Una casella di posta elettronica aziendale assegnata a un dipendente non può trasformarsi in un archivio nel quale il datore di lavoro conserva per anni messaggi e informazioni, con la possibilità di consultarli in seguito per ricostruire a ritroso l’attività del lavoratore. È il principio che emerge dal provvedimento con cui il Garante per la protezione dei dati personali ha inflitto una sanzione di 460mila euro a una grande azienda del settore motociclistico per violazioni del Gdpr nella gestione delle e-mail dei dipendenti.
Il caso offre indicazioni che interessano anche le piccole imprese e quindi le farmacie, che abitualmente assegnano ai propri collaboratori indirizzi individuali di posta elettronica. L’istruttoria era partita dai reclami di due ex dipendenti e ha accertato che l’azienda, quando questi erano ancora in servizio, aveva acquisito complessivamente 112 loro email per verificare la fondatezza di sospetti relativi a possibili comportamenti illeciti. Alcuni dei messaggi esaminati risalivano però a circa due anni prima dell’insorgere dei sospetti.
A rendere possibile la ricerca retrospettiva era il sistema di conservazione adottato dall’impresa: le e-mail venivano salvate in backup per l’intera durata del rapporto di lavoro e per altri cinque anni dalla cessazione, mentre i log relativi alla posta elettronica rimanevano disponibili per sei mesi. Secondo il Garante, una simile raccolta sistematica e generalizzata, oltre a violare i principi del Gdpr di minimizzazione e limitazione della conservazione, rende possibile ricostruire nel dettaglio l’attività del lavoratore e può quindi configurare un controllo a distanza, per il quale devono essere rispettate anche le garanzie previste dallo Statuto dei lavoratori.
Un punto particolarmente rilevante riguarda il fatto che la natura «aziendale» della casella non cancella le tutele riconosciute al dipendente. Il Garante ha infatti ritenuto inaccettabile l’assunto secondo cui l’utilizzatore degli strumenti informatici messi a disposizione dall’impresa non possa nutrire alcuna aspettativa di riservatezza. La tutela riguarda non soltanto il contenuto dei messaggi, ma anche i cosiddetti metadati della posta elettronica, ossia informazioni come mittente e destinatario, data e ora di invio, indirizzi Ip, dimensione, oggetto e presenza di allegati.
Il provvedimento richiama dunque i datori di lavoro alla necessità di definire preventivamente finalità, basi giuridiche e tempi di conservazione dei dati, informandone adeguatamente i dipendenti. Non basta, in altre parole, conservare e-mail e backup «perché potrebbero servire»: durata e modalità di archiviazione devono essere proporzionate a esigenze specifiche e dichiarate. Nel corso del procedimento, peraltro, l’azienda ha ridotto a tre mesi dopo la cessazione del rapporto il periodo di conservazione dei messaggi e a 21 giorni quello dei log, modifiche valutate favorevolmente dall’Autorità.
Il Garante ha infine contestato all’impresa di non avere risposto alle richieste con cui i due ex dipendenti chiedevano conferma della disattivazione dei propri account. Oltre alla sanzione, l’Autorità ha dichiarato illecito il trattamento effettuato e vietato ulteriori accessi ai dati di posta elettronica raccolti e conservati sui sistemi aziendali.
