Con il provvedimento n. 243/2025, il Garante per la protezione dei dati personali ha sanzionato un Ente Pubblico per aver effettuato un trattamento illecito dei metadati delle e-mail e dei log di navigazione Internet dei dipendenti.
L’ispezione, avviata per verificare la conformità delle modalità adottate nell’ambito del lavoro agile, ha evidenziato che l’Ente aveva implementato un sistema di controllo delle comunicazioni elettroniche che prevedeva la conservazione dei metadati e-mail per 90 giorni e dei log di navigazione per 12 mesi. Tuttavia, tale sistema era stato adottato in assenza sia di un accordo collettivo con le rappresentanze sindacali, sia di una valutazione d’impatto sulla protezione dei dati, in violazione dell’art. 35 del GDPR.
Secondo la normativa in materia di protezione dei dati personali, il trattamento dei dati dei lavoratori è lecito solo se necessario per la gestione del rapporto di lavoro o per adempiere a obblighi specifici derivanti dalla normativa di settore. Inoltre, è ammesso qualora risulti indispensabile per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri attribuiti al titolare del trattamento.
È importante ricordare che i metadati di posta elettronica sono protetti da garanzie di segretezza costituzionalmente tutelate (artt. 2 e 15 Cost.), finalizzate a salvaguardare la dignità della persona e il pieno sviluppo della personalità nell’ambito delle formazioni sociali. Anche in ambito lavorativo, dunque, il lavoratore può legittimamente aspettarsi un adeguato livello di riservatezza rispetto alla propria corrispondenza e ai relativi elementi temporali.
Il Garante ha quindi ritenuto sproporzionato il periodo di conservazione previsto dall’Ente rispetto alle finalità dichiarate, quali la sicurezza informatica. In particolare, per i metadati delle e-mail, le linee guida fissano in 21 giorni il limite massimo per un trattamento lecito senza necessità di accordo sindacale.
Per quanto riguarda i log di navigazione, l’Autorità ha riscontrato profili ancora più critici, in quanto la possibilità di associare tali dati ai singoli dipendenti integra un controllo indiretto dell’attività lavorativa, richiedendo quindi specifiche garanzie. L’assenza di misure tecniche idonee e di meccanismi di anonimizzazione ha comportato una violazione dei principi di minimizzazione, proporzionalità e limitazione della conservazione previsti dal GDPR.
Il provvedimento ha dunque ribadito la necessità di adottare strumenti di monitoraggio conformi alla disciplina sulla privacy e alle normative in materia di lavoro, assicurando un equilibrio tra le esigenze organizzative e la tutela dei diritti fondamentali dei lavoratori.