NEWS

Il Garante per la Privacy ha rilasciato un documento guida e avviato una consultazione pubblica per regolare la gestione dei metadati delle e-mail nel contesto lavorativo. Questo provvedimento ha apportato modifiche e chiarimenti sull’applicazione delle norme, sulla conservazione dei metadati e sulle responsabilità dei datori di lavoro e dei fornitori di servizi.

La gestione delle e-mail in ambito lavorativo è una questione complessa e delicata, che si trova all’incrocio tra la privacy, i diritti dei lavoratori e le esigenze operative delle aziende.

Il recente Documento di Indirizzo, del 21 dicembre 2023, intitolato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati“, del Garante per la Protezione dei Dati Personali ha introdotto importanti novità che riguardano tutti i soggetti coinvolti nel processo, dai fornitori di servizi di posta elettronica alle organizzazioni aziendali.

Con il provvedimento del 22 febbraio 2024, il Garante per la Privacy ha deciso di avviare una consultazione pubblica per raccogliere osservazioni e proposte sulla congruità del termine di conservazione dei metadati generati e raccolti automaticamente dai protocolli di trasmissione e smistamento delle e-mail. Questa consultazione riguarda i metadati relativi alle operazioni di invio, ricezione e smistamento dei messaggi di posta elettronica (log), e più in generale, le modalità di utilizzo di tali metadati che potrebbero richiedere una conservazione più lunga rispetto a quella proposta nel documento di indirizzo.

Dopo la chiusura della consultazione, il Garante ha pubblicato il Provvedimento del 6 giugno 2024 – Documento di indirizzo. Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati [10026277], apportando modifiche e integrazioni al Documento di Indirizzo. Queste modifiche includono criteri per guidare i datori di lavoro nella determinazione del periodo di conservazione dei log, in conformità con l’eccezione prevista dall’art. 4, comma 2, della legge 20 maggio 1970, n. 300 (“Statuto dei Lavoratori“), rispetto alla regola stabilita nel comma 1 della stessa legge, per garantire il corretto funzionamento e l’uso regolare del sistema di posta elettronica, comprese le necessarie garanzie di sicurezza informatica.

Secondo il Garante, per applicare il comma 2 dell’art. 4 dello Statuto dei Lavoratori riguardo alla raccolta e conservazione dei metadati delle e-mail:

– La conservazione non deve superare poche ore o alcuni giorni, e comunque non oltre sette giorni.

– È possibile estendere di 48 ore in casi comprovati e documentati.

Una conservazione più lunga richiede l’accordo sindacale o l’autorizzazione ITL, per evitare il controllo a distanza dei lavoratori.

Il Documento di Indirizzo specifica che i programmi di posta elettronica trattano dati personali identificabili, e il datore di lavoro deve verificare:

– La legittimità del trattamento secondo il GDPR e lo Statuto dei Lavoratori.

– Evitare di trattare informazioni irrilevanti per la valutazione professionale o la sfera privata dei lavoratori.

I datori di lavoro devono:

– Garantire che i programmi di gestione delle e-mail consentano di limitare la conservazione dei metadati a sette giorni, estendibili di 48 ore.

– Seguire le procedure di garanzia per necessità organizzative o cessare l’uso di tali programmi.

– Fornire ai dipendenti una specifica informativa sul trattamento dei dati personali, come condizione per l’uso lecito dei dati raccolti.

Il 27 febbraio 2024, il Garante ha annunciato il rinvio dell’efficacia del Documento di Indirizzo e ha chiarito il suo ambito di applicazione. Questo include i metadati generati e raccolti automaticamente dai protocolli di trasmissione e smistamento delle e-mail, come indirizzi e-mail del mittente e del destinatario, indirizzi IP, orari di invio e ricezione, dimensione del messaggio e degli allegati, e talvolta l’oggetto del messaggio. Inoltre, riguarda le modalità di utilizzo di questi metadati che potrebbero richiedere una conservazione più lunga rispetto a quanto previsto nel documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati“.

Il nuovo provvedimento del Garante chiarisce che il Documento di Indirizzo non introduce prescrizioni o nuovi obblighi per i titolari del trattamento, ma offre una ricostruzione sistematica delle disposizioni applicabili per evidenziare l’intersezione tra la protezione dei dati e le norme sull’uso degli strumenti tecnologici nei luoghi di lavoro. Il Documento di Indirizzo ha una natura orientativa e permette il trattamento delle informazioni necessarie per il corretto funzionamento e l’uso del sistema di posta elettronica, comprese le garanzie di sicurezza informatica.

Il Provvedimento del 6 giugno 2024 del Garante chiarisce che l’ambito di applicazione riguarda i log della posta elettronica. È essenziale che ogni titolare del trattamento valuti la conformità alle normative sulla protezione dei dati personali.

In particolare, l’obbligo imposto ai fornitori è cruciale per molte organizzazioni, specialmente piccole e medie imprese, che spesso non hanno la capacità contrattuale di negoziare con grandi fornitori di soluzioni tecnologiche.

La questione di come queste organizzazioni potranno far valere i propri diritti e affrontare problematiche di lunga data è di rilevanza centrale. È importante notare che le sanzioni del Garante sono principalmente rivolte ai titolari del trattamento, inclusi i datori di lavoro, ma queste direttive si applicano obbligatoriamente anche ai fornitori di programmi e servizi informatici per la gestione della posta elettronica, specialmente quelli offerti in modalità cloud o as-a-service, che perseguono finalità proprie.

Gli investigatori privati possono essere di supporto per la verifica del corretto rispetto della normativa vigente, attraverso delle indagini digitali specifiche.

Fonte: www.agendadigitale.eu