate» (art. 2 lett. a OPDa). L’art. 3 cpv. 1 lett. a OPDa diventa poi più concreto e nomina il controllo dell’accesso — le persone autorizzate devono avere accesso soltanto ai dati personali di cui necessitano per svolgere i loro compiti. Per la sicurezza dei dati in generale, l’art. 8 LPD esige misure tecniche e organizzative adeguate al rischio.

Resta astratto finché non si conta chi, in un modulo impostato nel modo abituale, può effettivamente guardarci dentro.

Chi	Di regola vede	Perché
La casella dietro il modulo	Ogni segnalazione per intero	I moduli scrivono spesso a un indirizzo collettivo
La persona titolare dell’accesso	Ogni segnalazione per intero	Una casella condivisa raramente è di una sola persona
La supplenza durante le vacanze	Ogni segnalazione per intero	Inoltri e deleghe di rado vengono revocati
L’amministrazione informatica	Segnalazioni, allegati, registri	I diritti di amministratore valgono per ogni cartella
Lo strumento di moduli stesso	Tutte le risposte nella tabella	È lì che vengono conservate
Il responsabile del trattamento	Quanto lo strumento conserva	L’art. 9 LPD disciplina la delega, non la visibilità

Nessuna voce di questo elenco è un errore. Sono impostazioni predefinite, giuste per una richiesta d’offerta — e che, per un canale di segnalazione, descrivono una cerchia più ampia di quanto la dicitura «riservato» lasci intendere.

L’altra metà della stessa domanda riguarda chi non deve vedere: il superiore di cui si parla nella segnalazione; il reparto da cui proviene; chi decide su salari e contratti. Un modulo può rispecchiarlo se dispone di un archivio proprio e separato. Non può farlo se le segnalazioni finiscono nella stessa tabella delle richieste di vacanza.

Segnalare in forma anonima, e quanto costa a entrambe le parti

L’anonimato non è un’impostazione da attivare. È un accordo con costi da entrambe le parti.

Che cosa	Con il nome	In forma anonima
Chiedere un chiarimento	Possibile	Non possibile senza un canale previsto
Trasmettere documenti in seguito	Possibile	Solo per la stessa via della prima segnalazione
Essere informati sull’esito	Possibile	Solo con un canale di ritorno senza indirizzo
Collocare la segnalazione	Ruolo e punto di vista sono noti	La segnalazione sta da sola
Conseguenze per chi segnala	Dipendono dal controllo dell’accesso	Dipendono da cos’altro il modulo conserva

Il punto che nella pratica sfugge più spesso è il terzo. Senza indirizzo non c’è via di ritorno, e chi ha scritto non viene quindi mai a sapere se qualcuno abbia letto. È esattamente per questo che la seconda segnalazione non arriva.

Fra i due estremi esiste un terzo stato che non è né l’uno né l’altro. All’invio il modulo assegna un codice — una sequenza di caratteri nota solo a chi segnala — e lo mostra una volta sola. Con quel codice si apre più tardi una pagina su cui compare una domanda di chiarimento o un messaggio. L’azienda conosce il codice, ma nessun indirizzo; la persona conosce entrambi. È una casella postale senza via. Funziona finché il codice non viene conservato collegato a un numero di conto, a un indirizzo e-mail o a una sessione — altrimenti il giro è solo di facciata.

Cosa arriva insieme, anche quando il campo del nome resta vuoto

Accanto ai campi compilati, l’invio genera un secondo strato di informazioni. In un modulo di iscrizione è materia amministrativa. In un modulo di segnalazione è l’oggetto vero e proprio.

L’orario. In un’azienda di quaranta persone, «domenica, ore 23.40» restringe già la cerchia. In un turno di sei persone la restringe di molto.

L’account collegato. Se il modulo si trova sulla intranet dietro l’autenticazione, il sistema sa chi l’ha aperto — anche se nel modulo non compare alcun nome. «Anonimo» significa allora: anonimo nel modulo, non nel sistema.

Rete e dispositivo. Indirizzo IP, browser, sistema operativo, a volte la dimensione dello schermo. Presi singolarmente dicono poco. Insieme a un orario e a un inventario dei dispositivi tenuto dall’informatica dicono di più. Se tali indicazioni rendano una persona identificabile si decide all’art. 5 lett. a LPD, e quindi in base a cos’altro figura nella stessa riga.

Il file allegato. Una fotografia porta spesso con sé l’ora dello scatto e il dispositivo; un documento d’ufficio porta il nome dell’account con cui è stato creato, e talvolta l’intera cronologia delle modifiche.

I registri. A determinate condizioni l’art. 4 OPDa esige la verbalizzazione di memorizzazione, modifica, lettura, comunicazione, cancellazione e distruzione — in particolare quando altrimenti non sarebbe possibile accertare a posteriori se i dati siano stati trattati per gli scopi per cui sono stati raccolti. Questi registri esistono per la tracciabilità che l’art. 2 lett. d OPDa indica come obiettivo di protezione. Sono al tempo stesso un elenco in più che dice chi era dove, e quando.

La persona oggetto della segnalazione

La seconda persona interessata compare di rado nella discussione, ma figura nella stessa riga.

La LPD elenca all’art. 5 lett. c n. 5 i «dati su perseguimenti e sanzioni amministrativi e penali» fra i dati personali degni di particolare protezione. Una segnalazione non è né un perseguimento né una sanzione. Può però contenere indicazioni che vi si avvicinano e, a seconda del contenuto, anche indicazioni sulla salute o sull’attività sindacale ai sensi della stessa disposizione.

Per i rapporti di lavoro si aggiunge l’art. 328b CO: il datore di lavoro può trattare dati concernenti il lavoratore soltanto in quanto si riferiscano all’idoneità per il rapporto di lavoro o siano necessari all’esecuzione del contratto di lavoro; per il resto valgono le disposizioni della LPD. L’art. 362 cpv. 1 CO annovera l’art. 328b fra le disposizioni alle quali non si può derogare a svantaggio del lavoratore. Sul trattamento di dati da parte del datore di lavoro, l’IFPDT rileva inoltre che i dipendenti, per la loro posizione subordinata, solo molto raramente sono in grado di acconsentire liberamente, o di rifiutare o revocare un consenso.

In pratica, per il modulo questo significa soprattutto una cosa: quanto contenuto in una segnalazione non finisce automaticamente in modo permanente nel dossier del personale. L’art. 6 cpv. 3 e 4 LPD chiede uno scopo determinato e riconoscibile per la persona interessata, nonché la distruzione o l’anonimizzazione non appena i dati non siano più necessari a tale scopo. Un modulo di segnalazione le cui risposte confluiscono automaticamente nello stesso archivio delle candidature rende difficile questa separazione.

Perché il modulo di contatto generico raramente è adatto

La via più immediata è aggiungere al modulo di contatto esistente un’opzione «segnalazione». Fa risparmiare mezz’ora e porta con sé quattro cose che si notano solo più tardi.

• Una sola destinazione per tutto. Richieste e segnalazioni arrivano nella stessa casella, e la cerchia degli autorizzati vi è stata fissata per il più innocuo dei due casi.
• Nessuna conservazione separata. Le richieste dal modulo di contatto vengono cancellate dopo un anno, oppure mai. Per le segnalazioni valgono di rado le stesse considerazioni.
• Nessun canale di ritorno senza indirizzo. Un modulo di contatto presuppone un indirizzo e-mail, perché è costruito per rispondere.
• Una conferma che riscrive. Molti moduli inviano una conferma automatica all’indirizzo indicato. Per una segnalazione inviata da un account aziendale, si tratta di un’e-mail su una segnalazione, depositata in una casella che altri possono leggere.

Le domande con cui misurare un modulo di segnalazione

Le domande utili non sono giuridiche, sono numerabili. Si possono percorrere sul proprio modulo in mezz’ora:

1. Quanti account possono aprire le risposte — elencati per nome, non stimati?
2. Uno di essi appartiene a una persona che potrebbe essere oggetto di una segnalazione?
3. Cosa figura nella tabella accanto al testo: orario, indirizzo IP, account, pagina di provenienza?
4. Si può passare dal modulo senza indirizzo e-mail, e cosa si vede poi?
5. Come fa una segnalazione anonima a sapere di essere arrivata?
6. Chi riceve la conferma automatica, e dove?
7. Quanto restano le risposte, e chi lo decide?
8. Cosa succede agli allegati, e dove si trovano?

Per una società sportiva con un comitato di volontari valgono le stesse otto domande, solo con numeri più piccoli. Lì la terza è la più delicata, perché una casella di una società è quasi sempre aperta a più persone.

Un canale di segnalazione non diventa riservato perché sopra c’è scritto «riservato». Lo diventa perché l’elenco delle persone autorizzate è breve e qualcuno lo conosce.

Con Formulare sviluppiamo un’applicazione web in cui le risposte vengono cifrate già nel browser e restano conservate in Svizzera. Per un canale di segnalazione questo significa soprattutto che l’elenco qui sopra si accorcia: i servizi che lungo il percorso conservano e inoltrano le risposte non vi figurano più. Quali campi abbia il modulo e chi in azienda possa leggere resta la decisione di chi lo imposta.