Privacy sul posto di lavoro: le ultime indicazioni del Garante sulla gestione delle e-mail dei dipendenti

Lo scorso 6 febbraio il Garante per la protezione dei dati personali (il Garante della privacy) ha emanato un provvedimento - risalente al 21 dicembre 2023 e disponibile qui - contenente importantissime indicazioni in tema di gestione dei messaggi di posta elettronica dei dipendenti in modalità cloud.

Il provvedimento muove da accertamenti condotti dallo stesso Garante con riguardo ai trattamenti di dati personali effettuati nel contesto lavorativo. Da tali accertamenti, è emerso il rischio che i programmi e i servizi informativi per la gestione della posta elettronica in modalità cloud, raccolgano "in modo preventivo e generalizzato" informazioni quali, ad esempio, giorno, ora, mittente, destinatario, oggetto e dimensione dell’e-mail, nonché una conservazione nei sistemi per un periodo di tempo prolungato.

Il Garante ribadisce il principio secondo il quale il contenuto dei messaggi di posta elettronica, insieme ai dati esteriori delle comunicazioni e agli allegati, costituisce una forma di corrispondenza “protetta” da garanzie di segretezza (anche di rango costituzionale secondo gli artt. 2 e 15 Cost.), estendendo tale tutela anche al contesto lavorativo. Ciò sottolinea l'importanza di preservare la legittima aspettativa di riservatezza dei lavoratori riguardo ai loro messaggi.

Dal momento che l'utilizzo di programmi e servizi informatici in modalità cloud è associato al trattamento di dati personali, il datore di lavoro è tenuto a verificare la liceità di tali trattamenti, in particolare osservando i presupposti stabiliti dall'articolo 4 dello Statuto dei Lavoratori, con il risultato che l’utilizzo di strumenti di controllo a distanza è consentito solo in circostanze specifiche, come la registrazione degli accessi e delle presenze o per lo svolgimento della prestazione.

Il Garante evidenzia, altresì, che la raccolta e la conservazione dei metadati dovrebbero limitarsi all'attività necessaria per assicurare il funzionamento dei sistemi informatici della posta elettronica, per un periodo breve, generalmente non superiore a pochi giorni o addirittura a poche ore, escludendo dunque la pratica generalizzata di conservazione per tempi prolungati. In ogni caso, il titolare del trattamento deve rispettare i principi generali di chiarezza e trasparenza, fornendo un’adeguata informativa agli interessati sul complessivo trattamento effettuato.

Infine, il Garante sottolinea che, in attuazione del principio di “responsabilizzazione”, è onere del titolare del trattamento valutare se i trattamenti previsti possano comportare un rischio elevato per i diritti e le libertà delle persone fisiche, mediate una valutazione di impatto sulla protezione dei dati

Laddove invece i datori di lavoro, per esigenze organizzative, intendessero trattare i metadati per un periodo più esteso, sono tenuti a seguire le procedure di garanzia previste dallo Statuto dei lavoratori, come gli accordi sindacali, o tramite apposita richiesta di autorizzazione all'Ispettorato del lavoro.

Questo provvedimento si pone dunque in linea con l’intento del Garante di tutelare e preservare idoneamente il diritto di riservatezza dei lavoratori.