Deliberazione n. 364 del 06/06/2024

Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati

Il Garante adotta una versione aggiornata del documento di indirizzo sui metadati/log della posta elettronica usata nel contesto lavorativo, con particolare attenzione ai servizi cloud e ai profili di compatibilità con la disciplina sui controlli a distanza. Il documento è il risultato di accertamenti dell’Autorità e della successiva consultazione pubblica avviata nel 2024.

Origine del documento e finalità

L’Autorità aveva già adottato un testo preliminare il 21 dicembre 2023 e, a seguito di richieste di chiarimenti, ha avviato una consultazione pubblica con provvedimento del 22 febbraio 2024, sospendendo l’efficacia del documento precedente. Il testo del 6 giugno 2024 recepisce le osservazioni pervenute e chiarisce l’ambito dei trattamenti considerati, la natura dei metadati e i criteri orientativi per la loro conservazione.

Ambito oggettivo: cosa sono i metadati di posta elettronica

Il provvedimento definisce i metadati come le informazioni registrate automaticamente dai sistemi server di gestione e smistamento della posta elettronica e, in alcuni casi, dai client delle postazioni di lavoro. Tra i dati richiamati figurano indirizzi email di mittente e destinatario, indirizzi IP dei server o dei client, orari di invio, ritrasmissione o ricezione, dimensione del messaggio, presenza e dimensione degli allegati e, in certi sistemi, anche l’oggetto del messaggio.

Il Garante distingue tali metadati dal contenuto delle email e dalle informazioni tecniche che fanno parte integrante del messaggio (envelope), precisando che il documento non riguarda il corpo della comunicazione né i contenuti rimasti nella disponibilità dell’utente/lavoratore nella casella di posta.

Quadro normativo richiamato

Il documento richiama il GDPR, in particolare gli artt. 5, 6, 24, 25, 30, 32, 35 e 88, e il Codice privacy, con particolare riferimento agli artt. 113 e 114. Sono inoltre richiamati:

• l’art. 4 della l. 300/1970, sui controlli a distanza;
• l’art. 8 della l. 300/1970;
• l’art. 10 del d.lgs. 276/2003.

Il Garante ribadisce che gli artt. 113 e 114 del Codice costituiscono norme speciali di maggiore garanzia nel quadro dell’art. 88 GDPR e che la loro violazione può comportare sanzioni amministrative ex art. 83, par. 5, lett. d), GDPR e, nei casi previsti, anche responsabilità penale ai sensi dell’art. 171 del Codice.

Liceità del trattamento e presupposti nel rapporto di lavoro

Secondo il Garante, l’uso di programmi e servizi di posta elettronica nel contesto lavorativo integra un trattamento di dati personali e richiede la verifica di un idoneo presupposto di liceità. Il datore di lavoro, quale titolare del trattamento, deve quindi assicurare:

• il rispetto dei principi generali del trattamento;
• il corretto assolvimento degli obblighi informativi;
• la conformità alle norme di settore sui controlli a distanza;
• l’eventuale necessità di valutazione d’impatto.

Il provvedimento evidenzia inoltre che dai dati esteriori delle comunicazioni possono ricavarsi informazioni riferite alla sfera personale o alle opinioni dell’interessato, con il rischio di acquisizione di dati non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore.

Regola sui controlli a distanza e conservazione dei log

Il documento chiarisce che l’eccezione dell’art. 4, comma 2, l. 300/1970 può applicarsi agli strumenti utilizzati dal lavoratore per rendere la prestazione e a quelli di registrazione degli accessi e delle presenze, ma va interpretata restrittivamente. Per i soli metadati/log necessari ad assicurare il funzionamento delle infrastrutture di posta elettronica, la raccolta e conservazione possono avvenire di norma per un periodo limitato a pochi giorni e, comunque, non oltre 21 giorni, salvo particolari condizioni adeguatamente comprovate dal titolare.

Se invece la raccolta e conservazione sono generalizzate e protratte per un arco temporale più ampio, con idoneità a realizzare un controllo a distanza dell’attività lavorativa, trovano applicazione le garanzie dell’art. 4, comma 1, cioè accordo sindacale o autorizzazione dell’Ispettorato del lavoro o dell’autorità competente secondo il regime applicabile.

Trasparenza, correttezza e limitazione della conservazione

Il Garante richiama tutti i titolari a garantire correttezza e trasparenza nei confronti dei lavoratori, fornendo un’informativa completa e chiara sui trattamenti relativi alle comunicazioni elettroniche, con indicazione di tempi di conservazione, controlli e modalità d’uso degli strumenti.

I tempi di conservazione devono essere proporzionati alle finalità perseguite. In particolare, esigenze di sicurezza informatica e tutela del patrimonio informatico possono giustificare la conservazione per un periodo congruo rispetto alla rilevazione e mitigazione degli incidenti di sicurezza. In assenza di una durata coerente con tali finalità, può configurarsi la violazione del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR.

Privacy by design, by default e responsabilizzazione

Il documento dedica specifica attenzione ai principi di protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25 GDPR) e al principio di responsabilizzazione (artt. 5, par. 2, e 24 GDPR). Il titolare deve incorporare nel trattamento misure e garanzie adeguate, assicurando che per impostazione predefinita venga trattato solo quanto strettamente necessario per la finalità lecita.

Il Garante precisa che il titolare deve verificare, anche con il supporto del DPO se designato, la conformità dei prodotti e servizi di terzi, impartire istruzioni al fornitore, disattivare le funzioni incompatibili con le finalità perseguite e, se necessario, richiedere l’anonimizzazione dei metadati quando non si intenda conservarli a lungo.

Indicazioni per i fornitori e per il settore pubblico

Il provvedimento richiama anche i fornitori di applicazioni e servizi di posta elettronica, i quali devono tener conto del diritto alla protezione dei dati già in fase di progettazione, sviluppo, selezione e utilizzo dei prodotti, in modo conforme allo stato dell’arte e ai principi del GDPR.

Le indicazioni valgono anche per le pubbliche amministrazioni, incluse le ipotesi di acquisto tramite convenzioni o piattaforme di approvvigionamento. Per i servizi cloud nel settore pubblico viene richiamato anche il report del Comitato europeo per la protezione dei dati del 17 gennaio 2023 sulla coordinated enforcement action, che sottolinea la necessità di misure tecniche e organizzative idonee e del trattamento dei dati da parte dei fornitori solo per conto del titolare e sulla base di istruzioni ricevute.