Deliberazione n. 642 del 21/12/2023

Programmi di posta elettronica nel lavoro e trattamento dei metadati

Il Garante per la protezione dei dati personali adotta un documento di indirizzo rivolto ai datori di lavoro pubblici e privati e agli altri soggetti coinvolti nell’uso di programmi e servizi informatici per la gestione della posta elettronica nel contesto lavorativo. L’obiettivo è prevenire trattamenti di metadati delle email dei dipendenti non conformi al GDPR e alla disciplina nazionale sui controlli a distanza, con particolare attenzione ai servizi cloud o as-a-service.

Origine dell’intervento e finalità

Il provvedimento nasce da accertamenti dell’Autorità, dai quali è emerso il rischio che alcuni sistemi di posta elettronica raccolgano per impostazione predefinita, in modo preventivo e generalizzato, i metadati relativi all’uso degli account dei lavoratori, conservandoli per periodi estesi. In taluni casi, il cliente-datore di lavoro potrebbe non essere in grado di modificare le impostazioni base per disabilitare la raccolta o ridurre il tempo di conservazione.

Il Garante chiarisce di voler promuovere la consapevolezza delle scelte organizzative dei titolari del trattamento e prevenire trattamenti in contrasto con la disciplina privacy e con le norme poste a tutela della libertà e dignità dei lavoratori, richiamando gli artt. 113 e 114 del Codice privacy.

Quadro normativo di riferimento

Il documento richiama anzitutto il GDPR, in particolare gli artt. 5, 6 e 88, nonché gli artt. 25, 32, 35 e 36, e gli obblighi di informativa degli artt. 12, 13 e 14. Sul piano nazionale vengono richiamati gli artt. 113 e 114 del Codice privacy, oltre agli artt. 4 e 8 della l. 20 maggio 1970, n. 300, e all’art. 10 del d.lgs. 10 settembre 2003, n. 276.

Il Garante evidenzia che il contenuto delle email, i dati esteriori della corrispondenza e gli allegati sono forme di corrispondenza assistite da garanzie di segretezza tutelate anche dagli artt. 2 e 15 Cost. Ne deriva, anche nel contesto lavorativo, una legittima aspettativa di riservatezza.

Trattamento dei metadati e presupposti di liceità

L’impiego di programmi di posta elettronica che trattano i metadati dei dipendenti costituisce trattamento di dati personali e richiede un idoneo presupposto di liceità. Il datore di lavoro, quale titolare del trattamento, deve verificare prima dell’avvio del trattamento la conformità alle condizioni dell’art. 6 GDPR e, nel contesto lavorativo, alle regole speciali dell’art. 88 GDPR e della normativa lavoristica.

Il documento sottolinea che gli artt. 113 e 114 del Codice privacy, letti in combinato con gli artt. 4 e 8 della l. 300/1970, costituiscono norme più specifiche e maggiormente garantiste rispetto all’art. 88 GDPR. La loro violazione può comportare, oltre alle sanzioni amministrative pecuniarie di cui all’art. 83, par. 5, lett. d), GDPR, anche responsabilità penale ai sensi dell’art. 171 del Codice.

Controlli a distanza e limiti alla raccolta dei metadati

Il Garante ricorda che l’art. 4, comma 1, Statuto dei lavoratori consente l’uso di strumenti dai quali derivi anche la possibilità di controllo a distanza solo per finalità organizzative, produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale, e solo previa attivazione delle garanzie procedurali previste dalla norma, cioè accordo sindacale o autorizzazione amministrativa.

L’eccezione dell’art. 4, comma 2, riguarda invece gli strumenti di registrazione degli accessi e delle presenze e quelli utilizzati dal lavoratore per rendere la prestazione lavorativa. Questa eccezione va interpretata restrittivamente. Per i soli metadati necessari al funzionamento dell’infrastruttura di posta elettronica, la conservazione deve essere normalmente limitata a poche ore o pochi giorni e comunque non oltre sette giorni, con eventuale estensione di 48 ore solo in presenza di comprovate e documentate esigenze.

Quando la raccolta e la conservazione dei metadati siano generalizzate e protratte nel tempo, anche se motivate da esigenze di sicurezza informatica o tutela del patrimonio aziendale, si configura un possibile controllo a distanza e diventa necessario il ricorso alle garanzie dell’art. 4, comma 1, l. 300/1970.

Profili di illiceità individuati dal Garante

Il documento individua più piani di possibile illegittimità:

• il trattamento dei metadati senza aver prima esperito le procedure di garanzia dell’art. 4, comma 1, Statuto dei lavoratori;
• l’uso ulteriore di dati raccolti illecitamente, poiché l’art. 4, comma 3, consente l’utilizzo solo delle informazioni lecitamente acquisite;
• la possibilità, attraverso i metadati, di conoscere informazioni personali o opinioni del lavoratore, con conseguente rischio di violazione del divieto di indagini su opinioni politiche, religiose o sindacali e su fatti non rilevanti per la valutazione dell’attitudine professionale;
• la violazione del principio di limitazione della conservazione, se i tempi non sono proporzionati alle finalità dichiarate;
• la violazione dei principi di privacy by design, privacy by default e accountability, qualora il titolare non configuri il sistema in modo da limitare i dati trattati e non dimostri di aver adottato misure tecniche e organizzative adeguate.

Obblighi del titolare e responsabilità organizzativa

Il Garante ribadisce che il titolare deve verificare anche, se del caso con il supporto del DPO, la conformità dei prodotti e servizi di terzi ai principi del GDPR, adottando misure tecniche e organizzative idonee e impartendo istruzioni ai fornitori. In particolare, il titolare deve accertarsi che siano disattivate le funzioni incompatibili con le finalità del trattamento o con norme di settore e che i tempi di conservazione siano commisurati agli scopi perseguiti.

Viene richiamato il principio di responsabilizzazione di cui agli artt. 5, par. 2, e 24 GDPR: il titolare deve non solo rispettare i principi, ma anche essere in grado di dimostrarlo.

Misure richieste e indicazioni operative

Il documento invita i datori di lavoro pubblici e privati ad adottare tutte le misure necessarie per conformare i trattamenti. In concreto:

• verificare che i programmi di posta elettronica consentano di modificare le impostazioni di base, impedendo la raccolta dei metadati o limitandone la conservazione;
• contenere la conservazione, di regola, entro sette giorni, con possibile estensione di ulteriori 48 ore solo in presenza di esigenze comprovate e documentate;
• se il trattamento è comunque necessario per esigenze organizzative o produttive, attivare le procedure dell’art. 4, comma 1, l. 300/1970 oppure cessare l’uso del programma o servizio;
• nelle more dell’eventuale espletamento delle procedure di garanzia, non utilizzare i metadati raccolti;
• fornire ai lavoratori una specifica informativa prima dell’inizio del trattamento, in coerenza con gli artt. 12 e 13 GDPR e con l’art. 4, comma 3, Statuto dei lavoratori.

Il Garante si rivolge anche ai produttori dei servizi e delle applicazioni, invitandoli a tenere conto, già in fase di sviluppo e progettazione, del diritto alla protezione dei dati e dello stato dell’arte tecnologico.

Ambito pubblico e servizi cloud

Le indicazioni del documento valgono anche per le pubbliche amministrazioni che acquistano tali strumenti tramite convenzioni o piattaforme di procurement. Il provvedimento richiama inoltre le indicazioni europee sull’uso di servizi cloud nel settore pubblico, ribadendo che i fornitori devono trattare i dati personali solo per conto del titolare e sulla base delle istruzioni ricevute.