Ordinanza ingiunzione o revoca n. 243 del 29/04/2025

Regione Lombardia: trattamento illecito di metadati di posta elettronica, log Internet e dati OTRS dei dipendenti

Il provvedimento riguarda Regione Lombardia, destinataria di un’attività ispettiva avviata d’ufficio dal Garante in materia di trattamenti di dati personali nel contesto lavorativo, anche connessi al lavoro agile. L’Autorità ha esaminato tre filoni principali: i metadati generati dal servizio di posta elettronica, i log di navigazione Internet dei dipendenti e i dati delle richieste di assistenza tecnica conservati nel sistema di ticketing OTRS.

Origine del procedimento e attività istruttoria

L’istruttoria è stata svolta ai sensi dell’art. 58, par. 1, GDPR e degli artt. 157 e 158 del Codice. Dalle verifiche ispettive e dalle successive integrazioni documentali è emerso che:

• i metadati della posta elettronica erano conservati per 90 giorni;
• i log di navigazione Internet erano conservati per 365 giorni;
• i dati del sistema OTRS erano conservati per un periodo molto esteso, con informazioni risalenti al 2016.

Nel corso del procedimento la Regione ha progressivamente adottato misure correttive e, in particolare, ha stipulato accordi collettivi ai sensi dell’art. 4, comma 1, l. n. 300/1970 sia per il personale non dirigenziale sia per quello dirigenziale, oltre a svolgere una valutazione d’impatto sul trattamento dei metadati e a trasmettere un addendum contrattuale per il sistema OTRS.

Quadro normativo richiamato

Il Garante richiama il regime dei trattamenti dei lavoratori in ambito pubblico, rilevando che il datore di lavoro può trattare dati personali per finalità di gestione del rapporto di lavoro e per compiti di interesse pubblico, ma deve rispettare i principi del GDPR e, in particolare, la disciplina nazionale più specifica in materia di controlli a distanza.

Sono richiamati, in particolare:

• gli artt. 5, 6, 24, 25, 28, 32, 35, 83 e 88 GDPR;
• gli artt. 113, 114, 157, 166 e 168 del Codice;
• l’art. 4 della l. n. 300/1970;
• l’art. 8 della l. n. 300/1970 e l’art. 10 del d.lgs. n. 276/2003, per il divieto di raccolta di dati non pertinenti all’attitudine professionale.

Il provvedimento richiama inoltre il Documento di indirizzo del Garante sui metadati della posta elettronica adottato il 6 giugno 2024 e le precedenti Linee guida su posta elettronica e Internet del 2007.

Metadati di posta elettronica

Il Garante ha ritenuto che la conservazione dei metadati di posta elettronica per 90 giorni non potesse essere ricondotta al solo comma 2 dell’art. 4 dello Statuto dei lavoratori, perché oltre il ristretto ambito del mero funzionamento tecnico del sistema essa perseguiva anche finalità di sicurezza informatica e tutela del patrimonio informativo dell’Ente, cioè finalità che richiedono le garanzie procedurali del comma 1.

L’Autorità sottolinea che:

• i metadati di posta elettronica godono di tutela rafforzata, anche sul piano costituzionale;
• la raccolta preventiva e generalizzata dei metadati per un arco temporale esteso può integrare un controllo a distanza;
• il periodo normalmente compatibile con il comma 2 dell’art. 4 non dovrebbe superare i 21 giorni, salvo specifiche esigenze adeguatamente comprovate.

Nel caso concreto, la Regione ha poi stipulato gli accordi collettivi con le rappresentanze sindacali, ma ciò non ha sanato l’illiceità del periodo precedente. L’Autorità ha pertanto accertato la violazione degli artt. 5, par. 1, lett. a), 6, 35 e 88 GDPR e dell’art. 114 del Codice.

Log di navigazione Internet

Per i log di navigazione Internet il Garante ha ritenuto che la raccolta sistematica delle visite web, inclusi i tentativi falliti di accesso a siti bloccati, costituisse un trattamento idoneo a consentire la ricostruzione dell’attività del lavoratore e dunque soggetto alle garanzie dell’art. 4, comma 1, l. n. 300/1970.

L’Autorità ha evidenziato che la mera inibizione tecnica dell’accesso a determinati siti non equivale alla conservazione dei tentativi falliti di accesso, che invece amplia il perimetro del controllo. Ha inoltre ritenuto non proporzionato il termine di conservazione di 365 giorni, perché troppo esteso rispetto alla finalità di sicurezza della rete.

Pur prendendo atto di alcune misure organizzative e tecniche adottate dalla Regione, il Garante ha considerato che il trattamento comportava ancora:

• una raccolta sistematica di dati di navigazione;
• la possibilità di risalire all’identità del dipendente tramite la cooperazione di più fornitori;
• la memorizzazione prolungata dei dati;
• il rischio di acquisire informazioni anche estranee alla sfera lavorativa e personale.

La violazione è stata ricondotta agli artt. 5, par. 1, lett. a), c) ed e), 6, 25, 35 e 88 GDPR e agli artt. 113 e 114 del Codice, con riferimento all’art. 8 della l. n. 300/1970 e all’art. 10 del d.lgs. n. 276/2003.

Valutazione d’impatto sulla protezione dei dati

L’Autorità ha rilevato che il trattamento dei metadati di posta elettronica e dei log di navigazione Internet avrebbe richiesto una valutazione d’impatto preventiva ex art. 35 GDPR, in ragione:

• della vulnerabilità degli interessati nel contesto lavorativo;
• del monitoraggio sistematico insito nei trattamenti;
• dell’ampiezza dei dati raccolti e dei tempi di conservazione;
• della possibilità di controllo indiretto dell’attività dei dipendenti.

La Regione ha prodotto la DPIA solo nel corso dell’istruttoria, dunque tardivamente. Ne è derivata la violazione dell’art. 35 GDPR per il periodo anteriore all’adempimento.

Dati del sistema OTRS e rapporto con i fornitori

Il Garante ha accertato che i dati delle richieste di assistenza tecnica contenuti nel sistema OTRS sono stati conservati per un periodo eccessivo, senza adeguate ragioni e fino alla dismissione effettiva della base dati.

Sul piano contrattuale, è stato rilevato che l’accordo ex art. 28 GDPR con i fornitori del servizio di assistenza tecnica non contemplava espressamente il trattamento dei dati del sistema OTRS nella fase transitoria di dismissione. Solo successivamente la Regione ha sottoscritto un addendum per chiarire che il trattamento effettuato nell’ambito dell’assistenza comprendeva anche OTRS.

L’illiceità è stata dunque affermata con riferimento agli artt. 5, par. 1, lett. e), 25 e 28 GDPR.

Valutazioni finali del Garante

Il Garante ha concluso che il trattamento dei metadati di posta elettronica è stato illecito per violazione degli artt. 5, par. 1, lett. a), 6, 35 e 88 GDPR e 114 del Codice; quello dei log di navigazione Internet per violazione degli artt. 5, par. 1, lett. a), c) ed e), 6, 25, 35 e 88 GDPR e 113-114 del Codice; quello dei dati OTRS per violazione degli artt. 5, par. 1, lett. e), 25 e 28 GDPR.

È stata inoltre richiamata l’inutilizzabilità dei dati trattati in violazione delle norme citate, ai sensi dell’art. 2-decies del Codice, salvo quanto previsto dall’art. 160-bis.

Misure correttive prescritte

Con riferimento ai log di navigazione Internet, il Garante ha imposto a Regione Lombardia, entro 90 giorni dalla notifica, di adottare ulteriori misure tecniche e organizzative, tra cui:

• anonimizzazione dei log relativi ai tentativi di accesso falliti alla black list;
• riduzione della conservazione a 90 giorni, con eventuale ulteriore conservazione solo in forma anonimizzata;
• svolgimento delle verifiche di sicurezza, di regola, a livello di singole strutture e non di singoli dipendenti, salvo casi residuali;
• cifratura del dato relativo al nome dell’assegnatario della macchina;
• limitazione dell’accesso ai dati a un numero strettamente ristretto di persone autorizzate;
• aggiornamento degli accordi sindacali alla luce delle nuove misure.

La Regione deve inoltre comunicare entro 30 giorni le iniziative che intende intraprendere per conformarsi alle prescrizioni.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha distinto tre condotte ai fini sanzionatori e ha applicato l’art. 83, par. 3, GDPR per ciascun blocco di violazioni collegate.

L’importo complessivo della sanzione irrogata è di euro 50.000, così ripartiti:

• euro 20.000 per i metadati di posta elettronica;
• euro 25.000 per i log di navigazione Internet;
• euro 5.000 per i dati del sistema OTRS.

Nella quantificazione sono stati valorizzati, tra gli altri, i seguenti elementi ex art. 83, par. 2, GDPR:

• la natura dei dati coinvolti, specie per i metadati di posta elettronica, assistiti da segretezza costituzionalmente tutelata;
• la durata e la sistematicità dei trattamenti;
• la cooperazione prestata dalla Regione durante l’istruttoria;
• l’assenza di precedenti violazioni pertinenti;
• l’adozione, seppur tardiva, di misure correttive e di accordi sindacali.

Il Garante ha disposto anche la pubblicazione dell’ordinanza ingiunzione sul proprio sito e la pubblicazione del provvedimento, oltre all’annotazione nel registro interno dell’Autorità.

Dispositivo

L’Autorità:

• dichiara l’illiceità dei trattamenti effettuati dalla Regione Lombardia;
• prescrive l’adozione delle misure correttive entro 90 giorni;
• prescrive la comunicazione delle iniziative adottate entro 30 giorni;
• ordina il pagamento della sanzione di euro 50.000;
• dispone la pubblicazione del provvedimento e dell’ordinanza ingiunzione.

È ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 d.lgs. n. 150/2011.