Il Garante ha reso noto, lo scorso 20 ottobre, di aver rilevato l’illiceità del trattamento effettuato da un datore di lavoro per l’accesso alla posta elettronica del collaboratore e l’utilizzo di un software per conservare una copia dei messaggi.

In particolare, il Garante ha accertato che:

• attraverso un apposito software, il datore di lavoro ha effettuato il backup del contenuto delle caselle di posta elettronica in uso ai dipendenti e ai collaboratori, in vigenza del rapporto di lavoro/collaborazione, conservandone il contenuto in modo sistematico e automatico per un periodo di tempo pari a tre anni, dopo la cessazione dei rapporti lavorativi al fine di garantire la sicurezza dei sistemi informatici, ai sensi dell’art. 5, par. 1, lett. f), del Regolamento;
• il datore di lavoro ha incaricato uno studio di ingegneria forense di svolgere un’attività di indagine sul contenuto della posta elettronica del collaboratore utilizzando l’applicativo software installato sui dispositivi elettronici aziendali e così utilizzando detto software per finalità diverse da quella di garantire la sicurezza dei sistemi informatici;

• le 34 e-mail raccolte tramite l’applicativo sono state infatti utilizzate nell’ambito di un procedimento giudiziario avviato nei confronti del collaboratore dinanzi al Tribunale;
• il datore di lavoro, in base a quanto risulta dal documento allegato all’informativa consegnata al collaboratore e rivolto anche ai dipendenti (“Attrezzatura utilizzata dal lavoratore per rendere la prestazione lavorativa e strumenti di registrazione degli accessi e delle presenze-Modalità e limiti di impiego”), ha trattato i dati relativi agli account di posta elettronica aziendale in violazione della disciplina di protezione dei dati.

La sanzione amministrativa pecuniaria, per le violazioni indicate nel provvedimento dell’Autorità, è stata di 80.000,00 euro.

• IL RECLAMO

Il procedimento sanzionatorio è stato avviato a seguito del reclamo presentato dal collaboratore (un agente di commercio), nel dicembre 2021. Il reclamante ha dichiarato che, dopo l'interruzione della collaborazione, avvenuta nel febbraio 2021, il datore di lavoro ha mantenuto attivo l'account di posta elettronica aziendale individuale a lui assegnato durante il periodo di collaborazione, accedendo alla corrispondenza in transito su tale account, che è stata poi prodotta in un procedimento legale presso il Tribunale di Venezia.

Nel marzo 2022, l’Ufficio ha richiesto al datore di lavoro informazioni ai sensi dell’art. 157 del Codice, per acquisire elementi utili a valutare quanto riportato nel reclamo.

All'esito dell'istruttoria, nel luglio del 2024, è stata adottata l'ordinanza ingiunzione avente ad oggetto l'accertamento della illiceità dei trattamenti effettuati e il pagamento della sanzione pecuniaria amministrativa.

• L’ILLICEITA’ DELL’INFORMATIVA

L’Autorità ha inoltre rilevato l’inadeguatezza e la mancanza di chiarezza dell’informativa fornita ai lavoratori, accertando che tale informativa è stata fornita in violazione degli artt. 5, par. 1, lett. a) (principio di correttezza) e 13 del Regolamento.

Il documento prevedeva:

• la possibilità per il datore di lavoro di accedere alla posta elettronica dei dipendenti e collaboratori in caso di assenza o cessazione del rapporto di lavoro, per garantire la continuità delle attività aziendali.

Tuttavia, non vi erano riferimenti al backup dei dati né al relativo periodo di conservazione.

Le informative predisposte dal datore di lavoro non hanno specificato nulla riguardo alle eventuali indagini sui contenuti memorizzati sui dispositivi aziendali, né hanno offerto dettagli sulle ragioni legittime e specifiche di tali controlli, che dovrebbero comunque rispettare i principi di liceità, proporzionalità e gradualità (cfr. “Linee guida per posta elettronica e internet”, provvedimento 1° marzo 2007, n. 13, doc web n. 1387522).

Se non chè, è necessario che l’informativa sia conforme alla normativa sulla protezione dei dati, non limitandosi a fornire solo le caratteristiche essenziali del trattamento, ma delineando chiaramente le operazioni lecite.

Il Garante ha confermato quindi l’illiceità del trattamento dei dati personali attuato dal datore di lavoro tramite l'informativa risultata del tutto inadeguata, ricordando, nel contempo, che l’obbligo di informativa è un’espressione del principio di correttezza nei trattamenti anche nei rapporti di collaborazione.

Fondamentale la motivazione fornita che, di seguito si riporta integralmente.

“A fronte del trattamento svolto, che ha riguardato prevalentemente i dati contenuti nella casella di posta elettronica, è risultato che l’informativa resa dalla Società non è conforme alla disciplina di protezione dei dati, in quanto inidonea e incompleta nel rappresentare compiutamente le caratteristiche e le modalità dei trattamenti svolti, con particolare riferimento ai tempi di conservazione dei dati relativi alla posta elettronica e alle modalità e le finalità con cui sono effettuati i controlli da parte della Società in qualità di titolare del trattamento. In particolare, dall’esame della documentazione in atti, risulta che l’informativa rilasciata al reclamante prevede, in via assai generale, la conservazione dei dati personali unicamente per consentire l’espletamento di tutti gli adempimenti connessi o derivanti dalla conclusione del rapporto di lavoro, indicando come tempo di conservazione il termine di 10 anni in conformità alle disposizioni di cui agli artt. 19 e 22 del d.P.R. 600/1973. Analogamente, nella parte del documento denominata “Attrezzatura utilizzata dal lavoratore per rendere la prestazione lavorativa e strumenti di registrazione degli accessi e delle presenze”, l’interessato è informato della elaborazione di log degli accessi alla posta elettronica e al gestionale, che sono conservati “per una durata di almeno 6 mesi”. Nessuna informazione viene invece fornita riguardo l’effettuazione di back up del contenuto della casella individuale di posta elettronica, in vigenza di rapporto, e la conservazione del relativo contenuto, successivamente alla cessazione del rapporto con la Società, che, in base a quanto dichiarato dalla stessa, è prevista per 3 anni (note del 13/04/2022 e del 05/10/2022). La parte del documento contenente le istruzioni sull’utilizzo degli strumenti di lavoro prevede, inoltre, la possibilità, per la Società, di accedere alla casella di posta elettronica dei lavoratori, a seguito della cessazione del rapporto lavorativo o anche nell’ipotesi di assenza, unicamente per garantire la continuità della prestazione lavorativa.Occorre, a tal proposito, richiamare il costante orientamento di questa Autorità che, nei propri provvedimenti, ha sempre affermato che per assicurare l’ordinario svolgimento e la continuità dell’attività aziendale, è necessario predisporre sistemi di gestione documentale in grado di archiviare e conservare i documenti “con modalità idonee a garantire le caratteristiche di autenticità, integrità, affidabilità, leggibilità e reperibilità prescritte dalla disciplina di settore applicabile”. Tali caratteristiche non possono rinvenirsi nei sistemi di posta elettronica che, infatti, rispondono ad altre finalità (si veda, tra gli altri, il provvedimento n. 53 del 01/02/2018, doc. web n. 8159221 e provvedimento n. 214 del 29/10/2020 doc. web 9518890)”.

• L’ILLICEITA’ DEL PERIODO DI CONSERVAZIONE

Nel definire il procedimento, il Garante ha affermato che non sono conformi alla disciplina di protezione dei dati:

• la sistematica conservazione delle email per tre anni successivamente alla cessazione del rapporto;
• la sistematica conservazione dei log di accesso alla posta elettronica e al gestionale utilizzato dai lavoratori.

Tale conservazione infatti risulta sproporzionata e non necessaria al conseguimento delle finalità di garantire la sicurezza della rete informatica e la continuità dell’attività aziendale.

• IL DIVIETO DI ULTERIORE TRATTAMENTO

Oltre alla sanzione, l’Autorità ha disposto, ai sensi dell’art. 58, par. 2, lett, f) del Regolamento, il divieto dell’ulteriore trattamento dei dati estratti attraverso il software utilizzato per il backup della posta elettronica.

• L’ILLECITA’ DELL’ ATTIVITA’ DI CONTROLLO DEL LAVORATORE

Da ultimo si rileva che il trattamento di dati personali in esame non si limita a integrare una violazione della disciplina in materia di protezione dei dati personali ne è anche suscettibile di integrare anche a un'illecita attività di controllo del lavoratore, in violazione di quanto previsto dall’art. 4 della legge n. 300 del 20/05/1970, che costituisce condizione di liceità dei trattamenti di dati personali effettuati in ambito lavorativo in quanto, secondo il Garante, è una delle norme del diritto nazionale “più specifiche per assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro” individuate dall’art. 88 del Regolamento (v. artt. 5, par. 1, lett. a) e 88 del Regolamento), tenuto conto, oltretutto della circostanza che l’art. 4 della legge n. 300 è richiamato, espressamente, dall’art. 114 del Codice.