Il Garante della Privacy, con la recente Newsletter 6 febbraio 2024, n. 517, ha reso noto di aver adottato il 21 dicembre 2023 un documento di indirizzo denominato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” rivolto ai datori di lavoro sia pubblici che privati.
In particolare, i suddetti soggetti, i quali per la gestione della posta elettronica utilizzano programmi forniti anche in modalità “cloud”, si dovranno attenere alle nuove indicazioni contenute nel documento adottato dal Garante della privacy il 21 dicembre 2023, utili a prevenire trattamenti di dati in contrasto con la disciplina sulla protezione dei dati e con le norme che tutelano la libertà e la dignità dei lavoratori.
Come specificato nella newsletter, il documento è nato a seguito di accertamenti effettuati dall’Autorità dai quali è emerso che alcuni programmi e servizi informatici per la gestione della posta elettronica, commercializzati da fornitori anche in modalità cloud, sono configurati in modo da raccogliere e conservare – per impostazione predefinita, in modo preventivo e generalizzato – i metadati relativi all’utilizzo degli account di posta elettronica dei dipendenti (ad esempio, giorno, ora, mittente, destinatario, oggetto e dimensione dell’e-mail). In alcuni casi è emerso anche che i sistemi non consentono ai datori di lavoro di disabilitare la raccolta sistematica dei dati e ridurre il periodo di conservazione.
Nel documento sopra richiamato, il Garante chiede pertanto ai datori di lavoro di verificare che i programmi e i servizi informatici di gestione della posta elettronica in uso ai dipendenti (specialmente in caso di prodotti di mercato forniti “in cloud” o “as-a-service”) consentano di modificare le impostazioni di base, impedendo la raccolta dei metadati o limitando il loro periodo di conservazione ad un massimo di 7 giorni, estensibili, in presenza di comprovate esigenze, di ulteriori 48 ore. Tale periodo viene considerato congruo, sotto il profilo prettamente tecnico, per assicurare il regolare funzionamento della posta elettronica in uso al lavoratore.
L’Autorità precisa che, i datori di lavoro che, per esigenze organizzative e produttive o di tutela del patrimonio anche informativo del titolare (in particolare, ad esempio, per specifiche esigenze di sicurezza dei sistemi) avessero necessità di trattare i metadati per un periodo di tempo più esteso, dovranno espletare le procedure di garanzia previste dall’art. 4 dello Statuto dei lavoratori (accordo sindacale o autorizzazione dell’Ispettorato del lavoro), posto che l’estensione del periodo di conservazione oltre l’arco temporale fissato dal Garante potrebbe comportare un indiretto controllo a distanza dell’attività del lavoratore. In alternativa, dovrebbero cessare l’utilizzo di tali programmi e servizi informatici. In ogni caso, il datore di lavoro dovrà assicurare la necessaria trasparenza nei confronti dei lavoratori, fornendo agli stessi una specifica informativa sul trattamento dei dati personali prima di dare inizio al trattamento stesso (cfr. art. 5, par. 1, lett. a), 12 e 13 del Regolamento UE 2016/679).