Garante Privacy: aggiornate le indicazioni sull’utilizzo dei programmi di gestione della posta elettronica aziendale e sulla conservazione dei c.d. “metadati” a seguito della consultazione pubblica avviata dalla stessa Autorità nelle settimane passate

Con il provvedimento del 6 giugno 2024, n. 364, denominato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”, l’Autorità Garante per la protezione dei dati personali ritorna sul tema della conservazione dei metadati delle mail aziendali. 

Cosa si intende per “metadati”? 

Anzitutto con la definizione di “metadati” non si devono intendere le informazioni contenute nei messaggi di posta elettronica nella loro “body–part” bensì le informazioni relative alle operazioni di invio e ricezione e smistamento dei messaggi che possono comprendere gli indirizzi email del mittente e del destinatario, gli indirizzi IP dei server o dei client coinvolti nell’instradamento del messaggio, gli orari di invio, di ritrasmissione o di ricezione, la dimensione del messaggio, la presenza e la dimensione di eventuali allegati e, in certi casi, in relazione al sistema di gestione del servizio di posta elettronica utilizzato, anche l’oggetto del messaggio spedito o ricevuto. 

Per quanto tempo i datori di lavoro possono conservare tali informazioni? 

Rispetto a quanto indicato dall’Autorità ante consultazione pubblica, con le linee di indirizzo del 6 giugno u.s. il periodo di conservazione è stato esteso a 21 giorni. 

Tale periodo di conservazione è “orientativo”. 

L’eventuale conservazione per un termine più ampio potrà essere effettuata solo in presenza di particolari condizioni che rendano necessaria l’estensione e, in ogni caso, le specificità di tale esigenza dovranno essere adeguatamente comprovate. 

In applicazione del principio di accountability, spetta dunque a ciascun datore di lavoro adottare tutte le misure tecniche ed organizzative per assicurare il rispetto del principio di limitazione della finalità, l’accessibilità selettiva da parte dei soli soggetti autorizzati e adeguatamente istruiti e la tracciatura degli accessi effettuati. 

Ciò tenendo presente che una raccolta e una conservazione dei metadati generalizzate possono comportare un indiretto controllo a distanza dell’attività dei lavoratori e, in tal caso, dovranno essere esperite le garanzie previste dall’art. 4 dello Statuto dei Lavoratori: sottoscrizione di un accordo sindacale o, in mancanza, ottenimento di una autorizzazione da parte dell’Ispettorato Nazionale o Territoriale del Lavoro.

*****

Il nostro Focus Team Privacy rimane a disposizione per tutti gli approfondimenti del caso.