E-mail e metadati: la portata (minimale) del provvedimento del Garante privacy

È un dato: il provvedimento dello scorso dicembre 2023 e relativo documento di indirizzo in materia di trattamento dei metadati delle e-mail dei lavoratori nella sua versione iniziale aveva scatenato il panico (come altro definirlo?) tra gli operatori.

Questo strano fenomeno di isteria collettiva originava, da un lato, dalla certa miopia che aveva indotto a leggere in quel documento qualcosa che il Garante non aveva mai affermato; ma dall’altro (sarebbe altrettanto miope negarlo), era causato anche da alcune scelte redazionali piuttosto infelici che prestavano il fianco ad una serie di dubbi più che fondati.

Ora, con il provvedimento appena reso pubblico senza troppa enfasi sul sito del Garante, si chiude il percorso della consultazione pubblica avviato il 22 febbraio scorso: a dispetto del nomen, di pubblico non c’è molto, visto chel’unica a conoscere il contenuto di tutti i contributi pervenuti all’Autorità è l’Autorità stessa (sempre che qualcuno non si prenda la briga di invocarne la ostensione).

È quindi allo stato difficile comprendere se il Garante, presa coscienza del deliquio a cui aveva dato adito, abbia deciso sua sponte di tornare sui suoi passi. Quello che è certo è che il documento finale ha un impatto a dir poco ridimensionato rispetto al punto di partenza, e i macro-problemi restavano e restano sullo sfondo, sostanzialmente irrisolti.

Conservazione dei metadati: vale il principio di accountability

Partiamo dalla fine: il provvedimento del Garante non conteneva e non contiene prescrizioni, ma come chiarito ancor meglio nella sua ultima versione, ha una esclusiva finalità che potremmo definire di mero ‘stimolo divulgativo’ (reso palese dal rinnovato richiamo ai soli artt. 57, par. 1, lett. b) e d) del GDPR e 154 bis comma 1 lett. a. del Codice Privacy): così come non esisteva un obbligo di conservazione dei metadati a 7 giorni nel documento originario, non esiste oggi un termine più lungo, di 21 giorni nel documento finale, e ridurre a questa mera estensione la potata del provvedimento del 6 giugno (come se il Garante avesse ingaggiato durante la consultazione pubblica una sorta di trattativa con il mondo che gli ruota intorno) sarebbe un madornale errore sistemico.

La verità, indiscutibile, è che esisteva ed esiste l’accountability, noto volano di oneri e onori, e chi era ed è chiamato a definire i tempi di conservazione dei metadati era e resta il titolare del trattamento, non avendo “prescritto” nulla di diverso il Garante.

Certo: l’Autorità prima, con un wording discutibile, si era spinta ad affermare che la retention di quei dati “non può essere superiore di norma a poche ore o ad alcuni giorni, in ogni caso non oltre sette giorni, estensibili, in presenza di comprovate e documentate esigenze che ne giustifichino il prolungamento, di ulteriori 48 ore”, tacciando apertamente di illiceità trattamenti per periodi di tempo ulteriori (cfr. punti 3 e 4.1 del documento originario).

E certo: oggi, nel documento finale, si è opportunamente fatto ricorso a locuzioni di ben altro tenore, decisamente più in linea con la natura del provvedimento: “si ritiene che la raccolta possa essere effettuata, di norma, per un periodo limitato a pochi giorni; a titolo orientativo, tale conservazione non dovrebbe comunque superare i 21 giorni” (punto 3 del documento finale).

Ma ferma questa pur sorprendente inversione di rotta, ed a dispetto di certe approssimazioni esegetiche o giornalistiche, era e resta chiaro che un termine predeterminato di retention tecnica dei metadati non esisteva e non esiste: che siano 1, 7, 21 o 60 i giorni di conservazione, è il titolare del trattamento a doverlo ed a poterlo definire, dovendosi porre poi il problema, ove la conservazione medesima sia superiore ad una certa soglia tecnicamente necessaria (ed argomentata come tale), di legittimarla, secondo il Garante, tramite il percorso dell’art. 4 comma 1 L. 300/70 (accordo sindacale o autorizzazione dell’ispettorato).

E-mail e metadati: elementi qualificanti del provvedimento

Ciò posto, anche l’esame dell’ambito di riferimento del documento finale induce a ridimensionarne drasticamente la portata: non era affatto certo, infatti, nel documento iniziale a cosa intendeva riferirsi il Garante con la categoria dei “metadati delle e-mail”, e (a meno che non si ritengano degli inetti tutti coloro che hanno giustamente lamentato la mancanza di chiarezza sul punto) era assolutamente necessario che l’area fosse ben delimitata.

Ecco allora che per la prima volta dalla lettura del documento finale è possibile arguire:

che, riferendosi ai “metadati o log di posta elettronica”, il Garante intendeva esclusivamente “le informazioni registrate nei log generati dai sistemi server di gestione e smistamento della posta elettronica (MTA = Mail Transport Agent) e dalle postazioni nell’interazione che avviene tra i diversi server interagenti e, se del caso, tra questi e i client (le postazioni terminali che effettuano l’invio dei messaggi e che consentono la consultazione della corrispondenza in entrata accedendo ai mailbox elettroniche, definite negli standard tecnici quali MUA – Mail User Agent)”;

soprattutto, perché è su questo profilo che si era scatenata la diatriba, che in tale contenitore non rientrano “le informazioni contenute nei messaggi di posta elettronica nella loro “body-part” (corpo del messaggio) o anche in essi integrate – ancorché talvolta non immediatamente visibili agli utenti dei software “client” di posta elettronica (i cosiddetti MUA – Mail User Agent) – a formare il cosiddetto envelope, ovvero l’insieme delle intestazioni tecniche strutturate che documentano l’instradamento del messaggio, la sua provenienza e altri parametri tecnici. Le informazioni contenute nell’envelope, ancorché corrispondenti a metadati registrati automaticamente nei log dei servizi di posta, sono inscindibili dal messaggio di cui fanno parte integrante e che rimane sotto l’esclusivo controllo dell’utente (sia esso il mittente o il destinatario dei messaggi). Pertanto, le indicazioni contenute nel documento relativamente ai tempi di conservazione dei metadati come sopra definiti non riguardano i contenuti dei messaggi di posta elettronica (né le informazioni tecniche che ne fanno comunque parte integrante) che rimangono nella disponibilità dell’utente/lavoratore, all’interno della casella di posta elettronica attribuitagli”.

È a questo punto certo, allora, da un lato, che non è messo in discussione dal Garante il diritto del titolare/datore di lavoro di conservare le e-mail dei lavoratori, ivi compresi i metadati (perché di questo si tratta) relativi all’envelope dei messaggi, in assenza dei quali ci saremmo ritrovati tutti con degli archivi statici e ingestibili.

Considerazioni finali

Se questi sono gli elementi qualificanti del documento finale, emergono in tutta la loro evidenza una serie di considerazioni:

1. Il vero destinatario delle mire divulgative del Garante sono i provider di servizi di posta elettronica, che generano, gestiscono e conservano i metadati nella accezione da ultimo definita sulla base di policy auto-definite. La via più naturale, allora, per governare la problematica, sarebbe stata quella di intervenire a monte con la forza e gli strumenti coercitivi che solo l’Autorità può esercitare nei confronti di una platea molto limitata di soggetti, imponendo una minimizzazione dei tempi di conservazione. L’aver invece scelto la via della “divulgazione” diretta a tutti i titolari/datori di lavoro, ha sicuramente avuto un effetto comunicativo enorme, ma ha generato un dispendio di energie a dir poco sovradimensionato rispetto alla portata effettiva del problema.
2. Gravare i titolari/datori di lavoro (ed i loro malcapitati DPO) del compito di impartire ai provider di servizi le proprie istruzioni, significa non aver chiara quale sia la realtà dei rapporti di forza. E se anche i grandi gruppi imprenditoriali avessero avuto difficoltà ad interloquire con i fornitori di servizi, avrebbe dovuto esser agevole immaginare come una piccola azienda con qualche dipendente non aveva, non abbia e non avrà la possibilità fisica di imporre alcunché al provider che gli fornisce il servizio di posta elettronica.
3. Il Garante continua ad assumere la sua come l’unica interpretazione possibile del concetto di “strumento di lavoro”, allargando a dismisura l’area soggetta all’applicazione dell’art. 4 comma 1, dando per assunto che la via dell’accordo sindacale o dell’autorizzazione dell’Ispettorato sia lì pronta per esser percorsa anche da qualsiasi microazienda. Ancora una volta, non si può non evidenziare da un lato come la disposizione statutaria sia oggetto di analisi nella sua sede naturale (il Giudice del Lavoro ed il Giudice penale), i cui orientamenti sono ben lontani dal potersi considerare consolidati nel senso sposato dall’Autorità; dall’altro, un semplice bagno di realtà permetterebbe di verificare come la negoziazione sindacale sia esposta a venti ben più complessi di quelli immaginati, rendendo a dir poco impervia la via dell’accordo sindacale su temi che, soprattutto nelle strutture più piccole, scontano la completa assenza delle necessarie cognizioni tecniche da parte dei soggetti che sono chiamati dalla legge a firmare gli accordi.