Roberto Rossi
Con provvedimento n. 472 del 17.07.2024 il Garante della Privacy ha chiarito che il datore di lavoro non può accedere alla posta elettronica del dipendente o del collaboratore, né utilizzare un software per conservare una copia dei messaggi.
Un trattamento di questo tipo, infatti, configurerebbe una violazione della disciplina in materia di protezione dei dati personali ed è idoneo a realizzare un’illecita attività di controllo del lavoratore.
Il reclamo presentato da un lavoratore
Con reclamo presentato in data 28/12/2021, un lavoratore lamentava una violazione della disciplina in materia di protezione dei dati personali posta in essere da una società datore di lavoro, con cui aveva intrattenuto un rapporto di collaborazione in qualità di agente di commercio.
Il lavoratore sosteneva che, a seguito dell’interruzione del rapporto di collaborazione, la Società aveva mantenuto attivo l’account di posta elettronica aziendale a lui assegnato, accedendo al contenuto di tutta la corrispondenza in transito che, infatti, veniva prodotto nel corso di un giudizio instaurato dinanzi al Tribunale di Venezia.
Con nota del 14/03/2022, il Garante chiedeva informazioni alla società, per acquisire utili elementi di valutazione in ordine a quanto rappresentato nel reclamo.
La Società forniva riscontro con nota del 13/04/2022, precisando di non aver mai acceduto alla casella di posta elettronica in uso al lavoratore durante la vigenza del rapporto lavorativo. Ha poi precisato che esegue periodicamente un backup delle caselle di posta elettronica aziendali mediante software e che l’esecuzione del backup in parola non richiede alcun accesso da parte del personale aziendale, poiché è eseguito con modalità automatiche dal software.
Dopo aver inoltre precisato che l’account è attualmente inattivo, la società ha prodotto un documento consegnato al reclamante e sottoscritto da quest’ultimo, in cui si indica che “nell’ipotesi di cessazione dell’attività lavorativa o di assenza, [la Società si riserva di] accedere alla casella di posta utilizzata in pendenza del rapporto lavorativo, per consentire la continuità lavorativa (…)” e che “il sistema informatico registra i suoi accessi alle caselle di posta elettronica e al gestionale, elaborando costantemente dei report di log che vengono conservati dal sistema per una durata di almeno 6 mesi”.
Ancora, nel documento si indica che “nell’ipotesi in cui lo ritenesse strettamente utile e/o strettamente necessario, potrà effettuare verifiche a campione finalizzate ad accertare la correttezza della prestazione, nonché potrà effettuare controlli tesi alla verifica del regolare utilizzo degli strumenti in dotazione e dei relativi sistemi e del loro regolare funzionamento”.
L’istruttoria da parte del Garante
Sulla base di quanto sopra, il Garante avviava la sua istruttoria, da cui risultava che la società, in qualità di titolare del trattamento, aveva effettuato alcune operazioni di trattamento non conformi alla disciplina in materia di protezione dei dati personali.
In particolare, è emerso come la società abbia incaricato uno studio di ingegneria forense di svolgere un’attività di indagine sul contenuto della posta elettronica del reclamante utilizzando il software installato sui pc aziendali. Le e-mail raccolte tramite applicativo sono state utilizzate nell’ambito di un procedimento giudiziario avviato nei confronti del reclamante dinanzi al tribunale.
I tempi di conservazione dei dati
A fronte del trattamento svolto è risultato poi che l’informativa resa dalla Società non è conforme alla disciplina di protezione dei dati, essendo inidonea e incompleta, con particolare riferimento ai tempi di conservazione dei dati relativi alla posta elettronica e alle modalità e le finalità con cui sono effettuati i controlli da parte della Società in qualità di titolare del trattamento.
Dall’esame dei documenti risulta infatti che l’informativa rilasciata al reclamante prevede la conservazione dei dati personali solo per consentire l’espletamento di tutti gli adempimenti connessi o derivanti dalla conclusione del rapporto di lavoro, indicando come tempo di conservazione il termine di 10 anni in conformità alle disposizioni di cui agli artt. 19 e 22 del d.P.R. 600/1973 e che l’interessato è informato della elaborazione di log degli accessi alla posta elettronica e al gestionale, che sono conservati “per una durata di almeno 6 mesi”.
Non è invece fornita alcuna informazione sull’effettuazione di back up del contenuto della casella individuale di posta elettronica e la conservazione del relativo contenuto successivamente alla cessazione del rapporto con la Società, che, in base a quanto dichiarato dalla stessa, è prevista per 3 anni.
Nel documento sopra citato si indica poi che la Società può accedere alla casella di posta elettronica dei lavoratori, a seguito della cessazione del rapporto lavorativo o anche nell’ipotesi di assenza, unicamente per garantire la continuità della prestazione lavorativa.
Il Garante richiama in proposito il costante orientamento assunto che, nei propri provvedimenti, ha sempre affermato che per assicurare l’ordinario svolgimento e la continuità dell’attività aziendale,
è necessario predisporre sistemi di gestione documentale in grado di archiviare e conservare i documenti con modalità idonee a garantire le caratteristiche di autenticità, integrità, affidabilità, leggibilità e reperibilità prescritte dalla disciplina di settore applicabile.
Evidentemente, queste caratteristiche non si rinvengono nei sistemi di posta elettronica, che rispondono ad altre finalità
In ogni caso, i documenti informativi predisposti dalla Società non forniscono informazioni sulle indagini che la stessa si riserva di effettuare sui contenuti memorizzati sui dispositivi aziendali né i necessari chiarimenti sulle eventuali ragioni legittime, specifiche e non generiche alla base di tali controlli e le relative modalità, che devono essere comunque conformi ai principi di liceità, proporzionalità e gradualità.
La condotta posta in essere, dunque, è avvenuta in violazione degli artt. 5, par. 1, lett. a) (principio di correttezza) e 13 del Regolamento.
Il trattamento sul contenuto della posta elettronica
Altra violazione riguarda quella sorta in seguito alla verifica del trattamento sul contenuto della posta elettronica che transita sugli account aziendali, effettuata dalla Società tramite software.
Risulta infatti che il software effettua il backup del contenuto delle caselle di posta elettronica in uso ai dipendenti e ai collaboratori, in vigenza del rapporto di lavoro/collaborazione, conservandone il contenuto per un periodo di tempo pari a tre anni, dopo la cessazione dei rapporti lavorativi.
La Società non indica però per quali ragioni ritiene necessario individuare un siffatto periodo di conservazione per finalità di sicurezza dei sistemi informatici e non indica le ragioni in virtù delle quali ha ritenuto necessario conservare per l’ampio tempo di conservazione pari a 6 mesi i log di accesso alla posta elettronica e al gestionale in uso ai dipendenti.
Emerge inoltre come la Società abbia utilizzato il software con finalità diverse da quella di garantire la sicurezza dei sistemi informatici, considerato che ha potuto verificare il contenuto dei messaggi.
Dunque, le operazioni di trattamento realizzate per mezzo del software risultano in contrasto con i principi di liceità, di minimizzazione dei dati e di limitazione della conservazione (art. 5, par. 1, lett. a), c) ed e) del Regolamento).
Emerge inoltre sotto altro profilo come il trattamento che la Società effettua in qualità di datore di lavoro sui dati contenuti nelle caselle di posta elettronica assegnate ai propri dipendenti sia idoneo a consentire un’attività di controllo sull’attività dei lavoratori in violazione di quanto previsto dall’art. 4 della legge n. 300 del 20/05/1970, norma richiamata dall’art. 114 del Codice. 7
Di fatti, tramite il software la Società ha effettuato trattamenti che permettono di ricostruire anche a distanza di tempo l’attività dei dipendenti, sia attraverso le comunicazioni scambiate via e-mail, sia attraverso i log del gestionale utilizzato per svolgere l’attività lavorativa.
I provvedimenti correttivi
A margine dell’istruttoria, il Garante dispone dunque il divieto dell’ulteriore trattamento dei dati estratti attraverso il software usato dalla Società e l’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto in 80.000 euro.
