Il Garante Privacy differisce l’efficacia del provvedimento sul termine di conservazione delle e-mail dei dipendenti e contestualmente avvia una consultazione pubblica

Il 22 febbraio 2024 il Garante per la protezione dei dati personali ha deliberato l’avvio di una consultazione pubblica inerente al "termine di conservazione dei metadati generati e raccolti automaticamente dai protocolli di trasmissione e smistamento della posta elettronica" dei dipendenti, come si è appreso ieri dall’apposito comunicato stampa (disponibile qui).

Tale consultazione si è resa necessaria a seguito dell’emanazione del provvedimento relativo ai programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati dello scorso 21 dicembre 2023, che aveva suscitato non poco interesse e preoccupazione (per maggiori informazioni, si veda qui).

In tale contesto, il Garante della Privacy, alla luce del principio di riservatezza della corrispondenza costituzionalmente tutelato, nonché in virtù delle cautele imposte dalla normativa inerente alla protezione dei dati personali, si era preoccupato di individuare il periodo di raccolta e conservazione dei metadati afferenti ai sistemi di posta elettronica in uso ai dipendenti in «poche ore o ad alcuni giorni, in ogni caso non oltre sette giorni estensibili, in presenza di comprovate e documentate esigenze che ne giustifichino il prolungamento, di ulteriori 48 ore».

Conseguentemente, secondo il Garante della Privacy, la conservazione delle e-mail per un periodo più esteso avrebbe reso necessario alle imprese l’adempimento degli oneri di cui all’art. 4, comma 1, della Legge 30 maggio 1970, n. 300 (i.e. Statuto dei Lavoratori), norma, come noto, posta a presidio del corretto utilizzo degli strumenti tecnologici dai quali derivi la possibilità di controllo a distanza dell’attività lavorativa.

In particolare, a tal riguardo, le aziende avrebbero dovuto nel breve termine precedentemente previsto:

• ottenere l’autorizzazione espressa da parte dell’organo competente, ovvero le Rappresentanze Sindacali Aziendali oppure, in assenza di accordo, l’Ispettorato del Lavoro;
• individuare ed indicare tra le tassative ragioni di legge (i.e. (i) esigenze organizzative e produttive, (ii) sicurezza del lavoro e (iii) tutela del patrimonio aziendale) quella effettivamente sottesa alla necessità di prolungata conservazione delle e-mail aziendali.

Anche alla luce delle perplessità suscitate dall’esiguità dei termini ivi previsti e della portata dirompente delle conseguenze, il Garante della Privacy ha pertanto deciso di differire l’efficacia del documento di indirizzo e promuovere contestualmente una consultazione pubblica avente a oggetto le specifiche tecniche e fattuali che renderebbero necessaria una conservazione dei metadati superiore a quella ipotizzata nel precedente documento di indirizzo.

Come chiarito dal Garante stesso, l’obiettivo della consultazione è quello di acquisire osservazioni e proposte riguardo alla congruità, in relazione alle finalità perseguite dai datori di lavori pubblici e privati, del termine di conservazione dei metadati generati e raccolti automaticamente dai protocolli di trasmissione e smistamento della posta elettronica e relativi alle operazioni di invio, ricezione e smistamento dei messaggi di posta elettronica (che possono comprendere gli indirizzi email del mittente e del destinatario, gli indirizzi IP dei server o dei computer coinvolti nell’instradamento del messaggio, gli orari di invio, di ritrasmissione e di ricezione, la dimensione del messaggio, la presenza e la dimensione degli eventuali allegati, in certi casi anche l’oggetto del messaggio spedito o ricevuto) e, più in generale alle forme e modalità di utilizzo di tali metadati che ne renderebbero necessaria una conservazione superiore a quella ipotizzata nel documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”.

Conseguentemente, i datori di lavoro pubblici e privati, gli esperti della disciplina e tutti i soggetti interessati avranno a disposizione 30 giorni, a partire dalla pubblicazione in Gazzetta ufficiale del provvedimento, per scrivere al Garante tramite: (i) posta ordinaria (Piazza Venezia n. 11, 00187 - Roma); (ii) l’indirizzo email protocollo@gpdp.it ; oppure (iii) l’indirizzo di Posta Elettronica Certificata protocollo@pec.gpdp.it.

Con questa decisione il Garante della Privacy sembrerebbe dunque aver colto lo stato di agitazione che ha accompagnato il precedente provvedimento, rendendosi disponibile ad una rivalutazione dei termini (e dei conseguenti adempimenti) anche in relazione alle concrete necessità dei datori di lavoro.