Il Garante per la Protezione dei dati personali, nel provvedimento de quo (Provvedimento del 21 dicembre 2023 – Documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”), ha evidenziato che la generalizzata raccolta e conservazione, per un periodo esteso, dei metadati relativi all’utilizzo della posta elettronica da parte dei dipendenti non possono essere ricondotte all’ambito di applicazione del secondo comma dell’art. 4, rientrando, piuttosto, tra gli strumenti funzionali alla tutela dell’integrità del patrimonio informativo del titolare nel suo complesso, di cui al comma 1 del medesimo articolo, con conseguente operatività delle procedure di garanzia ivi previste. Il trattamento in questione, dunque, è stato ritenuto in contrasto non solo con la disciplina di settore in materia di controlli a distanza, ma anche con la normativa in materia di protezione dei dati personali.

Si è escluso, peraltro, che possa essere invocato, ai fini della liceità del complessivo trattamento, il perseguimento di un legittimo interesse in quanto, in linea generale, i trattamenti conseguenti all’impiego degli strumenti tecnologici nei luoghi di lavoro, da cui può derivare un controllo indiretto sull’attività lavorativa, trovano la propria base giuridica nella disciplina di settore di cui all’art. 4 St. Lav.

Precipuamente, si è rilevato che, a seguito di accertamenti effettuati, alcuni programmi e servizi informatici per la gestione della mail, commercializzati da fornitori anche in modalità cloud, sono configurati in modo da raccogliere e conservare – per impostazione predefinita, in modo preventivo e generalizzato – i metadati relativi all’utilizzo degli account di posta elettronica dei dipendenti.

I metadati sono, infatti, informazioni aggiuntive associate a un messaggio di posta elettronica ad esempio, giorno, ora, mittente, destinatario, oggetto e dimensione dell’e-mail e servono a instradare correttamente i messaggi, a gestire lo spam, a monitorare la consegna e a diagnosticare eventuali problemi tecnici.

In alcuni casi, secondo l’Autorità, è emerso anche che i sistemi non consentono ai datori di lavoro di disabilitare la raccolta sistematica dei dati e ridurre il periodo di conservazione, motivo per cui il Garante chiede  ai datori di lavoro di verificare che i programmi e i servizi informatici di gestione della posta elettronica in uso ai dipendenti (specialmente in caso di prodotti di mercato forniti in cloud o as-a-service) consentano di modificare le impostazioni di base, impedendo la raccolta dei metadati o limitando il loro periodo di conservazione ad un massimo di 7 giorni, estensibili, in presenza di comprovate esigenze, di ulteriori 48 ore. Periodo considerato congruo, sotto il profilo prettamente tecnico, per assicurare il regolare funzionamento della mail in uso al lavoratore (Trojsi, Il diritto del lavoratore alla protezione dei dati personali, Torino, 2013, 108).

Inoltre, nel provvedimento de quo, in attuazione del principio di “responsabilizzazione” (cfr. art. 5, par. 2, e 24 del Regolamento), il Garante sancisce che spetta al titolare valutare se i trattamenti che si intendono realizzare possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche – in ragione delle tecnologie impiegate e considerata la natura, l’oggetto, il contesto e le finalità perseguite – che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali (cfr. cons. 90 e artt. 35 e 36 del Regolamento).

Anche tenuto conto delle indicazioni fornite anche a livello europeo sul punto, tale necessità ricorre, in particolare, in caso di raccolta e memorizzazione dei metadati relativi all’impiego della posta elettronica, stante la particolare “vulnerabilità” degli interessati nel contesto lavorativo, nonché il rischio di “monitoraggio sistematico”, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti”.

Come costantemente affermato dall’Autorità medesima, il contenuto dei messaggi di posta elettronica – come pure i dati esteriori delle comunicazioni e i file allegati – riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente (artt. 2 e 15 Cost.), che proteggono il nucleo essenziale della dignità della persona e il pieno sviluppo della sua personalità nelle formazioni sociali.

Ciò comporta, in concreto, che, anche nel contesto lavorativo pubblico e privato, sussista una legittima aspettativa di riservatezza in relazione ai messaggi oggetto di corrispondenza, delle “Linee guida del Garante per posta elettronica e Internet” del 1° marzo 2007, n. 13. Considerato che l’impiego dei predetti programmi e servizi informatici dà luogo a “trattamenti” di dati personali, riferiti a “interessati”, identificati o identificabili, del Regolamento) nel contesto lavorativo, è necessario che il datore di lavoro, in quanto titolare del trattamento, verifichi la sussistenza di un idoneo presupposto di liceità prima di effettuare trattamenti di dati personali dei lavoratori attraverso tali programmi e servizi, rispettando le condizioni per il lecito impiego di strumenti tecnologici nel contesto lavorativo (art. 88, par. 2, del Regolamento).

Il pregio del provvedimento è quello di precisare che datori di lavoro che per esigenze organizzative e produttive o di tutela del patrimonio anche informativo del titolare (in particolare, ad esempio, per specifiche esigenze di sicurezza dei sistemi) avessero necessità di trattare i metadati per un periodo di tempo più esteso, dovranno espletare le procedure di garanzia previste dallo Statuto dei lavoratori (accordo sindacale o autorizzazione dell’ispettorato del lavoro).

L’estensione del periodo di conservazione oltre l’arco temporale fissato dal Garante può infatti comportare un indiretto controllo a distanza dell’attività del lavoratore (Si veda Colosimo, La moderna declinazione del potere di controllo, in AA.VV., Diritti e doveri nel rapporto di lavoro, Milano, 2018, 67; Alvino, I nuovi limiti al controllo a distanza dell’attività dei lavoratori nell’intersezione fra regole dello Statuto dei lavoratori e quelle del Codice della privacy, in Labour & Law Issues, n. 2, 2016, 3 ss.).

In particolare, il Garante afferma la necessità, in ogni caso, di verificare la sussistenza dei presupposti di liceità stabiliti dall’art. 4 della l. 20 maggio 1970, n. 300, cui fa rinvio l’art. 114 del Codice, nonché il rispetto delle diposizioni che vietano al datore di lavoro di acquisire e comunque trattare informazioni non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore o comunque afferenti alla sua sfera privata (art. 8 della l. 20 maggio 1970, n. 300 e art. 10 d.lgs. 10 settembre 2003, n. 276, cui fa rinvio l’art. 113 del Codice).

Gli artt. 113 e 114 del Codice sono infatti considerati, nell’ordinamento italiano, disposizioni più specifiche e di maggiore garanzia di cui all’art. 88 del Regolamento, la cui osservanza costituisce una condizione di liceità del trattamento e la cui violazione determina, oltre all’applicazione di sanzioni amministrative pecuniarie ai sensi dell’art. 83, par. 5, lett. d) del Regolamento, anche il possibile insorgere di responsabilità sul piano penale (cfr. art. 171 del Codice).

Il titolare del trattamento – secondo l’Autorità – è, inoltre, tenuto a rispettare i principi generali del trattamento (artt. 5, 24 e 25 del Regolamento) e a porre in essere tutti gli adempimenti previsti dalle disposizioni normative in materia di protezione dei dati personali, anche con riguardo alla necessità di fornire agli interessati in modo corretto e trasparente una chiara rappresentazione del complessivo trattamento effettuato, consentendo agli stessi di disporre di tutti gli elementi informativi essenziali previsti dal Regolamento e di essere pienamente consapevole, prima che il trattamento abbia inizio, delle caratteristiche dello stesso.

In considerazione del richiamato quadro giuridico, l’impiego dei predetti programmi e servizi di gestione della posta elettronica, in assenza dell’espletamento delle procedure di garanzia di cui all’art. 4, comma 1, della l. n. 300/1970, prima di dare avvio alla preventiva e sistematica raccolta dei metadati relativi all’utilizzo della posta elettronica da parte dei dipendenti, e alla conservazione degli stessi per un ampio arco temporale (superiore a sette giorni estensibili di ulteriori 48 ore, alle condizioni indicate al par. 3), secondo il Garante, si pone in contrasto con la normativa in materia di protezione dei dati personali e con la richiamata disciplina di settore; si verificherebbe, in altri termini, una violazione degli artt. 5, par. 1, lett. a), 6 e 88, par. 1, del Regolamento, nonché 114 del Codice (in relazione all’art. 4, comma 1, della l. n. 300/1970.

L’Autorità, inoltre, precisa che altri profili di illiceità possono poi derivare dall’utilizzo ulteriore dei dati personali, raccolti in assenza delle predette garanzie.

Ciò si verificherebbe in quanto l’art. 4, comma 3, consente di utilizzare, per le finalità connesse alla gestione del rapporto di lavoro, solo le informazioni già lecitamente raccolte nel rispetto delle condizioni e dei limiti previsti dai commi 1 e 2 e, dunque, nei limiti in cui l’originaria raccolta sia stata lecitamente effettuata (cfr. i Provvedimenti 28 ottobre 2021, n. 384, doc. web n. 9722661, e 13 maggio 2021, n. 190, doc. web n. 9669974).

Inoltre, dagli elementi ricavabili dai dati esteriori della corrispondenza, come l’oggetto, il mittente e il destinatario e altre informazioni che accompagnano i dati in transito, definendone profili temporali (come la data e l’ora di invio/ricezione), nonché dagli aspetti quali-quantitativi anche in ordine ai destinatari e alla frequenza di contatto (in quanto anche questi dati sono, a propria volta, suscettibili di aggregazione, elaborazione e di controllo), è possibile acquisire informazioni riferite alla sfera personale o alle opinioni dell’interessato.

Sotto tale profilo, fin dal 1970, al datore di lavoro pubblico e privato è fatto divieto di “effettuare indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore” (v. art. 8 della l. n. 300/1970 e art. 10 del d.lgs. 10 settembre 2003, n. 276, richiamati espressamente dall’art. 113 del Codice).

La generalizzata raccolta e la conservazione dei metadati relativi all’utilizzo della posta elettronica da parte dei dipendenti, per un periodo di tempo esteso, in assenza di idonei presupposti giuridici, può, dunque comportare la possibilità per il datore di lavoro di acquisire, informazioni non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore (Levi, Il controllo informatico sull’attività del lavoratore, Torino, 2013, 144; Soffientini, Sistema di videosorveglianza in azienda: progettazione ed errori comuni da evitare, in Diritto e Pratica del Lavoro, n. 5, 2023, 323).

Il Garante statuisce come l’art. 4, comma 1, l. 20 maggio 1970, n. 300, come modificato dal d.lgs. 14 settembre 2015, n. 151, individui tassativamente le finalità (ovvero quelle organizzative, produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale) per le quali gli strumenti, dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere impiegati nel contesto lavorativo, stabilendo precise garanzie procedurali (accordo sindacale o autorizzazione pubblica).

Le predette garanzie non trovano, invece, applicazione “agli strumenti di registrazione degli accessi e delle presenze”, così come “agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa” (art. 4, comma 2, l. n. 300/1970). Tale disposizione introduce un’eccezione, rispetto al più restrittivo regime previsto dal comma 1, e deve, pertanto, essere oggetto di stretta interpretazione, considerate le responsabilità anche sul piano penale che possono derivare dalla violazione del predetto quadro normativo.

Per scelta espressa del legislatore, solo gli strumenti preordinati, anche in ragione delle caratteristiche tecniche di configurazione, alla “registrazione degli accessi e delle presenze” e allo “svolgimento della prestazione” non soggiacciono quindi ai limiti e alle garanzie di cui al primo comma, in quanto funzionali a consentire l’assolvimento degli obblighi che discendono direttamente dal contratto di lavoro, vale a dire, la presenza in servizio e l’esecuzione della prestazione lavorativa.

Alla luce delle disposizioni richiamate, l’attività di raccolta e conservazione dei soli c.d. metadati necessari ad assicurare il funzionamento delle infrastrutture del sistema della posta elettronica, per un tempo che, all’esito di valutazioni tecniche e nel rispetto del principio di responsabilizzazione – affinché sia ritenuto applicabile il comma 2 dell’art. 4 della L. n. 300/1970 – non può essere superiore di norma a poche ore o ad alcuni giorni, in ogni caso non oltre sette giorni, estensibili, in presenza di comprovate e documentate esigenze che ne giustifichino il prolungamento, di ulteriori 48 ore (De Franceschi, La circolazione dei dati personali tra privacy e contratto, Napoli, 2017, 67 e ss.; Bravo, Lo “scambio dei dati personali” nei contratti di fornitura dei servizi digitali e il consenso dell’interessato tra autorizzazione e contratto, in Contr. e Impresa, 2019, 34 e ss.).

Si statuisce, pertanto, che i tempi di conservazione dei metadati devono in ogni caso essere proporzionati rispetto alle legittime finalità perseguite. In particolare, finalità connesse alla sicurezza informativa e alla tutela del patrimonio informativa giustificano la conservazione dei metadati per un arco temporale congruo rispetto all’obiettivo di rilevare e mitigare eventuali incidenti di sicurezza, adottando tempestivamente le opportune contromisure.

Ove i tempi di conservazione non siano definiti in maniera proporzionata alle finalità del trattamento, il titolare del trattamento può incorrere nella violazione del principio di “limitazione della conservazione” (Pisani, Proia, Topo, Privacy e lavoro: la circolazione dei dati personali e i controlli nel rapporto di lavoro, Milano, 2022, 250).

Il datore di lavoro deve, altresì, adottare misure volte ad assicurare il rispetto dei principi della protezione dei dati fin dalla progettazione del trattamento (privacy by design) e per impostazione predefinita (art. 25 del Regolamento) durante l’intero ciclo di vita dei dati, “incorporando nel trattamento le misure e le garanzie adeguate ad assicurare l’efficacia dei principi di protezione dei dati, dei diritti e delle libertà degli interessati” e facendo in modo che “venga effettuato per impostazione predefinita solo il trattamento strettamente necessario per conseguire la specifica e lecita finalità”, anche con riguardo al periodo di conservazione dei dati, “in tutte le fasi della progettazione delle attività di trattamento, compresi gli appalti, le gare di appalto, l’esternalizzazione, lo sviluppo, il supporto, la manutenzione, il collaudo, la conservazione, la cancellazione ecc.” (Perugini, Caputo, Il Data Protection Officer: le caratteristiche e i connessi profili di responsabilità, in European Journal of Privacy Law & Technologies, 2019, n. 1, 11).

Il Garante, al fine di prevenire trattamenti di dati personali non conformi al richiamato quadro normativo, con conseguenti responsabilità sul piano sia amministrativo che penale, statuisce che i datori di lavoro pubblici e privati dovranno adottare le misure necessarie a conformare i propri trattamenti alla disciplina di protezione dati e a quella di settore.

In particolare, si rende necessario verificare con la dovuta diligenza che i programmi e servizi informatici di gestione della posta elettronica in uso ai dipendenti – specialmente nel caso in cui si tratti di prodotti di mercato forniti in modalità cloud o as-a-service – consentano al cliente (datore di lavoro) di modificare le impostazioni di base, impedendo la raccolta dei predetti metadati o limitando il periodo di conservazione degli stessi ad un limite massimo di sette giorni, estensibile di ulteriori 48 ore, alle condizioni indicate al par. 3.

In tale prospettiva, si invitano i produttori dei servizi e delle applicazioni, in fase di sviluppo e progettazione degli stessi, a tenere conto del diritto alla protezione dei dati tenuto conto dello stato dell’arte (v. cons. 78 del Regolamento).

Diversamente, i datori di lavoro pubblici o privati, in qualità di titolari del trattamento, dovranno alternativamente, nel caso in cui i trattamenti di dati personali in questione si dovessero comunque rendere necessari per il perseguimento di esigenze organizzative o produttive, espletare le richiamate procedure di garanzia previste dalla disciplina di settore (art. 4 della l. 300/1970) o cessare l’utilizzo di tali programmi e servizi informatici. Resta inteso che, nelle more dell’eventuale espletamento delle procedure di garanzia, i predetti metadati non possono comunque essere utilizzati (cfr. art. 2-decies del Codice). In ogni caso, si ribadisce la necessità di assicurare trasparenza nei confronti dei lavoratori, fornendo agli stessi una specifica informativa sul trattamento dei dati personali prima di dare inizio al trattamento (Ricciuto, La patrimonializzazione dei dati personali. Contratto e mercato nella ricostruzione del fenomeno, in Dir. inf., 2018, 709; Caggia, La libertà ed espressione del consenso, in I dati personali, a cura di Cuffaro, D’Orazio, Ricciuto, Torino, 2020, 249 ss.).

Ciò anche tenuto conto del fatto che l’adempimento degli obblighi informativi nei confronti dei dipendenti – consistenti nella “adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli” – costituisce anche una specifica precondizione per il lecito utilizzo dei dati raccolti attraverso strumenti tecnologici, da parte del datore di lavoro, anche a tutti i fini connessi al rapporto di lavoro (art. 4, co. 3, della l. n. 300/1970; vedasi Stanzione, Consenso e trattamento dei dati personali nella dimensione europea, in AA.VV., I “poteri privati” delle piattaforme e le nuove frontiere della privacy”, Torino, 2022, 79; Cerrina Ferroni, I dati personali come oggetto di un diritto fondamentale, in ult. op. cit., p. 71).

Secondo il Garante, la conservazione dei metadati relativi all’utilizzo della posta elettronica dei dipendenti, ancorché sul presupposto della sua necessità per finalità di sicurezza informatica, può comportare un indiretto controllo a distanza dell’attività dei lavoratori. Ciò è consentito nei limiti ed alle condizioni fissate tassativamente dall’art. 4 St. Lav. (Renna, Sicurezza e gestione del rischio nel trattamento dei dati personali, in RCP, 2020, n. 4, 1355).

La generalizzata raccolta e conservazione, per un periodo esteso, dei metadati relativi all’utilizzo della posta elettronica da parte dei dipendenti, conseguentemente, non possono essere ricondotte all’ambito di applicazione del secondo comma dell’art. 4; esse rientrano, piuttosto, tra gli strumenti funzionali alla tutela dell’integrità del patrimonio informativo del titolare nel suo complesso, di cui al comma 1 del medesimo articolo, con conseguente operatività delle procedure di garanzia ivi previste.

Il trattamento in questione, dunque, è ritenuto dal Garante in contrasto non solo con la disciplina di settore in materia di controlli a distanza, ma anche con la normativa in materia di protezione dei dati personali (Zorzi Galgano (a cura di), Persona e mercato dei dati. Riflessioni sul GDPR, Cedam, 2019, 13).

Si è escluso, infine, che possa essere invocato, ai fini della liceità del complessivo trattamento, il perseguimento di un legittimo interesse in quanto, in linea generale, i trattamenti conseguenti all’impiego degli strumenti tecnologici nei luoghi di lavoro, da cui può derivare un controllo indiretto sull’attività lavorativa, trovano la propria base giuridica nella disciplina di settore di cui all’art. 4 St. Lav. (Ingrao, Data-Driven management e strategie collettive di coinvolgimento dei lavoratori per la tutela della privacy, in Labour & Law Issues, 2019, n. 2, 141).

Giuseppe Maria Marsico, dottorando di ricerca in diritto privato e dell’economia e funzionario giuridico-economico-finanziario

Visualizza il documento: Garante privacy, 21 dicembre 2023, n. 642

Scarica il commento in PDF

L'articolo Il Garante per la protezione dei dati personali determina il corretto utilizzo dei programmi e dei servizi informatici dell’impresa sembra essere il primo su Rivista Labor - Pacini Giuridica.