Metadati: regole pratiche per titolari del trattamento e fornitori di servizi di posta elettronica

Il Garante privacy ha emanato lo scorso 6 giugno, nell’ambito della consultazione pubblica avviata lo scorso marzo, il nuovo Documento di indirizzo sull’utilizzo della posta elettronica nei contesti lavorativi e sui metadati (Provv. 364/2024), formulato anche sulla base dei contributi di diversi esperti e operatori impegnati sul versante della privacy, dopo analisi anche critiche di diversi osservatori.

Come sappiamo, rispetto alla prima versione del documento vengono fornite ai datori di lavoro, pubblici e privati, indicazioni “large” ed “extralarge” in ordine alla possibilità di trattare i metadati/log di posta elettronica per una durata indicativa di 21 giorni (7 in precedenza) ma anche superiore, senza necessità di attivare la procedura di garanzia (accordo sindacale o autorizzazione dell’INL) richiamata dall’art. 4 comma 1 della legge n.300/1970 cd. Statuto dei lavoratori, espressamente richiamata dal Codice privacy al Capo III “Controllo a distanza, lavoro agile e telelavoro” che, all’art. 114 “Garanzie in materia di controllo a distanza”, icasticamente recita: “Resta fermo quanto disposto dall’articolo 4 della legge 20 maggio 1970, n.300”.

In questa sede ci si sofferma su due aspetti per evidenziare alcune questioni che meritato molta attenzione per la valenza che esula la specifica questione dei metadati e dei relativi log:

1. cosa implica per le organizzazioni, le OO.SS. e i lavoratori l’attivazione della decisione di estendere la conservazione oltre il termine (indicativo) di 21 gg (rispetto ai 7 della precedente versione)?
2. la previsione (non nuova) di adempimenti per i fornitori di servizi di posta elettronica che implica per l’ecosistema privacy?

La gestione dei metadati non deve costituire un controllo a distanza

In concreto, l’avviso del Garante è che la finalità di “assicurare il funzionamento delle infrastrutture del sistema della posta elettronica” rende applicabile il comma 2 del citato art. 4 che esime il datore di lavoro dal seguire la procedura autorizzativa ex-comma 1: con ciò facendo rientrare la predetta finalità nell’ambito degli “strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e (…) di registrazione degli accessi e delle presenze”, come indicato in tale secondo comma.

Ovviamente il Garante sottolinea che l’esigenza di conservare i predetti metadati/log per tempi prolungati richiede la presenza di particolari condizioni che il datore di lavoro / titolare deve comprovare adeguatamente ai sensi del principio di responsabilizzazione ex. art 5.2 del GDPR.

Da qui l’esigenza di definire le condizioni per la gestione dei metadati senza che ciò possa costituire un controllo a distanza.

In sostanza, il Garante – trattando una questione che a ben vedere entra anche nel territorio giuslavoristico – evidenzia che alcune finalità possono consentire di trattare informazioni come i metadati/log (che non comprendono, sottolinea il Garante, le informazioni contenute nei messaggi di posta elettronica nella loro “body-part” o anche in essi integrate ovvero l’insieme delle intestazioni tecniche strutturate che documentano l’instradamento del messaggio, la sua provenienza e altri parametri tecnici) anche se teoricamente afferiscono alla segretezza delle comunicazioni, tutelata a livello costituzionale (in particolare art. 15 della Costituzione).

Gestione dei metadati: punti di attenzione per i soggetti coinvolti

Quindi, ammettendo che per il Giudice del lavoro le indicazioni del Garante costituiscano un parametro tecnico-normativo da applicare, un riferimento per vagliare che si sia o meno in presenza di forme improprie di controllo a distanza, su cosa dovrebbero porre la loro attenzione i diversi soggetti coinvolti?

Ecco alcuni spunti:

1. Il datore di lavoro/titolare del trattamento dovrebbe formalmente motivare perché ritiene necessario conservare i predetti metadati/log oltre i 21 gg. Se la motivazione fosse solo di configurazione tecnica dei parametri del prodotto/servizio utilizzato dovrebbe anche porsi la domanda se, sul mercato, non siano reperibili altri analoghi prodotti/servizi tali da consentire di gestire diversamente i tempi di conservazione. Se la questione fosse invece di tenore organizzativo, ad esempio di sicurezza IT, dovrebbe individuare motivi congrui per una conservazione durevole e non rinunciabile (se la questione fosse di controllo sui lavoratori scatterebbe invece l’art. 4 comma 1 dello statuto dei lavoratori). Individuata e adeguatamente motivata la maggiore conservazione, andrebbero osservati, va da sé, tutti i diversi adempimenti del GDPR, dalle misure di sicurezza all’informativa agli interessati.
2. Le OO.SS. che cosa potrebbero osservare? In primo luogo, dovrebbero chiedere di poter conoscere le motivazioni addotte dal datore di lavoro/titolare del trattamento: per poterle vagliare e verificare che – nell’interesse di tutte le parti in causa, dai lavoratori all’ organizzazione compresa – non ci sia un fumus di violazione delle norma sul controllo a distanza. E chiedere, in rappresentanza dei lavoratori, di partecipare ad ogni eventuale disamina che occorresse fare sui predetti metadati/log definendo una procedura di accesso congiunta datore di lavoro/titolare del trattamento e interessati (a loro discrezione unitamente a un rappresentante sindacale di riferimento).
3. Se poi fosse messo in atto un monitoraggio automatizzato dei metadati/log, ci si dovrebbe porre la questione se sia applicabile il D.lgs. 104/2022 di recepimento della Direttiva UE 2019/1152 sulle “condizioni di lavoro trasparenti e prevedibili nell’Unione europea”, in particolare con riguardo all’art. 4 comma 1 punto 8 laddove pone oneri informativi da rispettare verso i lavoratori fra l’altro nel caso di “utilizzo di sistemi (…) di monitoraggio automatizzati deputati a fornire (…) indicazioni incidenti sulla sorveglianza, la valutazione, le prestazioni e l’adempimento delle obbligazioni contrattuali dei lavoratori. Resta fermo quanto disposto dall’articolo 4 della legge 20 maggio 1970, n. 300”. Va da sé che se la conservazione dei metadati/log non afferisse a queste finalità, il monitoraggio degli stessi dovrebbe essere impostato in maniera da evitare qualsivoglia focalizzazione su ogni singolo lavoratore.
4. I dipendenti dovrebbero essere informati sul corretto utilizzo della casella di posta elettronica nominativa messa a disposizione dal datore di lavoro. Dovrebbero essere messi in condizioni di conoscere quali siano le forme di utilizzo corrette e quelle che potrebbero originare sanzioni ma, salvo situazioni da vagliare con attenzione e forse a cura del giudice del lavoro, gli abusi dovrebbero essere rilevati non ricorrendo ai metadati/log ma ad altre fonti informative salvo che si siano seguite le forme dell’art. 4.1 dello Statuto e la violazione fosse riferibile a “esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale”.
5. Per il settore pubblico il Codice di comportamento come aggiornato nel 2023 prevede (art. 11-bis “Utilizzo delle tecnologie informatiche”) che l’uso di account istituzionali “è consentito per i soli fini connessi all’attività lavorativa o ad essa riconducibili e non può in alcun modo compromettere la sicurezza o la reputazione dell’amministrazione”. Ne deriverebbe quindi che il trattamento dei metadati/log non dovrebbe impattare in termini privacy ma comunque valgono le indicazioni del Garante. Peraltro, la stessa norma prevede la possibilità residuale dell’utilizzo di caselle di posta elettroniche personali per attività o comunicazioni afferenti al servizio, nei casi di forza maggiore dovuti a circostanze in cui il dipendente, per qualsiasi ragione, non possa accedere all’account istituzionale”. Ma in questi casi, va da sé, il datore di lavoro pubblico non dovrebbe poter pretendere di poter accedere i relativi metadati/log.

Gestione dei metadati: le regole per i titolari del trattamento

Quindi, fatta salva una eventuale e diversa valutazione che dovesse fare il giudice del lavoro, il titolare ha la possibilità di trattare i metadati/log per durate lunghe ma motivate e di cui le parti sindacali dovrebbero poter avere contezza, mentre i lavoratori dovrebbero essere adeguatamente informati (così come i collaboratori esterni di una organizzazione a cui vengono messe a disposizioni caselle dell’organizzazione).

Peraltro, considerando la questione dal punto di vista di tutti gli stakeholder, in assenza di indicazioni su quali possano essere le “particolari condizioni” è da ritenere che per classi omogenee di organizzazioni i criteri dovrebbero essere analoghi, specie nel settore pubblico.

Ad esempio, per le amministrazioni pubbliche territoriali, per le organizzazioni ospedaliere pubbliche, per le istituzioni scolastiche e universitarie, per i Ministeri, anche nella considerazione che le entità pubbliche sono avviate a seguire un percorso evolutivo armonico ai sensi del Piano triennale per l’informatica nella PA definito dall’AGID che, fra i principi guida, indica “Concepito per la sicurezza e la protezione dei dati personali (data protection by design e by default)”.

Eccezioni potrebbero esservene ma andrebbero adeguatamente motivate e documentate nelle evidenze delle stesse e con l’apporto del RPD.

Tale, almeno apparente, “liberatoria” per andare oltre i 21 gg di conservazione valorizza l’accountability dei titolari-datori di lavoro ma, nel contempo, potrebbe comportare un depauperamento del ruolo delle OO.SS. nel definire le condizioni complessive di lavoro se il titolare dovesse procedere in autonomia e senza dover rendere edotti gli interessati delle sue scelte se non per quanto riguarda l’adeguata informativa su tempi, articolazione, controlli e finalità della raccolta dei metadati (ma non le “particolari condizioni” giustificative che potrebbero tali non rivelarsi e quindi con ciò bypassando le tutele dell’art. 4.1 dello Statuto).

Sarebbe comunque paradossale che si verifiche che PA analoghe trattino l’una fino a 21 gg i metadati delle PEO nominative e l’altra ad es. per un anno. Tale tematica potrebbe comunque apparire in uno dei prossimi piani ispettivi semestrali del Garante ed è comunque un tema che gli RPD e i loro network non potranno esimersi dal considerare.

Inoltre, è da ritenere che ogni PA (ma anche ogni titolare privato) dovrebbe effettuare un disamina di come attualmente tratta i metadati/log delle PEO messe a disposizione dei propri dipendenti anche se fosse solo per riconfermare la coerenza con il nuovo contesto delineato dal Garante.

Obblighi per i fornitori di servizi di posta elettronica

La seconda questione afferisce al richiamo fatto nel documento di indirizzo ai fornitori dei servizi di posta elettronica sulla necessità di tenere in considerazione il diritto alla protezione dei dati conformemente allo stato dell’arte, già in fase di progettazione di servizi e prodotti.

I fornitori di servizi IT devono impegnarsi (e non da ora ma già ai sensi del GDPR – considerando 78), per l’impostazione by design e by default dei loro output (applicazioni, servizi e prodotti, incluso il cloud) che possano essere utilizzati per il trattamento di dati personali, tenendo conto del diritto alla protezione dei dati conformemente allo stato dell’arte. Non è, quindi, una novità.

Lungo questa linea, fornitori che introducano sul mercato risorse IT – nel caso di gestione dei servizi di posta elettronica, ma vale per qualsiasi altro prodotto/servizio IT da utilizzare in un trattamento – presentandole come GDPR-compliant sono tenuti a garantire tale requisito, la cui inadeguatezza potrebbe essere fonte per loro di responsabilità anche in sede privacy.

Nel caso dei servizi di posta elettronica dovrebbero ora teoricamente impostarli (se non altro per poter essere al passo del mercato) in maniera tale da poter garantire la durata minima di conservazione (indicativa) di 21 giorni per i metadati/log.

Peraltro, in caso contrario, se il titolare utilizzatore di un sistema di posta elettronica che non consentisse il rispetto di tale termine, il produttore non potrebbe essere chiamato a risponderne anche lui se le condizioni tecniche prestazionali siano state rese note ex-ante.

Ma le fattispecie sono tante e anche i fornitori “passivi” cioè non aventi il ruolo di responsabile del trattamento potrebbero essere chiamati in causa se i prodotti/servizi resi avessero ad es. dei bug non noti da cui potrebbero derivare data breach.

Comunque, pubblicizzare questa esigenza che grava sui provider di posta elettronica nel caso di specie come su tutti i fornitori di tecnologia IT è utile per una pedagogia della privacy.

Conclusioni

È un mondo difficile, il futuro è incerto – come recitava qualche anno fa una canzone di successo – ciò vale anche per la privacy, ma con questo Documento del Garante qualche passo avanti – in tema di accountability e di ruolo delle terze parti IT – è stata fatta.

Ma occorre impegnarsi tutti, RPD in primis, per evitare che l’indirizzo del Garante venga inteso come un via libera:

1. alla tecnologia per imporre di fatto degli standard che possono vanificare il diritto alla riservatezza delle persone;
2. ai titolari che, applicando in maniera distorta gli animal spirits à la Schumpeter, cercano solo di estrarre profitto dai dati personali, a scapito dei diritti degli interessati (che, nel caso della posta elettronica sono i lavoratori ma anche, non dimentichiamolo, i loro interlocutori).

Le opinioni espresse sono a titolo esclusivamente personale e non coinvolgono ad alcun titolo l’Istituto pubblico ove presta servizio.