L’uso delle email aziendali: il Garante Privacy chiarisce i limiti del controllo sui dipendenti
Il Garante per la protezione dei dati personali ha recentemente riaffermato un principio fondamentale per le aziende: la gestione delle caselle di posta elettronica aziendale non deve tradursi in un controllo sistematico dei lavoratori. Un provvedimento, che ha comportato una sanzione amministrativa di 460 mila euro, sottolinea la necessità di rispettare i principi del GDPR e le tutele previste dallo Statuto dei lavoratori nella conservazione delle email, dei relativi backup e dei log di accesso.
La questione è sorta a seguito di reclami presentati da due ex dipendenti, i quali avevano contestato l’accesso alle proprie comunicazioni elettroniche aziendali e la mancata risposta alle loro richieste di disattivazione degli account post-cessazione del rapporto di lavoro. L’istruttoria condotta dall’Autorità ha accertato diverse violazioni della normativa sulla protezione dei dati personali.
Durante le indagini, è emerso che il datore di lavoro aveva acceduto alle caselle di posta di due dipendenti al fine di verificare la sussistenza di presunti comportamenti illeciti. Sono state acquisite 112 email, alcune delle quali sono state utilizzate anche in procedimenti disciplinari.
Il Garante ha tuttavia rilevato che una parte dei messaggi acquisiti risaliva a un periodo antecedente all’insorgere del sospetto, arrivando fino a circa due anni prima. Tale circostanza è stata ritenuta incompatibile con i principi che regolano i cosiddetti “controlli difensivi”, i quali devono limitarsi ai dati raccolti successivamente all’insorgere di un fondato sospetto e non consentire una ricostruzione retroattiva dell’attività del lavoratore.
Un rilievo significativo ha riguardato la politica di conservazione della posta elettronica. L’istruttoria ha evidenziato che i periodi di conservazione estesi non risultano conformi al principio di limitazione della conservazione previsto dal GDPR, permettendo di fatto una ricostruzione nel tempo dell’attività dei dipendenti.
L’Autorità ha ribadito che la raccolta sistematica di email e metadati può consentire la conoscenza di informazioni sensibili, quali:
* Dati relativi alla sfera privata del lavoratore;
* Dati relativi alla salute;
* Dati relativi alle opinioni politiche, religiose o sindacali.
Quando tali trattamenti implicano un controllo a distanza dei lavoratori, devono essere rispettate le garanzie previste dall’articolo 4 dello Statuto dei lavoratori. In assenza di tali requisiti, il trattamento dei dati viene considerato illecito.
Sono state inoltre riscontrate carenze nelle informative fornite ai dipendenti, le quali non spiegavano in modo sufficientemente chiaro:
* Le finalità e le modalità del trattamento dei dati;
* La natura dei dati raccolti;
* I tempi di conservazione.
Il GDPR impone che tali informazioni siano comunicate preventivamente e in modo trasparente. L’Autorità ha infine rilevato il mancato riscontro alle richieste degli ex lavoratori riguardo alla disattivazione dei loro account, comportamento ritenuto contrario agli obblighi previsti dal GDPR per l’esercizio dei diritti degli interessati.
Il datore di lavoro ha comunicato di aver aggiornato le proprie procedure interne. Pur prendendo atto favorevolmente di tali interventi correttivi, il Garante ha precisato che le modifiche successive non sanano le violazioni già commesse. Il provvedimento ribadisce che la mera disponibilità tecnica delle email aziendali non legittima una conservazione indiscriminata né controlli generalizzati. L’Autorità ha quindi dichiarato illecito il trattamento dei dati personali esaminato, irrogando la sanzione e disponendo il divieto di utilizzo dei dati raccolti illecitamente, sottolineando la violazione di principi fondamentali della normativa sulla protezione dei dati.
Articolo redatto da CONFENALP. Spunto da: Lavoro e Diritti