Ordinanza ingiunzione o revoca n. 522 del 14/07/2026

Ammonimento al Comune di Chivasso per informativa incompleta sui metadati della posta elettronica

Il provvedimento n. 522 del 14 luglio 2026 riguarda il trattamento dei metadati generati dall’utilizzo, da parte del personale dipendente del Comune di Chivasso, del servizio di posta elettronica. Il procedimento è stato avviato a seguito di un reclamo presentato da un dipendente e ha riguardato sia la liceità della conservazione dei metadati nel contesto lavorativo sia la completezza dell’informativa resa agli interessati.

Fatto e attività istruttoria

Il disciplinare comunale per l’utilizzo delle risorse informatiche prevedeva la registrazione temporanea dei file di log della posta elettronica per motivi tecnici e di sicurezza. Il disciplinare indicava, a titolo esemplificativo, dati quali data, ora, mittente e destinatario e stabiliva che l’accesso fosse consentito al personale autorizzato alla gestione tecnica del servizio, ma non specificava il periodo di conservazione.

Nel corso dell’istruttoria, il Comune ha dichiarato che i metadati erano conservati per 21 giorni e che il trattamento perseguiva finalità connesse al corretto funzionamento e alla sicurezza del servizio di posta elettronica, nonché alla ricerca e indicizzazione dei messaggi e all’analisi degli incidenti di sicurezza. L’ente ha inoltre riferito che il servizio era erogato da una società nominata responsabile del trattamento ai sensi dell’art. 28 GDPR.

Il Comune ha successivamente precisato di non avere accesso diretto ai log del server, che nessun ufficio o dipendente li aveva consultati o analizzati e che l’eventuale acquisizione dei dati dal responsabile avveniva soltanto su richiesta formale. Ha inoltre qualificato come atecnica la formulazione inizialmente utilizzata per descrivere le finalità del trattamento, sostenendo che nella pratica i dati fossero conservati esclusivamente per il funzionamento dell’infrastruttura e per le più essenziali esigenze di sicurezza del servizio.

Quadro normativo sul trattamento dei metadati nel rapporto di lavoro

Il Garante ha richiamato gli artt. 6, 6, par. 2, 88 e 5 GDPR, nonché l’art. 2-ter del Codice privacy, sottolineando che il datore di lavoro deve trattare i dati dei dipendenti nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione, ed essere in grado di dimostrare la conformità del trattamento ai sensi degli artt. 5, par. 2, e 24 GDPR.

L’art. 88 GDPR consente agli Stati membri di prevedere norme più specifiche per assicurare la protezione dei diritti e della dignità dei lavoratori, in particolare quanto alla trasparenza e ai sistemi di monitoraggio sul luogo di lavoro. Nell’ordinamento italiano tale disciplina comprende l’art. 114 del Codice privacy, che richiama l’art. 4 della legge 20 maggio 1970, n. 300.

L’art. 4 dello Statuto dei lavoratori distingue tra:

• strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, soggetti alle garanzie procedurali del comma 1, ossia accordo sindacale o autorizzazione pubblica;
• strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa, rispetto ai quali opera l’eccezione del comma 2, da interpretare restrittivamente.

Secondo il Garante, i metadati della posta elettronica possono comprendere indirizzi del mittente e del destinatario, indirizzi IP, orari di invio e ricezione, dimensione del messaggio e degli allegati e, in alcuni sistemi, anche l’oggetto della comunicazione. Tali informazioni sono collegate ai singoli dipendenti e possono consentire di ricostruire frequenza, tempi e destinatari delle comunicazioni, conservando quindi una rilevanza per la riservatezza della corrispondenza tutelata anche dagli artt. 2 e 15 della Costituzione.

Durata della conservazione e finalità del trattamento

Il Garante ha richiamato il Documento di indirizzo del 6 giugno 2024, n. 364, sui programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e sul trattamento dei relativi metadati. In tale documento è indicato che la raccolta e conservazione dei soli metadati necessari al funzionamento dell’infrastruttura e alle più essenziali garanzie di sicurezza informatica può essere effettuata, di norma, per pochi giorni e comunque per un periodo non superiore a 21 giorni, salvo adeguata dimostrazione della necessità di un’estensione in ragione delle specifiche caratteristiche tecniche e organizzative.

Il termine di 21 giorni non costituisce tuttavia un’autorizzazione generale e automatica. La sua compatibilità con l’art. 4, comma 2, della legge n. 300/1970 presuppone che i metadati siano conservati soltanto per esigenze di funzionamento del sistema e per le più essenziali esigenze di sicurezza del servizio.

Se invece il datore di lavoro conserva i dati, anche per un periodo contenuto, per finalità riconducibili al comma 1 dell’art. 4, come la tutela del patrimonio informativo o la sicurezza informatica complessiva dell’ente, diventano necessarie le garanzie procedurali previste da tale disposizione. La finalità perseguita è quindi decisiva per stabilire il regime applicabile.

Ruolo del responsabile del trattamento

Il Garante ha escluso che fosse rilevante il fatto che il Comune non disponesse di accesso diretto o autonomo ai log e che i dati fossero conservati materialmente dal fornitore del servizio. Il fornitore, operando per conto del Comune ai sensi dell’art. 28 GDPR, agisce quale responsabile del trattamento.

La conservazione presso un soggetto esterno non esclude quindi la titolarità del Comune, che resta il datore di lavoro cui si riferiscono i metadati e mantiene la disponibilità giuridica delle informazioni, anche qualora la loro consultazione richieda la cooperazione del responsabile.

Archiviazione dei profili relativi alla liceità sostanziale

Le dichiarazioni iniziali del Comune, riferite anche all’analisi degli incidenti di sicurezza, avrebbero potuto far ritenere che il trattamento fosse finalizzato non soltanto al funzionamento del sistema di posta, ma alla sicurezza informatica complessiva dell’ente e alla tutela del patrimonio informativo. Tali finalità sarebbero riconducibili all’art. 4, comma 1, della legge n. 300/1970 e avrebbero richiesto le relative garanzie procedurali ai sensi dell’art. 114 del Codice privacy e dell’art. 88 GDPR.

Il Comune ha però chiarito che la formulazione iniziale era atecnica e che il trattamento concreto riguardava esclusivamente il funzionamento dell’infrastruttura di posta elettronica, la rilevazione di anomalie e malfunzionamenti del servizio e le essenziali garanzie di sicurezza informatica. Poiché non è stato comprovato un effettivo trattamento per finalità ulteriori riconducibili al comma 1 dell’art. 4, il Garante ha archiviato i profili relativi agli artt. 5, par. 1, lett. a), 6 e 88, par. 1, GDPR e all’art. 114 del Codice.

Violazione dell’art. 13 GDPR

Il Garante ha invece accertato che, prima dell’avvio dell’istruttoria, l’informativa fornita ai dipendenti non indicava il periodo di conservazione dei metadati. L’art. 13, par. 2, lett. a), GDPR impone di fornire agli interessati, tra le altre informazioni, il periodo di conservazione dei dati personali oppure, quando non sia possibile indicarlo, i criteri utilizzati per determinarlo.

Nel caso esaminato, il termine di 21 giorni era già individuato dal Comune, ma non era stato comunicato in modo esplicito al personale. La successiva pubblicazione sulla piattaforma intranet dell’informazione relativa al periodo di conservazione ha incrementato la trasparenza e posto rimedio alla carenza informativa, ma non ha eliminato la violazione commessa nel periodo precedente.

Valutazione della gravità e misura adottata

Il Garante ha ritenuto che la violazione dell’art. 13 GDPR fosse una violazione minore ai sensi del considerando 148 e dell’art. 83, par. 2, GDPR, anche alla luce delle Linee guida WP 253 del Gruppo di lavoro Articolo 29, fatte proprie dal Comitato europeo per la protezione dei dati con Endorsement 1/2018.

Sono stati considerati, in particolare:

• la limitata dimensione del Comune e le sue risorse organizzative e specialistiche limitate;
• la regolarizzazione effettuata già durante l’istruttoria mediante integrazione dell’informativa;
• il carattere colposo della violazione;
• la piena cooperazione prestata all’Autorità;
• l’assenza di precedenti violazioni pertinenti della medesima natura;
• l’avvenuto esaurimento degli effetti della condotta.

In applicazione dell’art. 58, par. 2, lett. b), GDPR, il Garante ha quindi ritenuto sufficiente ammonire il Comune di Chivasso. Non è stata applicata alcuna sanzione amministrativa pecuniaria e non sono state adottate ulteriori misure correttive, poiché la carenza informativa era stata già rimediata.

Dispositivo e impugnazione

Il Garante ha:

• dichiarato illecito il trattamento limitatamente alla violazione dell’art. 13 GDPR;
• ammonito il Comune di Chivasso ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019;
• ritenuto applicabile l’art. 17 del Regolamento del Garante n. 1/2019.

Il provvedimento può essere impugnato davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice privacy e 10 del d.lgs. n. 150/2011 entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.