Gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati
Il Garante per la protezione dei dati personali, con Newsletter n. 535 del 30 maggio 2025, ha precisato che il datore di lavoro può raccogliere i log di navigazione in Internet e i metadati delle e-mail dei dipendenti solo in presenza di specifiche condizioni e garanzie.
Al riguardo, il Garante, al termine di un ciclo ispettivo per verificare l’osservanza della normativa privacy da parte della Regione Lombardia nell’ambito dei trattamenti dei dati dei dipendenti, anche nel caso dello svolgimento del lavoro agile, con provvedimento n. 243 del 29 aprile 2025, ha comminato una sanzione.
Dall’istruttoria del Garante è emerso che la Regione Lombardia raccoglieva e conservava i log di navigazione in Internet – consistenti in informazioni inerenti ai siti web visitati dai dipendenti, inclusi quelli relativi ai tentativi falliti di accesso ai siti censiti in una apposita black list – senza aver stipulato un accordo con le rappresentanze sindacali e aver adottato adeguate garanzie a tutela dei lavoratori.
Tale trattamento consentiva tra l’altro al datore di lavoro di entrare in possesso di informazioni non attinenti all’attività lavorativa e relative alla sfera privata dei dipendenti.
Inoltre, relativamente alla raccolta e conservazione dei metadati di posta elettronica dei lavoratori, la Regione, in assenza di un preventivo accordo con le rappresentanze sindacali (art. 4, comma 1, della Legge n. 300/1970), conservava tali dati per un ampio periodo temporale, complessivamente pari a 90 giorni.
Il Garante ritiene che l’attività di raccolta e conservazione dei soli metadati necessari ad assicurare il funzionamento delle infrastrutture del sistema della posta elettronica e il soddisfacimento delle più essenziali garanzie di sicurezza informatica possa essere effettuata, di norma, per un periodo limitato a pochi giorni, comunque non superiore ai 21 giorni.
Diversamente, la generalizzata raccolta e la conservazione dei metadati di posta elettronica, per un lasso di tempo più esteso, in presenza di esigenze comunque riconducibili alla sicurezza e alla tutela del patrimonio anche informativo del datore di lavoro, potendo comportare un indiretto controllo a distanza dell’attività dei lavoratori, richiede la preventiva sottoscrizione di un accordo con le rappresentanze sindacali (art. 4, comma 1, della Legge n. 300/1970).
11/06/25
