Ordinanza ingiunzione o revoca n. 409 del 01/12/2022

Regione Lazio - trattamento illecito dei metadati della posta elettronica dei dipendenti

Il Garante ha adottato un’ordinanza-ingiunzione nei confronti della Regione Lazio in relazione al trattamento dei metadati della posta elettronica istituzionale dei dipendenti dell’Avvocatura regionale. Il procedimento è stato avviato a seguito di una segnalazione sindacale e ha riguardato la raccolta sistematica e la conservazione prolungata dei dati esterni delle email, utilizzati anche per verifiche puntuali su specifici lavoratori.

Origine del procedimento e attività istruttoria

La segnalazione lamentava un controllo massivo e indiscriminato sui flussi di posta elettronica, svolto per verificare presunte divulgazioni di notizie d’ufficio riservate. La Regione ha chiarito che il controllo era stato affidato alla società in house LazioCrea, responsabile del trattamento, e che l’analisi riguardava i metadati delle email: giorno, ora, mittente, destinatario, oggetto e dimensione del messaggio. È emerso che tali metadati erano raccolti preventivamente e conservati ordinariamente per 180 giorni.

Nel corso dell’istruttoria la Regione ha sostenuto che il trattamento fosse giustificato da esigenze di sicurezza informatica e di tutela della riservatezza delle informazioni gestite dagli avvocati, e che si trattasse di controlli difensivi effettuati ex post in presenza di ragionevoli sospetti. Ha inoltre rappresentato di avere successivamente predisposto un disciplinare interno e una valutazione di impatto sulla protezione dei dati, ma solo dopo l’avvio del procedimento.

Quadro normativo richiamato

Il Garante ha richiamato:

• gli artt. 5, 6, 12, 13, 24, 25, 35 e 88 del GDPR;
• gli artt. 113 e 114 del Codice privacy;
• gli artt. 4 e 8 della l. 300/1970;
• il principio di responsabilizzazione, la limitazione della conservazione e la protezione dei dati fin dalla progettazione.

L’Autorità ha ribadito che, in ambito lavorativo, il trattamento dei dati connesso all’uso di strumenti tecnologici che possano comportare controllo a distanza deve rispettare la disciplina di settore e le garanzie procedurali previste dall’art. 4, comma 1, dello Statuto dei lavoratori, non essendo sufficiente il richiamo al legittimo interesse del titolare, inapplicabile per le autorità pubbliche.

Informativa ai dipendenti e trasparenza

Secondo il Garante, l’informativa resa ai dipendenti era insufficiente. La Regione si era limitata a comunicare di riservarsi la verifica dell’integrità dei propri sistemi informatici e di telefonia, senza indicare in modo chiaro la base giuridica del trattamento, il periodo di conservazione dei dati e l’effettiva possibilità di raccolta e conservazione dei metadati di posta elettronica.

Anche il disciplinare interno richiamato dalla Regione non è stato ritenuto idoneo a colmare il deficit informativo, sia perché non risultava provato che fosse effettivamente portato a conoscenza dei dipendenti, sia perché non conteneva tutti gli elementi richiesti dagli artt. 12 e 13 GDPR. Il Garante ha quindi ravvisato la violazione dei principi di liceità, correttezza e trasparenza.

Controlli a distanza e liceità del trattamento

Sul piano della liceità, il Garante ha osservato che la conservazione dei metadati email per un periodo esteso, specie se finalizzata anche a successive verifiche sui singoli lavoratori, integra un controllo indiretto dell’attività lavorativa e ricade nell’ambito dell’art. 4, comma 1, l. 300/1970. Pertanto, avrebbe richiesto l’accordo sindacale o l’autorizzazione pubblica, non risultando sufficiente la mera iniziativa organizzativa dell’amministrazione.

L’Autorità ha inoltre escluso che la fattispecie potesse essere ricondotta al comma 2 dell’art. 4, poiché i metadati conservati per 180 giorni non sono assimilabili agli strumenti utilizzati per rendere la prestazione lavorativa o per registrare accessi e presenze. La successiva consultazione dei metadati per selezionare specifici account da indagare è stata ritenuta anch’essa priva di adeguata base giuridica.

Raccolta di dati non pertinenti e sfera privata dei lavoratori

Il Garante ha evidenziato che i dati esteriori della corrispondenza, se conservati per periodi molto lunghi, consentono di ricavare informazioni sulla vita privata o comunque non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore. Nel caso esaminato, la raccolta estesa ha permesso di individuare e selezionare account associati a contatti con soggetti riconducibili a una specifica sigla sindacale, con evidenti profili di interferenza nella sfera personale e sindacale.

Di conseguenza, il trattamento è stato ritenuto anche in contrasto con l’art. 8 l. 300/1970 e con l’art. 10 d.lgs. 276/2003, richiamati dall’art. 113 del Codice, che vietano indagini su fatti non rilevanti ai fini della valutazione dell’attitudine professionale.

Limitazione della conservazione e privacy by design/by default

Il Garante ha ritenuto sproporzionato il periodo di conservazione di 180 giorni, valorizzando il principio di limitazione della conservazione e l’obbligo di integrare la protezione dei dati fin dalla progettazione e per impostazione predefinita. Secondo l’Autorità, eventuali esigenze di sicurezza informatica avrebbero dovuto essere soddisfatte con tempi di conservazione molto più contenuti e con misure tecniche e organizzative adeguate.

La Regione non ha dimostrato di avere impostato il sistema in modo da ridurre al minimo necessario la conservazione dei metadati, né di avere impartito istruzioni idonee al responsabile del trattamento. Per tali ragioni è stata ravvisata la violazione degli artt. 5, par. 1, lett. e), e 25 GDPR.

Valutazione d’impatto e responsabilizzazione

L’Autorità ha censurato anche l’omessa valutazione d’impatto sulla protezione dei dati prima dell’avvio del trattamento. La successiva DPIA predisposta dalla Regione è stata considerata tardiva e, comunque, non chiaramente riferita al trattamento oggetto del procedimento.

È stata poi sottolineata la responsabilità del titolare, che deve verificare la conformità dei trattamenti anche quando si avvale di un responsabile esterno o in house, impartendo istruzioni adeguate e controllando tempi di conservazione e configurazione dei sistemi. La Regione è stata quindi ritenuta in violazione anche del principio di responsabilizzazione di cui all’art. 5, par. 2, GDPR e dell’art. 24 GDPR.

Esito finale, sanzione e ordini

Il Garante ha dichiarato l’illiceità del trattamento e ha applicato alla Regione Lazio una sanzione amministrativa pecuniaria di 100.000 euro, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83 GDPR. Ha considerato la natura del trattamento, la sua durata, la delicatezza dei dati e la possibilità che essi rivelassero informazioni private, tenendo conto della collaborazione prestata nel corso dell’istruttoria.

In via correttiva, ha ordinato:

• la limitazione del trattamento, vietando ulteriori operazioni sui metadati conservati oltre 7 giorni dalla raccolta, salvo le procedure di garanzia ex art. 4, comma 1, l. 300/1970;
• la cancellazione dei dati già raccolti e conservati oltre tale termine;
• la comunicazione all’Autorità, entro 30 giorni, delle iniziative intraprese.

È stata inoltre disposta la pubblicazione del provvedimento sul sito web del Garante e l’annotazione nel registro interno delle violazioni e delle misure adottate.