Il 6 giugno 2024, il Garante per la protezione dei dati personali ha adottato il documento di indirizzo finale in merito alla conservazione dei metadati relativi alla posta elettronica dei dipendenti. Questo aggiornamento arriva a seguito della consultazione pubblica svolta nell’aprile 2024 e introduce importanti novità che meritano attenzione, soprattutto per quanto riguarda la gestione dei dati in ambito lavorativo.
Cosa sono i metadati e perché sono rilevanti?
Il Garante ha fornito una definizione più precisa di metadati, chiarendo che non devono essere confusi con il contenuto dei messaggi di posta elettronica. I metadati sono invece informazioni registrate automaticamente dai sistemi di gestione della posta elettronica, come:
- indirizzi e-mail di mittente e destinatario;
- indirizzi IP dei server o client coinvolti;
- orari di invio, ritrasmissione o ricezione;
- dimensioni dei messaggi e dei relativi allegati;
- eventuale oggetto del messaggio.
Questi dati vengono registrati senza intervento dell’utente e sono distinti dal corpo del messaggio (body-part).
Conservazione dei metadati della posta elettronica: limiti temporali e garanzie
In ambito lavorativo, la raccolta e conservazione dei metadati è consentita solo per garantire il funzionamento del sistema di posta elettronica e deve essere limitata a un periodo massimo di 21 giorni, salvo specifiche necessità tecniche. La conservazione prolungata di questi dati potrebbe configurare un controllo indiretto dell’attività lavorativa, rendendo necessarie le garanzie previste dall’articolo 4 dello Statuto dei Lavoratori.
In particolare:
- È consentito estendere il periodo di conservazione oltre i 21 giorni solo in presenza di condizioni specifiche, che devono essere adeguatamente documentate in applicazione del principio di accountability.
- Eventuali estensioni devono prevedere misure tecniche e organizzative per limitare l’accesso ai soli soggetti autorizzati, garantendo la tracciatura degli accessi effettuati.
Implicazioni per la privacy by design e by default
Il Garante sottolinea l’importanza di adottare un approccio basato su privacy by design e privacy by default. I datori di lavoro sono tenuti a:
- disattivare funzionalità incompatibili con le finalità del trattamento;
- configurare i sistemi per limitare la raccolta dei metadati;
- collaborare con i fornitori di servizi per garantire la conformità al GDPR, bilanciando le esigenze tecniche con quelle normative.
In particolare, i fornitori di servizi cloud o as-a-service devono permettere ai titolari del trattamento di modificare le impostazioni di default per limitare la raccolta e la conservazione dei metadati.
Obblighi per i datori di lavoro sul trattamento metadati
Tutti i datori di lavoro, pubblici e privati, devono adottare misure adeguate per conformarsi alle nuove indicazioni. Ciò include:
- Verificare che i software di gestione della posta elettronica consentano la configurazione di impostazioni compatibili con i limiti temporali previsti (ad esempio, massimo sette giorni con possibilità di estensione di 48 ore).
- Assicurare che i fornitori di servizi rispettino le normative vigenti e permettano il rispetto degli obblighi di protezione dei dati.
- Predisporre una strategia di compliance per garantire la conformità alle nuove regole, tenendo conto delle specificità organizzative e tecniche della realtà aziendale.
Conclusioni
Con l’aggiornamento del documento, il Garante pone maggiore attenzione al ruolo dei provider di servizi di posta elettronica, che non possono sempre essere considerati meri responsabili del trattamento. A loro si richiede un contributo attivo nella progettazione di sistemi conformi al GDPR.
Un approccio proattivo e basato sul principio di accountability risulta essenziale per evitare rischi e garantire una gestione corretta dei metadati. I datori di lavoro devono pertanto analizzare attentamente le nuove indicazioni e adottare le misure necessarie per conformarsi, valorizzando il dialogo con esperti di privacy e compliance per rispondere in modo adeguato alle esigenze normative.