«Conservare tutto per sicurezza» è l’impostazione predefinita nella maggior parte dei progetti di monitoraggio, e il modo più semplice per fallire un audit. La conservazione è una decisione, non un’impostazione di archiviazione.

Punto di partenza per tipo di dato

• Tempo di lavoro (accesso, attivo, inattivo): un ciclo di payroll più il termine legale per le rivendicazioni salariali.
• Uso di applicazioni e web: 30-90 giorni in dettaglio; gli aggregati possono restare più a lungo.
• Conteggio delle battute: 30 giorni; serve solo all’andamento.
• Schermate: 14-30 giorni, salvo indagine in corso.
• Trasferimenti di file e USB: 90-180 giorni.
• Registri di accesso (chi ha visto cosa): un anno.

Tre regole che reggono

1. Applicare nel sistema, non in una policy. Se la cancellazione dipende da qualcuno che se ne ricorda, non avviene.
2. Separare il legal hold dalla routine. Un’indagine aperta va esclusa esplicitamente, con un responsabile e una data di chiusura.
3. Scrivere il motivo accanto al numero. «90 giorni perché le contestazioni sui file emergono entro un trimestre» sopravvive a un cambio di direzione; «90 giorni perché era il default» no.

E va detto nell’informativa: «le schermate vengono cancellate dopo 30 giorni» è un dato valutabile, che riduce il sospetto.

iMonitor EAM in italiano · Dodici verifiche prima dell’acquisto

Informazione generale, non consulenza legale.

→ Continua: controllo a distanza

☰ Indice completo delle guide

☰ Leggi le cinque guide insieme

Consentire ai dipendenti di usare il proprio portatile o smartphone fa risparmiare e complica la conformità. La domanda pratica non è «possiamo controllare un dispositivo personale?» ma «quale parte di questo dispositivo è nostra?».

La linea che funziona

Registrabile: l’uso delle applicazioni aziendali, l’accesso ai sistemi aziendali, l’attività dentro quei sistemi e i file che ne escono. È attività lavorativa, indipendentemente da chi possiede l’hardware.

Da non registrare: messaggi privati, foto, posizione fuori orario, contatti personali o il contenuto dello schermo quando la persona non sta lavorando. Un agente che cattura lo schermo in continuo su un telefono personale registra la vita privata per costruzione, anche se nessuno guarda.

Tre condizioni prima di installare

1. Consenso informato e specifico, per iscritto. Su un dispositivo personale la politica aziendale generale non basta: serve un’autorizzazione esplicita e revocabile.
2. Separazione tecnica, non una promessa. O l’agente vede solo il contenitore aziendale (posta, applicazioni gestite), oppure ci si affida alla buona fede.
3. Cosa accade quando la persona esce. La cancellazione deve rimuovere i dati aziendali e lasciare intatti quelli personali; se non è dimostrabile, non è risolto.

Un’alternativa più semplice

Se l’obiettivo è proteggere le informazioni e non sorvegliare le persone, la prevenzione della perdita di dati sui sistemi aziendali basta spesso: quali file sono stati copiati, su quale supporto, attraverso quale canale. Si registra sul server aziendale e non richiede un agente sul telefono personale.

Informazione generale, non consulenza legale.

iMonitor EAM in italiano · Dodici verifiche prima dell’acquisto

→ Continua: BYOD, cosa si può registrare su un dispositivo personale

☰ Indice completo delle guide

☰ Leggi le cinque guide insieme

Quando metà settimana si lavora da casa, la domanda «è al suo posto?» perde senso. La domanda utile diventa: resta traccia che il lavoro è stato fatto?

Tre decisioni prima di installare qualsiasi cosa

1. Che cosa si registra. Per orari e straordinari bastano accesso, tempo attivo e tempo inattivo. L’attività da tastiera si conta, non si cattura: quanto si è scritto risponde alla domanda sulla produttività; che cosa si è scritto crea una categoria di dati che nessuno vuole difendere.

2. Dove vivono i dati. Il monitoraggio cloud carica i registri sui server del fornitore e trasforma una decisione interna in una questione di trasferimento dati. In locale (on-premise) il server resta nella rete aziendale; la risposta a «dove sono questi dati» è una frase.

3. Chi può vederli. Permessi per ruolo, un registro degli accessi e una conservazione applicata dal sistema. Se lo strumento non limita chi vede le schermate, l’unica tutela per il dipendente è la policy scritta.

Cosa non deve fare

• Acquisire schermate per tutti per impostazione predefinita, quando lo scopo dichiarato è l’orario di lavoro.
• Allargare il perimetro a progetto avviato senza una ragione documentata.
• Funzionare solo online: un portatile senza rete deve continuare a registrare e caricare dopo.

Nota legale

In Italia rilevano l’art. 4 dello Statuto dei Lavoratori (impianti di controllo a distanza), l’accordo collettivo e il GDPR nella parte su finalità, minimizzazione e informativa. Informazione generale, non consulenza legale.

Dove si colloca iMonitor EAM

iMonitor EAM è monitoraggio dell’attività e prevenzione della perdita di dati che gira sul server aziendale. I moduli si attivano singolarmente, l’attività da tastiera viene contata e non catturata, un solo server gestisce fino a 2.000 postazioni Windows, macOS e Linux. Licenza perpetua per client con un anno di aggiornamenti e supporto; edizione professional da 5 client, prova di 15 giorni.

Il prodotto in italiano · Dodici verifiche prima dell’acquisto

→ Continua: BYOD, cosa si può registrare su un dispositivo personale

☰ Indice completo delle guide