Conservazione dei metadati delle e-mail aziendali: una limitazione alle libertà dei dipendenti?

Ma siamo sicuri che la conservazione dei metadati delle e-mail aziendali arrechi un pregiudizio per le libertà del dipendente tanto da dover prevedere un termine non superiore ai sette giorni, estensibili ad ulteriori 48 ore solo in caso di comprovate e documentate esigenze? E se invece la Corte di cassazione, in sede penale, affermasse la piena utilizzabilità, nei confronti del lavoratore dei dati personali e delle immagini conservate oltre un dato periodo?

Questo è quello che succede in Italia!!

Il recentissimo provvedimento dell’Autorità Garante italiana, Provvedimento del 21 dicembre 2023 - Documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” [9978728],  ha previsto che, nel caso di utilizzo di programmi e servizi in cloud per la gestione della posta elettronica, : “l’attività di raccolta e conservazione dei soli c.d. metadati necessari ad assicurare il funzionamento delle infrastrutture del sistema della posta elettronica, per un tempo che, all’esito di valutazioni tecniche e nel rispetto del principio di responsabilizzazione - affinché sia ritenuto applicabile il comma 2 dell’art. 4 della L. n. 300/1970 – non può essere superiore di norma a poche ore o ad alcuni giorni, in ogni caso non oltre sette giorni, estensibili, in presenza di comprovate e documentate esigenze che ne giustifichino il prolungamento, di ulteriori 48 ore”.

In alternativa, “nel caso in cui i trattamenti di dati personali in questione si dovessero comunque rendere necessari per il perseguimento di esigenze organizzative o produttive, espletare le richiamate procedure di garanzia previste dalla disciplina di settore (art. 4 della l. 300/1970) o cessare l’utilizzo di tali programmi e servizi informatici” ossia procedere a formalizzare un accordo con le RSU eventualmente presenti in azienda o richiedere specifica autorizzazione all’Ispettorato del Lavoro territorialmente competente insomma, le stesse procedure che si attuano nel caso di installazione di un sistema di videosorveglianza nei locali aziendali o di dispositivi di geolocalizzazione.

Ma cosa sono i metadati? I metadati sono quelle informazioni necessarie a un documento (informatico), affinché sia creato nel modo corretto, potendolo gestire, conservare e rendere accessibile nel tempo.

Rappresentano, in sintesi, una sorta di Carta d’Identità dei file digitali, che indicano la provenienza, la data di creazione, le ultime modifiche e tutti quegli attributi utili per la loro classificazione: in particolare, per una e-mail rappresentano le sole caratteristiche/proprietà, senza rivelarne il contenuto con eventuali allegati. 

Le caratteristiche sono: il giorno, l’ora, il mittente, il destinatario, l’oggetto e la dimensione dell’e-mail stessa.

La posta elettronica utilizzata dai dipendenti rappresenta uno “strumento di lavoro”, ma addirittura per il Garante, la conservazione e l’archiviazione dei metadati rappresenterebbe un sistema di monitoraggio del lavoratore da parte del datore di lavoro in quanto avrebbe la possibilità di verificare le performance aziendali del dipendente e i metadati, pertanto, non rientrerebbero come caratteristiche dello strumento di lavoro.

Siamo così sicuri che questa limitazione circa i tempi di conservazione dei metadati sia la strada più giusta da intraprendere? La conservazione dei metadati avrebbe invece rilevanza:

- sia come rilievo negoziale, che onere della prova, soprattutto laddove sono in gioco termini di decadenza o prescrizione;

- per la ricostruzione degli avvenimenti circa eventuali data breach che potrebbero palesarsi in azienda dopo l’apertura di una semplice e-mail;

- per la gestione delle attività lavorative, in quanto la cancellazione dei metadati potrebbe compromettere la possibilità di effettuare anche delle verifiche su rapporti contrattuali con le parti.

Inoltre, siamo così convinti che le RSU e le ITL competenti abbiano gli strumenti necessari per verificare se il trattamento sia lecito o meno, come invece già avviene per videosorveglianza e geolocalizzazione, dove ci sono parametri già standardizzati che permettano di capire se quell’uso di strumenti di monitoraggio siano lesivi nei confronti del lavoratore?

A ciò si aggiunga che la Suprema Corte, in sede penale, intervenendo su una questione avente ad oggetto un procedimento intentato nei confronti di un lavoratore accusato di vari comportamenti illeciti ha statuito la piena utilizzabilità, nei confronti del lavoratore dei dati personali e delle immagini conservate oltre un dato periodo.

La Cassazione, in particolare, ha ritenuto pienamente acquisibile “il filmato estrapolato dalle videocamere installate negli adiacenti locali della Guardia di Finanza, conservato per un tempo superiore a quello consentito dalla normativa in tema di privacy (d. Igs. n. 196 del 2003): infatti, secondo la costante giurisprudenza di questa Corte, la tutela accordata dalla legge alla riservatezza non è assoluta e cede dinanzi alle esigenze di tutela della collettività e, in specie, alle esigenze di accertamento probatorio proprie del processo penale.”

Ci auspichiamo, in tempi brevi, una maggiore chiarezza e un indirizzo lineare ed uniforme sulle linee guida da applicare in quanto queste nuove diposizioni, se si dovessero applicare, comporterebbero ulteriori oneri invasivi nei confronti dei Titolari, anche per quelle piccole aziende con solo uno o due dipendenti, e svaluterebbero anche i fornitori di servizi in Cloud, che hanno proprio come obbiettivo principale la conservazione, nei tempi di legge, dei dati.

Avv. Clementina Baroni