Primo provvedimento dell’Autorità Garante per la protezione dei dati personali per trattamento illecito dei metadati di posta elettronica conservati per 90 giorni e senza accordo sindacale: va alla Regione Lombardia.
Nel sanzionarla per 50 mila euro il Garante contesta anche il trattamento illecito dei log di navigazione internet dei dipendenti nonché dei dati relativi alle richieste di assistenza tecnica (sistema di ticketing), servizio affidato a un fornitore. Vediamo le implicazioni.
Indice degli argomenti
Sanzione per trattamento illecito dei metadati di posta elettronica
A quanto pare, dunque, nonostante il documento di indirizzo sulla conservazione dei metadati di posta elettronica, ci sono ancora organizzazioni che risultano a oggi non conformi.
Il motivo è semplice: i metadati di posta elettronica venivano conservati dall’Ente per un ampio periodo di tempo, cioè 90 giorni, senza il necessario accordo sindacale, come imposto dall’art. 4, comma I dello Statuto dei Lavoratori (L. 300/70).
Per quanto la Regione avesse attivato – così risulta dall’istruttoria – un processo di adeguamento alle indicazioni fornite nel tempo dall’Autorità in casi analoghi, ancor prima dell’adozione del Documento di indirizzo del Garante sui metadati.
I metadati delle e-mail: tutelati anche costituzionalmente
È interessante notare come il Garante nel provvedimento in parola riconduca i metadati di posta elettronica a informazioni (registrate nei log generati dai sistemi server di gestione e smistamento della posta e dalle postazioni) che risultano assistite da “garanzie di segretezza, tutelate anche costituzionalmente (artt. 2 e 15 Cost.)”, volte ad “assicurare protezione al nucleo essenziale della dignità della persona e al pieno sviluppo della sua personalità nelle formazioni sociali”.
Di qui, la necessità di proteggerle anche nel contesto lavorativo, anche e soprattutto da remoto (smart working/lavoro agile). Il Presidente Stanzione, quale Relatore del provvedimento, ha parlato di “legittima aspettativa di riservatezza” alla corrispondenza.
I metadati e la necessità dell’accordo sindacale
Non tutti i trattamenti di metadati necessitano, tuttavia, e come ben sappiamo dal documento di indirizzo del giugno 2024 sopra citato, di accordo sindacale.
Infatti, questo non occorre se tali informazioni vengono conservate fino a 21 gg. Il problema invero si pone nel caso in cui i metadati di posta elettronica siano “raccolti e conservati in modo preventivo e generalizzato per un esteso acro temporale”, come nel caso di specie.
Senza dimenticare che si tratta di attività di trattamento effettuate per esigenze del datore di lavoro e quindi “automaticamente e indipendentemente dalla percezione e dalla volontà del lavoratore”.
In altri termini, i lavoratori se non informati attraverso l’accordo sindacale – garanzia procedurale – non sono tutelati in termini di protezione dati.
La sanzione per il controllo della navigazione internet
Il secondo motivo per cui la Regione Lombardia è stata sanzionata non è invece una novità se pensiamo al provvedimento irrogato al Comune di Bolzano (2021) – per quanto in quel caso, ricorderemo, si trattasse di un sistema ben più strutturato di vero e proprio controllo dell’attività internet gestito dal Comune stesso – riferendoci alla conservazione (oltre misura) dei log di navigazione in Internet. Di qui, altro trattamento illecito di dati.
Dall’istruttoria del Garante è emerso infatti che la Regione Lombardia “raccoglieva e conservava i log di navigazione in Internet – consistenti in informazioni inerenti ai siti web visitati dai dipendenti, inclusi quelli relativi ai tentativi falliti di accesso ai siti censiti in una apposita black list – senza aver stipulato un accordo collettivo con le rappresentanze sindacali e aver adottato adeguate garanzie a tutela dei lavoratori”, consentendo tra l’altro all’Ente/datore di lavoro di venire a conoscenza di “informazioni non attinenti all’attività lavorativa e relative alla sfera privata dei dipendenti” quindi del tutto ignari. Pertanto, lesi nei loro diritti alla riservatezza come deve intendersi oggi.
Log di navigazione internet e privacy by design
Circa i log di navigazione è interessante anche un altro passaggio del provvedimento, connettendolo alla privacy by design (fin dalla progettazione).
Al riguardo, Il Garante privacy argomenta dicendo letteralmente che “in base al principio di limitazione della conservazione, i dati personali devono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati(art. 5, par. 1, lett. e), del Regolamento)”.
E così prosegue, “in considerazione del rischio che incombe sui diritti e sulle libertà degli interessati, il titolare del trattamento deve altresì adottare – fin dalla progettazionee per impostazione predefinita (art. 25 del Regolamento) – misure tecniche e organizzative adeguate ad attuare i principi di protezione dei dati, integrando nel trattamento le necessarie garanzie per soddisfare i requisiti del Regolamento e tutelare i diritti e le libertà degli interessati”.
Passaggio decisamente interessante.
D’altronde, non è che il datore di lavoro per diminuire i rischi di usi impropri della navigazione internet da parte dei lavoratori possa giustificare “ogni forma di interferenza nella vita privata”. Proprio per nulla.
Trattamento illecito anche dei dati del sistema di ticketing
Ancora, la Regione Lombardia è stata sanzionata per “trattamento illecito dei dati relativi alle richieste di assistenza tecnica presenti nel sistema di ticketing”, poi dismesso ma intanto e prima esternalizzato con un fornitore (terzo).
Anche con riferimento a questo aspetto è risultata dall’istruttoria una conservazione particolarmente estesa, addirittura dal 2016.
Né l’accordo sul trattamento dati ex art. 28 risultava preciso e circostanziato sul punto, dal momento che con specifico riferimento al sistema di ticketing (“OTRS”) nulla diceva né in termini di oggetto né in termini, peggio ancora, di istruzioni specifiche.
Sistema di ticketing e accountability
Non poteva poi mancare diversi agganci in termini di accountability, anche con riferimento al sistema di ticketing laddove il Garante contesta alla Regione di non aver saputo dimostrare il perché di quel “periodo temporale particolarmente esteso” del dismesso sistema di ticketing.
Tuttavia, apprezza e rileva il nuovo sistema attuato cd SDAS dal periodo di conservazione più contenuto in 1 anno per ragioni di accountability appunto.
Le misure correttive
Il Garante, oltre alla sanzione amministrativa pecuniaria, ha ingiunto anche una serie di misure correttive.
Tra queste, in particolare indica alla Regione Lombardia di attuare le seguenti misure:
- anonimizzazione dei log relativi ai tentativi di accesso falliti ai siti web censiti nella black list;
- riduzione a 90gg del termine di conservazione dei log di navigazione internet con possibilità di conservazione per un periodo più esteso previa anonimizzazione degli stessi;
- verifiche regolari, graduali e progressive, per strutture organizzative;
- cifratura dei dati dei dipendenti assegnatari dei pc portatili, fornendo istruzioni specifiche e documentate al fornitore;
- trattamento dati a pochi soggetti da qualificare come “designati” (ex art. 2 quaterdecies Cod. Privacy).
Cosa possiamo imparare
Anzitutto che occorre fare una valutazione d’impatto sulla protezione dei dati (DPIA) sul trattamento dei metadati di posta elettronica e navigazione internet, cosa che Regione Lombardia non aveva assolutamente fatto.
Poi che è fondamentale regolamentare bene il rapporto con i fornitori di servizi tecnici (ex art. 28).
Ancora, che la conservazione dei metadati di posta elettronica e dei log di navigazione internet deve rispettareprecisi limiti temporali, in linea con il documento di indirizzo (21 gg ovvero se oltre previo accordo sindacale), per evitare la raccolta di dati personali non pertinenti all’attività lavorativa riguardanti invece la sfera privata, determinando un controllo eccessivo e ingiustificato sui lavoratori stessi i quali andranno informati in modo chiaro e trasparente circa le modalità/finalità del trattamento dei loro dati, con controlli anonimi, indiretti e graduali.
