8C_79/2016
Sentenza del 30 giugno 2017
I Corte di diritto sociale
Composizione
Giudici federali Maillard, Presidente,
Frésard, Heine, Wirthlin, Viscione,
Cancelliere Bernasconi.
Partecipanti al procedimento
A.________,
patrocinato dall'avv. dott. Franco Gianoni,
ricorrente,
contro
Ferrovie Federali Svizzere FFS,
HR-PP-SPA, Hilfikerstrasse 1, 3000 Berna 65,
opponenti.
Oggetto
Diritto della funzione pubblica (scioglimento immediato del rapporto di lavoro),
ricorso contro il giudizio del Tribunale amministrativo federale, Corte I, dell'8 dicembre 2015.
A.________ è entrato alle dipendenze delle Ferrovie Federali Svizzere FFS (di seguito FFS) dal 1° settembre 1989. Il 17 settembre 2014 le FFS hanno pronunciato lo scioglimento del contratto di lavoro con effetto immediato dal 18 settembre 2014 in seguito a molteplici accessi di breve durata a siti con contenuto pornografico e sessista dalla propria postazione di lavoro.
B.a. A.________ ha impugnato la decisione delle FFS dinanzi al Tribunale amministrativo federale, chiedendone l'annullamento.
B.b. Con decisione incidentale del 27 ottobre 2014 il giudice dell'istruzione del Tribunale amministrativo federale ha respinto la domanda di effetto sospensivo presentata da A.________, ordinando tuttavia alle Ferrovie Federali Svizzere FFS di continuare a versargli il salario durante la procedura dinanzi alla Corte federale di primo grado. Un ricorso in materia di diritto pubblico inoltrato dalle FFS contro la decisione incidentale è stato dichiarato inammissibile con sentenza 8C_868/2014 del 17 dicembre 2014.
B.c. L'8 dicembre 2015 il Tribunale amministrativo federale, Corte I, ha respinto il ricorso presentato da A.________ contro la decisione di scioglimento del contratto di lavoro.
A.________ presenta un ricorso in materia di diritto pubblico con cui chiede in via principale l'annullamento del giudizio e della decisione amministrativa impugnati e la reintegrazione nella propria funzione. In via subordinata chiede l'accertamento dell'assenza di motivi per lo scioglimento immediato e la concessione di un'indennità di 12 mesi.
Le FFS postulano la reiezione del ricorso. Il Tribunale amministrativo federale ha comunicato di non avere osservazioni e di riconfermarsi nel proprio giudizio.
Il Tribunale federale con decreto del 18 maggio 2016 ha rifiutato la concessione dell'effetto sospensivo.
1.1. Il Tribunale federale esamina d'ufficio e con pieno potere di esame la sua competenza (art. 29 cpv. 1 LTF), rispettivamente l'ammissibilità dei gravami che gli vengono sottoposti (DTF 140 I 90 consid. 1 pag. 92; 139 V 42 consid. 1 pag. 44).
1.2. A norma dell'art. 83 lett. g LTF, nei rapporti di lavoro di diritto pubblico, nella misura in cui, come nel caso concreto, non è in discussione la questione della parità dei sessi, il ricorso in materia di diritto pubblico è inammissibile contro le decisioni che concernono una controversia di natura non patrimoniale. La vertenza sottoposta al giudizio della Corte federale di primo grado non verte sul versamento di una somma in denaro ma sull'annullamento di una decisione di rescissione del rapporto d'impiego. In tale misura, si può ritenere che la contestazione sia di natura pecuniaria e che non si applichi il motivo di esclusione dell'art. 83 lett. g LTF (sentenza 8C_448/2012 del 17 gennaio 2013 consid. 1.1, non pubblicato in DTF 139 II 7).
1.3. Giusta l'art. 85 cpv. 1 lett. b LTF, un ricorso in materia di diritto pubblico, che riguarda una controversia di natura patrimoniale nel campo dei rapporti di lavoro di diritto pubblico, è ammissibile solo se il valore litigioso è superiore a fr. 15'000.-. Di regola, nei casi in cui la LTF prevede un valore litigioso minimo per ammettere un ricorso, il valore litigioso deve essere indicato nel giudizio precedente con i rimedi giuridici (art. 112 cpv. 1 lett. d LTF). Nella fattispecie, questa indicazione non è contenuta esplicitamente nella pronuncia impugnata e il ricorrente dà sostanzialmente per scontato l'adempimento di questo presupposto processuale. Appare tuttavia evidente che nel caso concreto dalla disdetta del rapporto d'impiego, con un'ultima retribuzione annuale lorda di fr. 97'040.-, vertendo potenzialmente il salario su diversi mesi o anni, il limite di fr. 15'000.- è ampiamente superato (art. 51 cpv. 1 lett. a e cpv. 4 LTF). La condizione dell'art. 85 cpv. 1 lett. b LTF è quindi adempiuta.
1.4. Il ricorso in materia di diritto pubblico (art. 82 LTF) può essere presentato per violazione del diritto, conformemente a quanto stabilito dagli art. 95 e 96 LTF. Pur applicando d'ufficio il diritto (art. 106 cpv. 1 LTF), tenuto conto dell'esigenza di motivazione posta dall'art. 42 cpv. 1 e 2 LTF, il Tribunale federale esamina solamente le censure sollevate (DTF 133 III 545 consid. 2.2 pag. 550), mentre non è tenuto a vagliare, come lo farebbe un'autorità di prima istanza, tutte le questioni giuridiche che si pongono, se queste ultime non sono (più) presentate in sede federale (DTF 133 II 249 consid. 1.4.1 pag. 254). Per quanto attiene invece all'accertamento e all'apprezzamento dei fatti operati dal giudice precedente, esso può essere censurato unicamente se è avvenuto in modo manifestamente inesatto, ovvero arbitrario (DTF 134 V 53 consid. 4.3 pag. 62), oppure in violazione del diritto ai sensi dell'art. 95 LTF e se l'eliminazione del vizio può essere determinante per l'esito del procedimento (art. 97 cpv. 1 LTF).
Oggetto del contendere è sapere se sia lesivo del diritto federale il giudizio del Tribunale amministrativo federale, che ha confermato lo scioglimento immediato del rapporto di lavoro per ripetuta consultazione di siti internet di stampo pornografico.
3.1. Il Tribunale amministrativo federale, dopo aver richiamato la legge sul personale federale (LPers; RS 172.220.1) e le disposizioni particolari del contratto collettivo di lavoro FFS (CCL FFS), ha ricordato la legge sul lavoro (LL; RS 822.11) e l'ordinanza 3 concernente la legge sul lavoro (OLL 3; RS 822.113). Secondo l'art. 26 OLL 3 sono di massima vietati l'applicazione di sistemi di sorveglianza e di controllo del comportamento dei lavoratori sul posto di lavoro. In tale ottica, un controllo sistematico e personalizzato dei dati di navigazioni in Internet e nella posta elettronica è esclusa. I datori sono tuttavia tenuti a informare anticipatamente la modalità di uso (autorizzati) di questi strumenti. Sul piano del diritto pubblico del personale, la Corte federale di primo grado ha illustrato l'iter legislativo relativo agli art. 57i-q della legge sull'organizzazione del Governo e dell'amministrazione (LOGA; RS 172.010) e l'ordinanza sul trattamento di dati personali derivanti dall'utilizzazione dell'infrastruttura elettronica della Confederazione (RS 172.010.442; di seguito: "ordinanza sui dati marginali"), i quali hanno posto le condizioni in materia di trattamento dei dati derivanti dall'uso dell'infrastruttura elettronica.
Il Tribunale amministrativo federale, descrittene le caratteristiche, ha concluso che il sistema di analisi della rete informatica in uso alle FFS, segnatamente per quanto attiene all'esigenza di una verifica a campione è conforme all'art. 57n LOGA. I primi giudici hanno per contro ritenuto lesivo dell'art. 57o LOGA tale sistema, poiché, venuti all'analisi nominale riferita a persone, il datore di lavoro non ha chiesto l'autorizzazione all'interessato, che non è stato interpellato in alcun modo, o alla direzione FFS. I primi giudici si sono quindi chiesti se le risultanze dell'inchiesta informatica, ritenute illecite, dovessero essere estromesse dal fascicolo. La Corte federale di primo grado, rilevato che la PA non disciplina l'uso di prove raccolte illecitamente, si è appoggiata sull'art. 29 della legge ticinese del 24 settembre 2013 sulla procedura amministrativa (RL 3.3.1.1) e sull'art. 152 CPC. Soppesati gli interessi in gioco, il Tribunale amministrativo federale, alla luce delle circostanze che il ricorrente era avvertito al momento dell'accesso a pagine pornografiche e che la consultazione era vietata al personale, ha mantenuto nel fascicolo il rapporto sull'inchiesta informatica operata dal datore di lavoro.
3.2. Il ricorrente contesta innanzitutto l'assenza di una base legale sufficiente. Rileva che il datore di lavoro e i primi giudici hanno applicato erroneamente l'art. 57n LOGA relativo all'analisi a campione, la cui interpretazione sarebbe chiaramente desumibile dal messaggio del Consiglio federale. In tal senso, si esprimerebbero anche l'art. 9 dell'ordinanza sul trattamento di dati personali derivanti dall'utilizzazione dell'infrastruttura elettronica della Confederazione (RS 172.010.442) e la Guida alla sorveglianza dell'utilizzazione di Internet e della posta elettronica sul posto di lavoro edita dall'Amministrazione federale. In questo ambito occorre tenere conto anche della durata della sorveglianza, che è stata troppo lunga. Il rapporto allestito dalle FFS si dimostra una prova illecita che va estromessa dagli atti processuali. Se anche il ricorrente riconosce che i singoli messaggi di posta elettronica non sono stati esaminati, ritiene che l'ingerenza nella sfera privata rimanga notevole, proprio perché le direttive interne non vietano l'uso di internet per scopi privati. Va altresì relativizzata la portata dell'avvertimento che appariva in occasione dell'apertura di siti non tollerati.
4.1. L'art. 15 della legge federale sulle Ferrovie Federali Svizzere (LFFS; RS 742.31) recita che le disposizioni relative al rapporto d'impiego del personale federale sono applicabili anche al personale delle FFS (cpv. 1; cfr. anche art. 2 cpv. 1 lett. d LPers). Il Consiglio federale può autorizzare le FFS a disciplinare altrimenti il rapporto d'impiego, introducendo deroghe o complementi nel quadro dei contratti collettivi di lavoro (cpv. 2). In singoli casi motivati è possibile stipulare contratti secondo il Codice delle obbligazioni (cpv. 3). In concreto, al momento dei fatti, era in vigore un contratto collettivo di lavoro il CCL FFS 2011 del 1° luglio 2011. Esso trova quindi applicazione alla presente controversia.
4.2. Il CCL FFS 2011 non contiene particolari disposizioni sull'uso dell'infrastruttura elettronica. La legge sul lavoro (LL; RS 822.11), applicabile in parte anche ai pubblici impieghi (art. 3a lett. a LL), obbliga il datore di lavoro (art. 6 LL) a tutela della salute dei lavoratori a prendere tutti i provvedimenti, che l'esperienza ha dimostrato necessari, realizzabili secondo lo stato della tecnica e adeguati alle condizioni d'esercizio. Deve inoltre prendere i provvedimenti necessari per la tutela dell'integrità personale dei lavoratori. In modo particolare, non è ammessa l'applicazione di sistemi di sorveglianza e di controllo del comportamento dei lavoratori sul posto di lavoro (art. 26 cpv. 1 dell'ordinanza 3 concernente la legge sul lavoro; OLL 3; RS 822.113). I sistemi di sorveglianza o di controllo, se sono necessari per altre ragioni, devono essere concepiti e disposti in modo da non pregiudicare la salute e la libertà di movimento dei lavoratori (art. 26 cpv. 2 OLL 3).
4.3. In tale contesto, occorre ricordare inoltre che gli organi federali hanno il diritto di trattare dati personali se ne esiste una base legale (art. 17 cpv. 1 della legge sulla protezione dei dati; LPD; RS 235.1). A norma dell'art. 17 cpv. 2 LPD i dati personali degni di particolare protezione e i profili della personalità possono essere trattati soltanto se lo prevede esplicitamente una legge in senso formale, o se eccezionalmente: ciò sia indispensabile per l'adempimento di un compito chiaramente definito in una legge in senso formale (lett. a), se il Consiglio federale lo autorizza nel caso specifico poiché non sono pregiudicati i diritti della persona interessata (lett. b), o se la persona interessata, nel caso specifico, ha dato il suo consenso o ha reso i suoi dati accessibili a chiunque e non si è opposta formalmente al trattamento (lett. c). Per questa ragione, il legislatore federale con la legge federale concernente l'istituzione e l'adeguamento di basi legali per il trattamento di dati personali (RU 2000 1891) ha introdotto l'art. 57h LOGA (originariamente art. 57a) e modificato alcune leggi federali, creando così le basi legali per la gestione di collezioni di dati in seno all'Amministrazione federale (FF 1999 7979).
4.4.
4.4.1. Proprio perché l'uso dell'infrastruttura elettronica lascia inevitabilmente tracce (FF 2009 7409) di natura sensibile, principalmente con i cosiddetti dati marginali, i quali registrano l'attivazione e la disattivazione di collegamenti elettronici (orari e utenti di un collegamento telefonico o di siti Internet visitati, o di computer impiegati, ecc.), il legislatore federale ha provveduto a completare la LOGA (art. 57i -57 q; RU 2012 941), disposizioni applicabili non solo all'Amministrazione federale, ma anche al Tribunale federale (art. 25b LTF) e ai tribunali della Confederazione (art. 27b LTAF, art. 62a LOAP e art. 5a LTFB). La revisione legislativa si fonda sul principio che non sono ammesse la registrazione e l'analisi di dati personali risultanti dall'uso dell'infrastruttura elettronica della Confederazione (FF 2009 7410). Le deroghe a tale divieto sono elencate in quattro disposizioni (art. 57l -57o LOGA), le quali prevedono che la registrazione di dati e la loro analisi sono ammesse soltanto per le finalità elencate in maniera esaustiva nella legge (FF 2009 7411). La registrazione di dati è possibile soltanto se e nella misura in cui sia necessaria per procedere successivamente a un'analisi secondo gli art. 57m -57o. Tutti i dati possono essere memorizzati, ma il principio della proporzionalità deve governare l'analisi (FF 2009 7415 seg.).
4.4.2. Tutti i dati registrati per una determinata finalità possono anche essere analizzati per tale finalità, ma non in riferimento a persone (art. 57m). In tale evenienza il risultato deve contenere solo dati anonimizzati (FF 2009 7417). Un'analisi in riferimento a persone per campioni, che permette di trarre deduzioni su determinate utenze (analisi non nominale in riferimento a persone; ad esempio all'interno di singole unità amministrative, senza però che i singoli dipendenti siano identificati; FF 2009 7417) e un'analisi in riferimento a una determinata persona (analisi nominale in riferimento a persone) sono permesse soltanto per le finalità elencate esplicitamente agli art. 57ne 57o LOGA (FF 2009 7416 seg.). Se per raggiungere un determinato obiettivo, si rivela sufficiente un'analisi non nominale in riferimento a persone, l'organo federale dovrà, secondo il principio della proporzionalità, scegliere la via meno invasiva per la persona interessata (FF 2009 7417). Nell'ambito dell'esame parlamentare dell'art. 57o LOGA, la Commissione delle istituzioni politiche del Consiglio nazionale ha inasprito esplicitamente le condizioni per un'analisi nominale in riferimento alle persone, completando la normativa con un secondo capoverso. Si è così inteso innanzitutto permettere tali verifiche unicamente agli organi federali (lett. a). Si è stabilita inoltre la possibilità di effettuare tali analisi soltanto previa informazione scritta alla persona interessata (lett. b), in modo tale che la stessa potesse essere orientata sulle circostanze dell'operazione, sui diritti di consultazione e sulle sue possibilità di controllo e di correzione. In tal senso, l'art. 57o LOGA è più restrittivo dell'art. 10a LPD (verbale della Commissione del 14 gennaio 2010, pag. 12).
4.5.
4.5.1. Il Consiglio federale, fondandosi sull'art. 57q cpv. 1 LOGA, ha emanato l'ordinanza sul trattamento di dati personali derivanti dall'utilizzazione dell'infrastruttura elettronica della Confederazione (di seguito: ordinanza sul trattamento di dati; RS 172.010.442) in cui sono state disciplinate in dettaglio le modalità di analisi. All'art. 10 e all'art. 11 l'ordinanza sul trattamento di dati stabilisce la procedura che l'organo federale deve adottare per l'incarico e l'esecuzione di analisi nominali in riferimento a persone a causa di abuso o sospetto di abuso. Vi è abuso dell'infrastruttura elettronica se la modalità o l'entità dell'uso viola le direttive dell'organo federale o le disposizioni di legge (art. 10 cpv. 1 dell'ordinanza sul trattamento dei dati).
4.5.2. Per prassi invalsa, in linea di principio le cosiddette circolari o direttive non hanno forza di legge e non vincolano né gli amministrati né tantomeno le autorità giudiziarie né la stessa amministrazione (DTF 138 II 536 consid. 5.4.3 pag. 543; 136 V 295 consid. 5.7 pag. 308; 133 II 305 consid. 8.1 pag. 315). Visto però che esse tendono ad esplicitare l'interpretazione di determinate disposizioni legali, al fine di favorirne un'applicazione uniforme, ne va tenuto conto nella misura in cui propongono un'interpretazione corretta ed adeguata dei disposti applicabili. È quindi soltanto su questa base che vanno valutati tali documenti.
4.5.3. L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha pubblicato per l'Amministrazione federale una Guida alla sorveglianza dell'utilizzazione di Internet e della posta elettronica sul posto di lavoro (stato: ottobre 2013; di seguito: Guida), che ulteriormente specifica la materia. L'Incaricato distingue in linea di massima due tipi di abuso, quello quantitativo (uso eccessivo di Internet o posta elettronica per scopi privati) e quello qualitativo (richiamo da Internet di contenuti illegali o che l'organo federale qualifica come non ammessi; Guida, punto 9).
4.5.4. Le FFS da parte loro, fra i propri regolamenti interni, annoverano anche il K 400.8 (valevole dal 1° gennaio 2013) denominato Istruzione del Gruppo sull'utilizzo consentito di Internet e dei servizi e programmi di posta elettronica (di seguito: Istruzione). Sia per l'uso privato (punto 3.2.1) sia per scopi di lavoro (punto 3.1.2) non è consentito all'utente aprire siti dei quali l'utente sa, o per lo meno dovrebbe sapere, che presentano contenuti contrari alla legge o alla decenza (in particolare siti con contenuti sessisti, razzisti, estremistici, pornografici, contrari all'etica o diffamatori). Analogo principio è applicabile per l'uso di servizi e di programmi di posta elettronica (punto 4.1). L'Istruzione contempla anche un capitolo dedicato alle sanzioni (punto 5). In tale ambito il documento recita che "una flagrante violazione del punto 3.1.2 o 4.1 può portare al licenziamento senza preavviso" (punto 5.1).
5.1. Come accertato in maniera vincolante per il Tribunale federale (art. 105 cpv. 1 LTF), e sostanzialmente non contestato dal ricorrente, le FFS hanno adottato una rete informatica composta di un server proxy sui cui è installato un software denominato Bluecoat. Il programma serve sostanzialmente a proteggere la rete, categorizzando i siti informatici, segnatamente di carattere illecito, di bloccare questi ultimi e rilevare il traffico dei dati in transito. Mensilmente la società consegna un rapporto, ove emergono queste informazioni. Non essendo nominale né riferita a persone, la verifica periodica è senz'altro conforme alle disposizioni legali, siccome finalizzata anche al controllo del rispetto dei regolamenti di utilizzazione (art. 57l lett. b numero 3 e 57m LOGA).
5.2. Il rapporto Bluecoat del 31 luglio 2014 ha attestato numerosi accessi al blog "tumblr.com" e numerosi blocchi informatici alla categoria di siti internet dal contenuto pornografico e sessista. I servizi informatici delle FFS hanno quindi deciso di registrare ed analizzare in modo approfondito i dati informatici in maniera retroattiva. Sotto questo profilo la registrazione non presta il fianco a critiche (art. 57m LOGA).
5.3. L'esame dell'uso dell'infrastruttura informatica ha permesso di appurare che la tipologia dei siti visitati, avvenuta tra il 31 luglio e il 6 agosto 2014, per complessivi 4 giorni lavorativi, e l'identificazione dei computer era riconducibile all'utente XXX. Contrariamente all'opinione sostenuta dal ricorrente, l'analisi operata dalle FFS non è stata lesiva dell'art. 57n LOGA. È vero, tramite questa ricerca è possibile verificare l'accesso a siti internet anche per singole utenze, purché le persone non siano identificate. Il concetto di analisi "a campione" non deve essere intesa alla stregua di un esame a casaccio. Al contrario, l'organo federale è abilitato a restringere il campo della ricerca, come in concreto, ai siti non ammessi, al fine di verificare se tali accessi provengano dalla medesima utenza o dallo stesso gruppo.
Per quanto attiene all'analisi non nominale in riferimento a persone il legislatore fa esplicito riferimento all'accertamento del numero di accessi ad esempio verso i social network (FF 2009 7417). La ratio legis dell'art. 57n LOGA consiste innanzitutto nell'analisi non sistematica di una determinata utenza e nella tutela dell'anonimato di quest'ultima (se del caso con l'attribuzione di uno pseudonimo). L'anonimato deve essere mantenuto per lo meno finché l'abuso dell'infrastruttura sia accertato, momento in cui è possibile passare all'analisi nominale secondo l'art. 57o LOGA. Nel caso concreto, non sono ravvisabili violazioni dell'art. 57n LOGA. Sia le prove presentate dalle FFS sia l'istruttoria dibattimentale dinanzi al Tribunale amministrativo federale hanno permesso di appurare che nelle prime fasi dell'inchiesta interna, l'ufficio competente ha provveduto a valutare l'analisi dell'infrastruttura senza un legame a una persona determinata.
5.4. Diversa conclusione va tratta per contro dall'analisi nominale in riferimento a persone avvenuta nel caso in esame (art. 57o LOGA). In linea generale, occorre rilevare che sono chiaramente definite le singole tappe dell'inchiesta. Certo, le condizioni materiali per una simile ricerca nel caso concreto sono adempiute (art. 57o cpv. 1 lett. a LOGA), poiché l'inchiesta è stata effettuata per accertare un sospetto concreto e nel fine di perseguire un abuso tramite siti pornografici del sistema informatico (consid. 4.4.2). Tuttavia, fanno per contro difetto, come già concluso dal Tribunale amministrativo federale, le condizioni formali dell'analisi nominale in riferimento a persone. L'informazione scritta previa alla persona interessata è stata voluta esplicitamente dal legislatore (cfr. consid. 4.4.2), proprio per fare in modo che chi sia toccato da tale misura non sia tenuto all'oscuro della verifica a suo carico. Non solo, sono state disattese anche le disposizioni particolari previste all'art. 10 e all'art. 11 dell'ordinanza sul trattamento di dati, poiché non sono state chiesti né il consenso della persona interessata né, in sua vece, l'autorizzazione della direzione dell'organo federale (art. 10 cpv. 2 dell'ordinanza sul trattamento di dati). La circostanza che la Guida IFDPT sia sprovvista di disposizioni procedurali, come lascia intendere il Tribunale amministrativo federale, è a tal proposito irrilevante, poiché l'ordinanza sul trattamento di dati è sufficientemente chiara e dettagliata sulla maniera in cui l'organo federale (e la sua direzione) deve agire.
5.5. La portata chiara della legislazione in materia e dei materiali legislativi non permette di raccogliere a posteriori il consenso dell'interessato o dell'autorizzazione della direzione dell'organo federale alle analisi informatiche eseguite nel caso in esame. Rimane quindi solamente da esaminare l'utilizzabilità di tali prove, assunte in maniera illegale.
6.1. Nell'ambito di controversie civili dinanzi alle giurisdizioni cantonali, il giudice prende in considerazione mezzi di prova ottenuti illecitamente soltanto se l'interesse all'accertamento della verità prevale (art. 152 cpv. 2 CPC). Contrariamente alla prova irregolare, raccolta in violazione di una normativa procedurale, la prova illecita si ottiene a dispregio di una disposizione del diritto sostanziale, la quale deve proteggere il bene giuridico violato dalla lesione accertata (DTF 140 III 6 consid. 3.1 pag. 8). Per esempio, il Tribunale federale ha dichiarato inutilizzabile nel processo uno scritto elaborato nel quadro di una transazione extragiudiziale allegato contrariamente al dovere di confidenzialità sgorgante dall'art. 12 LLCA (DTF 140 III 6 consid. 3.2 pag. 10 seg.).
6.2. Nei procedimenti penali, gli art. 140 segg. CPP stabiliscono i limiti delle prove acquisite illecitamente. Innanzitutto le prove non utilizzabili a tenore del CPP sono inutilizzabili (art. 141 cpv. 1 seconda frase CPP). Le prove raccolte dalle autorità penali in modo penalmente illecito o in violazione di norme che ne condizionano la validità non possono essere utilizzate, eccetto che la loro utilizzazione sia indispensabile per far luce su gravi reati (art. 141 cpv. 2 CPP). Le prove raccolte in violazione di prescrizioni d'ordine possono essere utilizzate (art. 141 cpv. 3 CPP). Le prove raccolte esclusivamente grazie a prove non utilizzabili secondo il capoverso 2 non possono essere utilizzate (art. 141 cpv. 4 CPP). Alla luce di questa normativa sono state dichiarate utilizzabili le riprese videoregistrate effettuate dalla polizia per dimostrare un presunto sorpasso a destra eseguito da un conducente (DTF 141 IV 417) o l'esecuzione di una prova del sangue eseguita da una polizia cantonale non competente per territorio a un conducente presumibilmente in stato di inattitudine (DTF 142 IV 23).
6.3. La PA e la PC, applicabili a titolo sussidiario per la procedura probatoria a norma dell'art. 19 PA, non disciplinano in alcun modo l'uso di prove raccolte in maniera illecita (CHRISTOPH AUER, Kommentar zum Bundesgesetz über das Verwaltungsverfahren, 2007, nota 23 ad art. 12 PA). La dottrina propende per una soppesazione degli interessi (AUER, nota 23 ad art. 12 PA; PATRICK KRAUSKOPF/KATRIN EMMENEGGER/FABIO BABEY, Praxiskommentar Verwaltungsverfahrensgesetz, 2016, nota a margine 188 segg. ad art. 12 PA). Del resto, diversamente dalla procedura penale, la PA nemmeno prevede esplicitamente casi di inutilizzabilità assolta. Ciò significa che, alla luce anche dell'art. 6 § 1 CEDU e dell'art. 29 cpv. 1 Cost., l'uso di mezzi di prova illeciti è escluso solo (ma pur sempre) in linea di massima. Un utilizzo di tale materiale probatorio si giustifica solo se, dopo ponderazione, l'interesse all'accertamento della verità materiale prevale rispetto a quello della tutela della personalità dell'interessato. Tale circostanza si verifica maggiormente nei procedimenti retti dal principio inquisitorio (e dalla massima ufficiale), atteso comunque che le ingerenze nella sfera privata vanno ammesse con estremo riserbo. Occorre peraltro che quel mezzo di prova possa essere ipoteticamente ottenuto legalmente, circostanza correttamente non contestata alla luce dell'art. 57o LOGA e dell'art. 10 cpv. 2 dell'ordinanza sui dati marginali (DTF 139 II 95 consid. 3.1 pag. 100 seg.; 139 II 7 consid. 6.4.1 pag. 25; 131 I 272 consid. 4 pag. 280 segg.; 120 V 435 consid. 2a pag. 339 seg.).
6.4. Nel caso concreto, è pacifico che le risultanze della sorveglianza informatica abbiano toccato la tutela della sfera privata del ricorrente. Egli però in maniera apodittica si limita a perorare la sua posizione, senza prendere particolare posizione con i considerandi del giudizio del Tribunale amministrativo federale. Il quadro normativo sull'uso di Internet era sufficientemente dettagliato, benché il ricorrente abbia affermato di non essersi mai informato, nemmeno quando l'attivazione di immagini non autorizzate induceva il sistema a lasciar apparire una finestra di blocco con tanto di link alla direttiva specifica. È peraltro nell'interesse di ogni datore di lavoro, che il dipendente non ecceda durante le ore di lavoro nell'uso per scopi privati di Internet, non solo dal lato qualitativo (contenuti non ammessi), ma anche da quello quantitativo. A torto, il ricorrente sottolinea la possibilità di uso a scopo privato della rete. Certamente, tale facoltà è possibile, ma entro limiti ben precisi (consid. 4.5.4). Occorre inoltre considerare che le FFS, pur essendo organizzate come società anonima di diritto speciale (art. 2 cpv. 1 e 10 LFFS), restano fra le aziende pubbliche per eccellenza (nel dettaglio sulla struttura societaria si veda DTF 132 III 470 consid. 3.3 pag. 374). L'interesse dell'azienda, titolare di un importante servizio pubblico, a combattere gli abusi dell'infrastruttura elettronica e a conservare una reputazione verso l'utenza, che in definitiva sono tutti i cittadini svizzeri, deve essere ritenuta molto elevata. Il presente caso si distingue oltretutto sensibilmente da quello deciso con la DTF 139 II 7. In quell'evenienza in maniera intenzionale il datore di lavoro aveva inserito nel computer di un singolo dipendente individuato anticipatamente un programma spia che permettesse di controllare in maniera continuativa tutto il traffico informatico, prendendo conoscenza anche del contenuto di messaggi di posta elettronica strettamente privati e riservati. Nella presente controversia le FFS hanno per contro individuato l'abuso, non focalizzandosi d'acchito sulla persona del ricorrente, ma solo successivamente dopo una graduale ricerca dei dati marginali (consid. 5). Ciò, per non nascondere che i fatti sono stati ammessi. In definitiva, le conclusioni del Tribunale amministrativo federale sull'uso delle prove non è pertanto lesivo né del diritto federale né tantomeno delle garanzie costituzionali minime. Non occorre, restando irrilevanti a questo stadio, valutare la durata delle analisi effettuate dal datore di lavoro e gli eventuali risvolti penali dalla visione di alcune immagini sensibili.
7.1. Il Tribunale amministrativo federale, richiamate le basi legali e la prassi ritenute applicabili alla disdetta immediata del rapporto di lavoro, ha osservato che viola il dovere di fedeltà la consultazione di siti internet per scopi privati, impiegando la propria postazione di lavoro e trascorrendo una parte considerevole del proprio tempo di lavoro. Osservato l'aspetto controverso della facoltà di licenziamento immediato in casi analoghi, i primi giudici hanno considerato che nella fattispecie gli accessi a siti pornografici hanno avuto una frequenza "marcatamente alta", in due evenienze anche qualificati di pornografia sotto il profilo penale, e la durata del collegamento "non è stata da meno", essendo superiore alle 80 ore sull'arco di 17 giorni lavorativi. La Corte del merito ha tenuto conto altresì che il ricorrente era regolarmente avvertito con una cosiddetta "finestra di blocco", la quale rinviava a una direttiva di servizio sull'uso di internet. La Corte federale di primo grado ha messo in luce in ogni caso che l'avvertimento di cui all'art. 10 LPers non necessita di una forma particolare: la "finestra di blocco" poteva essere quindi trattata alla stregua di un avvertimento. Il ricorrente avrebbe peraltro potuto rendersi conto del suo comportamento irregolare, dando lettura della direttiva di servizio, al quale la "finestra di blocco" rinviava.
7.2. Il ricorrente fa valere l'assenza di condizioni per sciogliere il rapporto di lavoro con effetto immediato. Se riconosce la possibilità di tale rescissione, il ricorrente osserva come ciò sia riservata a casi particolarmente gravi. Va tenuto conto anche della durata delle mancanze e dall'atteggiamento assunto dal lavoratore a fronte delle sollecitazioni formulate dal datore di lavoro. Sottolinea che l'uso anche eccessivo per scopi privati rientra nelle manchevolezze minori. A sostegno delle proprie conclusioni il ricorrente richiama la giurisprudenza resa in ambito di diritto privato. Ricorda come tale consultazione avveniva nei momenti morti. In concreto, poi non si sono coinvolte terze persone, mettendo in pericolo l'immagine dell'azienda. Le FFS, essendo una grossa azienda, avrebbero potuto peraltro bloccare l'accesso a siti ritenuti sensibili. A ciò si aggiunga che la stessa datrice di lavoro non avrebbe mai emesso critiche sull'operatività del ricorrente. Il ricorrente lamenta inoltre la circostanza di non aver mai ricevuto un avvertimento formale. L'avvertimento elaborato dal sistema informatico all'apertura di siti sensibili non può essere ritenuto sufficiente.
7.3. A norma dell'art. 10 cpv. 4 LPers le parti possono disdire immediatamente i rapporti di lavoro di durata determinata e indeterminata per motivi gravi. Questa facoltà, data sia al datore di lavoro sia all'impiegato, è stata introdotta in occasione della revisione legislativa del 14 dicembre 2012, entrata in vigore il 1° luglio 2013 (RU 2013 1493), tesa a modernizzare e adeguare la LPers al CO (FF 2011 5960; sentenza 8C_279/2016 del 22 febbraio 2017 consid. 3.1). L'art. 10 cpv. 4 LPers, il quale precedentemente era inserito all'art. 12 cpv. 7 LPers, si rifà in buona sostanza all'art. 337 CO, ove per cause gravi si intende ogni circostanza che non permetta per ragioni di buona fede di esigere da chi dà la disdetta che abbia a continuare nel contratto (FF 2011 5970). In tal senso, ci si può pertanto riferire sia alla giurisprudenza resa in applicazione della LPers prima della revisione legislativa sia alla prassi resa nell'ambito del diritto privato, considerando comunque le specificità del pubblico impiego (sentenza 8C_501/2013 del 18 novembre 2013 consid. 3; per una visione d'insieme sulla casistica si vedano HELOÏSE ROSELLO, Les influences du droit privé du travail sur le droit de la fonction publique, nota a margine 505 seg. e REMY WYLER/MATTHIEU BRIGUET, La fin des rapports de travail dans la fonction publique, 2017, pagg. 86 segg.).
7.4. A torto il ricorrente per sostenere la propria tesi potrebbe fondarsi sulla sentenza 4C.349/2002 del 25 giugno 2003. In questa causa il Tribunale federale (consid. 5 in fine), diversamente da quanto concluso dai primi giudici, non solo ha confermato che il lavoratore deve essere a disposizione del datore di lavoro durante tutta la durata stabilita dal contratto, ma ha anche confermato come non sia accettabile che in tali momenti il lavoratore svolga in larga misura attività private. In quel caso il Tribunale federale ha semplicemente ricordato come un licenziamento immediato non sia giustificato, se il lavoratore ha sì consultato per scopi privati Internet durante il tempo di lavoro (magari perfino accedendo a siti pornografici), ma si sia limitato unicamente a poche occasioni ("wenige Male"). Invano, il ricorrente cerca di confinare il suo comportamento fra le manchevolezze minori (cfr. anche sentenza 4C_173/2003 del 21 ottobre 2003). Nel caso in esame, il ricorrente non solo ha consultato pagine che dal profilo qualitativo non erano ammesse (consid. 4.5.4), bensì ha cumulato, come accertato dai primi giudici (art. 105 cpv. 1 LTF), anche sotto il profilo quantitativo un numero consistente di visioni (più di 80 ore in 17 giorni lavorativi). Così facendo, il ricorrente ha violato manifestamente il dovere di fedeltà. Infatti, egli ha dedicato il proprio tempo di lavoro ad attività estranee da quelle previste contrattualmente e ha trasgredito indisturbato le regolamentazioni chiare, ignorando oltretutto l'avviso della cosiddetta "finestra di blocco" con cui si informava l'utente del carattere illecito della pagina internet. Il ricorrente ha quindi irrimediabilmente compromesso il rapporto di fiducia, non potendo imputare all'opponente la continuazione del rapporto di lavoro. La circostanza che le consultazioni avvenissero nei tempi morti non è di rilievo, non potendo assurgere ad attenuante. Il lavoratore deve attenersi alle regole durante tutto il tempo lavorativo e non solo quando effettivamente svolge un'attività per il proprio datore di lavoro. In concreto, non ha nemmeno un effetto particolare la circostanza che in alcuni casi sarebbero state consultate pagine di pornografia represse dal diritto penale. Se è vero che le FFS non sono in quanto tali una cosiddetta organizzazione di tendenza ("Tendenzbetrieb"; sul concetto DTF 123 III 129 consid. 3b/cc pag. 134; 122 V 267 consid. 4a pag. 269; cfr. anche sentenza 9C_301/2008 del 2 luglio 2008 consid. 4.1), esse rimangono indiscutibilmente tra le tipiche aziende del servizio pubblico (cfr. consid. 6.4), aspetto su cui l'opponente deve incentrare la sua immagine, curando in modo particolare la sua onorabilità.
7.5. La revisione legislativa del 2013 (consid. 7.3) all'art. 10 LPers ha rinunciato a menzionare l'avvertimento. Nelle intenzioni del legislatore è tuttavia necessario, in caso di disdetta per motivi che giustificano un avvertimento preliminare, continuare a pronunciare un avvertimento prima di una decisione di disdetta. Prima occorre fare tutto il possibile affinché la collaborazione possa continuare, offrendo pertanto all'impiegato interessato la possibilità di migliorarsi (FF 2011 5971). L'esigenza di un avvertimento preliminare decade però quando il rapporto di fiducia è rotto in maniera irreparabile (sulla casistica si veda: NÖTZLI, Handkommentar zum BPG, nota 46 ad art. 12 LPers) o quando si rivela inutile (sentenza 8C_176/2015 del 9 febbraio 2016 consid. 3.2). In concreto, il ricorrente aveva avuto la possibilità sia tramite la direttiva sia tramite le cosiddette "finestre di blocco" (apparse centinaia di volte) di rendersi conto dell'irregolarità del suo comportamento. Queste indicazioni non l'hanno frenato in alcun modo. In simili condizioni, un avvertimento formale non aveva più alcun senso, poiché il ricorrente ha sempre persistito nell'accesso a immagini non ammesse.
8.1. Il Tribunale amministrativo federale ha ancora accertato che il ricorrente è stato regolarmente informato tramite la "finestra di blocco" della violazione delle istruzioni riguardanti l'uso di internet e che per sua stessa ammissione non ha mai letto l'avviso di blocco né tantomeno consultato il link della direttiva a cui lo stesso rinviava. La continuazione del rapporto di lavoro non era ormai più possibile, poiché avrebbe causato danni reputazionali insostenibili all'azienda che altre misure meno incisive non sarebbero state in grado di correggere. Anche 22 anni di buone prestazioni lavorative non hanno potuto pertanto essere di soccorso al ricorrente.
8.2. Il ricorrente non avrebbe potuto farsi un'idea delle conseguenze così pesanti. Il licenziamento immediato sarebbe lesivo anche del principio della proporzionalità, se solo si pensa che aveva ricevuto in precedenza tre premi per "ottime prestazioni e risultati".
8.3. Nella concreta evenienza, la censura di proporzionalità si confonde di gran lunga con l'esame di conformità per una disdetta immediata del rapporto di lavoro. Ad ogni modo a torto il ricorrente pretende che non avrebbe potuto rendersi conto delle conseguenze del suo agire. Le disposizioni interne, facilmente reperibili, lasciavano presagire esplicitamente la possibilità del licenziamento immediato (consid. 4.5.4). Anche a fronte di prestazioni positive nel passato, il licenziamento immediato è la sola misura possibile atteso che non era più possibile ristabilire alcun rapporto di fiducia, ormai andato completamente distrutto, e che andava ristabilito completamente il buon nome dell'azienda.
Ne segue che il ricorso deve essere respinto. Le spese giudiziarie seguono la soccombenza (art. 66 cpv. 1 LTF).
Il ricorso è respinto.
Le spese giudiziarie di fr. 3'000.- sono poste a carico del ricorrente.
Comunicazione alle parti e al Tribunale amministrativo federale, Corte I.
Lucerna, 30 giugno 2017
In nome della I Corte di diritto sociale
del Tribunale federale svizzero
Il Presidente: Maillard
Il Cancelliere: Bernasconi