Privacy: la gestione dei metadati delle e-mail costituisce un controllo a distanza sul lavoratore

L’adozione e l'utilizzo di nuove tecnologie di sicurezza informatica in contesti aziendali possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche.
In base alla normativa vigente in materia di protezione dei dati personali, un datore di lavoro può trattare i dati personali dei lavoratori, se il trattamento risulta necessario per la gestione del rapporto di lavoro, per adempiere a specifici obblighi derivanti dalla Legge, o per eseguire un compito di interesse pubblico o connesso all'esercizio di pubblici poteri.
Il datore di lavoro deve rispettare le disposizioni che prevedono misure a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali dei lavoratori, in particolare per quanto riguarda la trasparenza del trattamento dei dati personali e dei sistemi di monitoraggio sul posto di lavoro. L'osservanza di queste norme costituisce condizione di liceità del trattamento.

Il Caso

Un sindacato autonomo aveva segnalato al Garante per la protezione dei dati personali l'attività condotta dalla Regione Lazio in merito a controlli sulle e-mail dei legali dell'Amministrazione regionale, volti ad indagare su presunte condotte illecite per divulgazione di segreti d’ufficio.
Tuttavia, il controllo veniva effettuato senza una base giuridica chiara e senza la formale autorizzazione da parte del datore di lavoro, nonché in assenza di una valutazione d'impatto sulla protezione dei dati. Inoltre, sono risultate mancanti procedure regolamentari sull'uso della posta elettronica e della rete, e ai lavoratori non era stata fornita alcuna informazione sulla possibilità di tali controlli.

L'Autorità ha pertanto avviato un procedimento contro l’ente pubblico per diverse violazioni del Regolamento generale sulla protezione dei dati (Reg. UE 2016/679 - G.D.P.R.) e della Legge italiana.
L’istruttoria condotta ha permesso di accertare che, nell’ambito dell’effettuazione dei suddetti controlli volti a garantire la sicurezza delle informazioni asseritamente divulgate dai dipendenti pubblici, i metadati relativi all'uso delle loro e-mail venivano raccolti in modo preventivo e generalizzato, e successivamente conservati per un periodo di tempo, pari a 180 giorni, ritenuto esorbitante rispetto alle esigenze di sicurezza informatica.

La Decisione

Con l’ordinanza ingiunzione del 1° dicembre 2022 emessa all’esito del procedimento, il Garante ha ricordato che la mancanza di un'informativa adeguata e trasparente costituisce una violazione dei principi di liceità, correttezza e trasparenza stabiliti dal G.D.P.R.
Inoltre, il trattamento dei metadati relativi all'utilizzo della posta elettronica dei dipendenti, se non adeguatamente regolamentato, può costituire un controllo indiretto a distanza delle attività dei lavoratori, consentito dalla Legge solo in presenza di esigenze organizzative, produttive, di sicurezza sul lavoro o di tutela del patrimonio aziendale, e nel rispetto di adeguate garanzie procedurali, quali l'accordo sindacale o l'autorizzazione pubblica per l'installazione e l'uso di tali sistemi.
Di conseguenza, se tali condizioni non sono rispettate, qualsiasi ulteriore trattamento dei dati raccolti, compresa la loro consultazione e l'estrazione di informazioni relative ai singoli lavoratori, deve considerarsi privo di una base giuridica adeguata e quindi illecito.
È stato perciò contestato alla Regione il mancato rispetto delle procedure normativamente previste prima di iniziare la raccolta e la conservazione prolungata dei metadati relativi all'utilizzo della posta elettronica dei dipendenti, in violazione della normativa sulla protezione dei dati e della disciplina in materia di controlli a distanza.
In forza di ciò, all’ente pubblico è stata elevata una cospicua sanzione pecuniaria e gli è stata imposta l’adozione di misure correttive al fine di impedire ogni ulteriore gestione dei metadati della posta elettronica dei propri dipendenti, nonché la cancellazione di quelli già raccolti.