Con provvedimento del 21 dicembre 2023, denominato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”, il Garante ha ritenuto di fondamentale importanza fornire delle direttive utili sia per i datori di lavoro che per i fornitori di programmi e servizi informatici in modalità cloud, circa il trattamento dei metadati relativi all’account di posta elettronica in uso ai dipendenti.
Tale decisione è stata dettata da una serie di accertamenti effettuati dall’Autorità Garante, nel corso dei quali è emerso il rischio che programmi e servizi informatici per la gestione della posta elettronica in modalità cloud possano raccogliere i metadati relativi alle e-mail dei dipendenti (ad esempio giorno, ora, mittente, destinatario, oggetto e dimensione della mail) per impostazione predefinita, in modo preventivo e generalizzato, per un esteso periodo di tempo, senza neppure la possibilità per il datore di lavoro di modificare le relative impostazioni al fine di ridurre la raccolta sistematica dei dati o il periodo di conservazione.
Innanzitutto, il Garante ha ricordato che il contenuto dei messaggi di posta elettronica costituisce una forma di corrispondenza costituzionalmente garantite, in quanto espressione della dignità della persona e del pieno sviluppo della sua personalità nelle formazioni sociali. Pertanto, la segretezza di tale corrispondenza deve essere garantita anche nell’ambito lavorativo e non può mai venir meno di fronte agli interessi datoriali. Questi ultimi però, rivestono anch’essi una rilevanza costituzionale nel nostro ordinamento a pertanto meritano adeguata tutela.
Dalla necessità di garantire la tutela di due interessi costituzionalmente garantiti, quello datoriale e quello del dipendente, sono stati individuati dei punti di incontro tra gli stessi che ne consentono un adeguato bilanciamento.
Tali punti di incontro sono costituiti dai presupposti e condizioni alle quali il datore di lavoro può effettivamente trattare i dati relativi alla casella di posta elettronica del dipendente:
Il Titolare potrà trattare i dati relativi alla casella di posta elettronica del dipendente, tramite programmi e strumenti informatici in modalità cloud, a condizione che i dati siano trattati in modo lecito, corretto e trasparente;
Lo Statuto dei Lavoratori vieta al datore di lavoro di trattare informazioni non rilevanti ai fini dell’attitudine professionale del lavoratore o comunque afferenti alla sua vita privata. Inoltre, vengono indicate le esatte finalità (organizzative, produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale) per le quali gli strumenti di controllo a distanza possono essere impiegati, stabilendo anche la necessità di un accordo sindacale o di un’autorizzazione pubblica;
Attese le specifiche finalità indicate nello Statuto dei Lavoratori, l’attività di raccolta e conservazione dei metadati deve essere conforme al raggiungimento di tali obiettivi e il Garante ha individuato con precisione la durata di un simile trattamento, che non può essere superiore a poche ore o pochi giorni e comunque non oltre sette giorni, estensibili per ulteriori 48 ore in presenza di comprovate e documentate esigenze;
Il Titolare deve adottare tutte le misure previste in materia di protezione dei dati personali e deve soprattutto fornire agli interessati una chiara rappresentazione del complessivo trattamento;
Il Titolare deve valutare se le tecnologie impiegate possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Sul punto, il Garante ha precisato che: “[…] tale necessità ricorre, in particolare, in caso di raccolta e memorizzazione dei metadati relativi all’impiego della posta elettronica, stante la particolare “vulnerabilità” degli interessati nel contesto lavorativo, nonché il rischio di “monitoraggio sistematico”, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti”.
Alla luce di tali indicazioni, il trattamento dei metadati relativi alla e-mail del lavoratore sarà illecito:
Infine, il Garante ha individuato anche i comportamenti che il Titolare dovrà tenere per evitare di porsi in contrasto con la normativa privacy imponendo in capo allo stesso i seguenti obblighi:
Il Garante, dunque, ha posto degli specifici obblighi in capo ai Titolari, i quali dovranno prestare una particolare attenzione alla gestione delle e-mail dei propri dipendenti e conformarsi ai precetti dell’autorità quanto prima possibile, al fine di evitare la comminazione di pesanti e ingenti sanzioni.