Deliberazione n. 127 del 22/02/2024

Avvio di consultazione pubblica sui metadati della posta elettronica nel contesto lavorativo

Il Garante per la protezione dei dati personali dispone l’avvio di una consultazione pubblica in materia di conservazione dei metadati generati dai sistemi di posta elettronica utilizzati nel lavoro pubblico e privato. Il provvedimento è adottato anche alla luce delle criticità emerse nel corso di accertamenti dell’Autorità e delle richieste di chiarimento ricevute in merito ai tempi di conservazione dei metadati.

Contesto fattuale e ragioni dell’intervento

Nel testo si evidenzia il rischio che programmi e servizi informatici per la gestione della posta elettronica, soprattutto se forniti in modalità cloud, raccolgano automaticamente e in via preventiva, per impostazione predefinita, i metadati relativi all’uso degli account di posta elettronica dei dipendenti. Tali dati possono essere conservati per periodi molto estesi e, in alcuni casi, il cliente-datore di lavoro non dispone della possibilità di modificare le impostazioni di base del software per disabilitare la raccolta sistematica o ridurre il periodo di conservazione.

Oggetto della consultazione

La consultazione è finalizzata ad acquisire osservazioni e proposte sulla congruità, rispetto alle finalità perseguite dai datori di lavoro pubblici e privati, del termine di conservazione dei metadati generati e raccolti automaticamente dai protocolli di trasmissione e smistamento della posta elettronica. Il Garante precisa che i metadati possono comprendere:

• indirizzi email del mittente e del destinatario;
• indirizzi IP dei server o dei computer coinvolti nell’instradamento del messaggio;
• orari di invio, ritrasmissione e ricezione;
• dimensione del messaggio;
• presenza e dimensione degli allegati;
• in alcuni casi, anche l’oggetto del messaggio.

La consultazione mira anche a raccogliere elementi sulle forme e modalità d’uso di tali metadati che possano giustificare una conservazione superiore a quella ipotizzata nel documento di indirizzo già adottato.

Riferimenti normativi richiamati

Il provvedimento richiama i seguenti riferimenti:

• artt. 5, 6 e 88 del GDPR;
• artt. 113 e 114 del d.lgs. 196/2003;
• artt. 4 e 8 della l. 300/1970;
• art. 10 del d.lgs. 276/2003.

Sono inoltre richiamati i poteri del Garante di promuovere la consapevolezza di titolari, responsabili e pubblico sui diritti e sugli obblighi in materia di protezione dei dati personali, nonché di adottare documenti di indirizzo su misure organizzative e tecniche anche per settori specifici.

Collegamento con il documento di indirizzo del 21 dicembre 2023

Il provvedimento si colloca nel quadro del documento di indirizzo "Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati" adottato il 21 dicembre 2023. La nuova deliberazione chiarisce che l’efficacia di quel documento è differita fino al termine della consultazione pubblica.

Al termine della consultazione, il Garante si riserva di adottare ulteriori determinazioni. In mancanza di nuove determinazioni, il documento di indirizzo diverrà efficace al sessantesimo giorno successivo alla scadenza del termine per la presentazione dei contributi.

Termini e modalità di partecipazione

La consultazione dura 30 giorni dalla pubblicazione dell’avviso pubblico in Gazzetta Ufficiale. I soggetti interessati possono inviare osservazioni, commenti, informazioni, proposte ed elementi utili:

• all’indirizzo postale del Garante in Piazza Venezia n. 11, 00187 Roma;
• all’indirizzo email protocollo@gpdp.it;
• all’indirizzo PEC protocollo@pec.gpdp.it.

Il Garante specifica che i contributi trasmessi dai partecipanti non costituiscono titolo, condizione o vincolo per eventuali successive determinazioni dell’Autorità.