Illegittimo il trattamento dei metadati della corrispondenza elettronica dei dipendenti: l’ordinanza ingiunzione 409/2022 del Garante per la protezione dei dati personali
L’Autorità Garante per la protezione dei dati personali non ha ritenuto legittimo il controllo dei metadati della posta elettronica dei dipendenti effettuato dalla Regione Lazio senza adeguate tutele per la riservatezza e in violazione delle norme che limitano il controllo a distanza dei lavoratori.
Nel dettaglio, un sindacato autonomo aveva lamentato un monitoraggio posto in essere dalla Regione sulle caselle di posta elettronica del personale in servizio presso gli uffici dell’avvocatura regionale.
Nel corso dell’istruttoria dinanzi al Garante, la Regione aveva dichiarato di aver avviato una verifica interna sulla base del sospetto di una possibile rivelazione a terzi di informazioni protette dal segreto d’ufficio. Oggetto della verifica interna e del conseguente monitoraggio risultavano i metadati relativi ad orari, destinatari, oggetto delle comunicazioni, peso degli allegati inviati via mail dai dipendenti.
In particolare, veniva accertato che la Regione aveva potuto effettuare il monitoraggio del personale dell’avvocatura, in particolare dei dipendenti che inviavano messaggi a uno specifico sindacato, sfruttando i dati conservati per generiche finalità di sicurezza informatica per un periodo pari a 180 giorni ed in assenza di idonei presupposti giuridici, violando così i principi di protezione dei dati e delle norme sul controllo a distanza.
Di conseguenza, nell’ordinanza-ingiunzione dd. 1/12/2022, registro dei provvedimenti n. 409/2022, il Garante ha ribadito come la generalizzata raccolta e l’estesa conservazione dei metadati della posta elettronica – che in quanto forma di corrispondenza è tutelata dalla Costituzione – non sono strumentali allo “svolgimento della prestazione” del dipendente, ai sensi dello Statuto dei lavoratori.
Per poter effettuare detti controlli infatti il datore di lavoro avrebbe dovuto avviare le specifiche procedure di garanzia previste dalla legge.
Il trattamento di dati personali così come posto in essere ha, tra l’altro, consentito al datore di lavoro di entrare in possesso di informazioni relative anche alla sfera privata dei dipendenti, a partire dalle loro opinioni (in quanto riguardanti comunicazioni inviate ad una specifica sigla sindacale), contatti e fatti non attinenti all’attività lavorativa.
Quindi, oltre alla sanzione amministrativa di 100.000 euro, il Garante ha vietato alla Regione Lazio ogni ulteriore operazione di trattamento dei metadati relativi all’utilizzo della posta elettronica dei lavoratori e disposto la cancellazione di quelli illecitamente raccolti.