Email aziendali, novità dal Garante: aumenta la privacy dei dipendenti

Con la decisione del 6 giugno 2024, il Garante per la protezione dei dati personali ha rielaborato significativamente le direttive sui tempi di conservazione dei metadati delle e-mail aziendali. Una mossa che mira a trovare un equilibrio più gestibile per le aziende, garantendo al contempo il rispetto della privacy dei lavoratori.

I metadati delle email sono informazioni tecniche registrate automaticamente durante l'invio, la ricezione e lo smistamento dei messaggi di posta elettronica. Questi dati includono:

• Indirizzi email del mittente e del destinatario
• Indirizzi IP dei server o dei client coinvolti
• Orari di invio, ritrasmissione e ricezione
• Dimensione del messaggio e degli allegati
• Oggetto del messaggio (in alcuni casi)

Questi metadati, sebbene non contengano il contenuto effettivo delle email, possono fornire dettagli significativi sulle attività e le comunicazioni dei dipendenti, configurandosi come una forma di monitoraggio invasivo se raccolti e conservati in modo indiscriminato.

La raccolta sistematica e prolungata dei metadati solleva diverse problematiche, due in particolare:

• Privacy dei lavoratori: la raccolta generalizzata può costituire una violazione della privacy dei dipendenti, fornendo dettagli sulle loro attività e comunicazioni.
• Conformità con la normativa: queste pratiche devono essere allineate con le normative sulla protezione dei dati personali e le disposizioni sul controllo a distanza dei lavoratori.

I Mail Transfer Agent (MTA) sono software che gestiscono il trasferimento delle email tra il mittente e il destinatario. Utilizzano il protocollo SMTP (Simple Mail Transfer Protocol) e operano secondo un modello store-and-forward. Gli MTA registrano i metadati delle email per garantire il corretto funzionamento del sistema di posta elettronica.

Il Garante ha stabilito nuove direttive per limitare la raccolta e la conservazione dei metadati, garantendo maggiore trasparenza e sicurezza. Le nuove direttive stabiliscono che:

• la raccolta dei metadati deve essere limitata a quanto strettamente necessario;
• i metadati devono essere conservati solo per il tempo necessario alle finalità dichiarate.

Le aziende devono:

• informare chiaramente i dipendenti sulle modalità e finalità del trattamento dei loro dati personali;
• ottenere il consenso esplicito prima di trattare i metadati delle email.

Le misure di sicurezza necessarie includono:

• Crittografia: uso di tecnologie di crittografia per proteggere i dati durante il trasferimento e la conservazione
• Autenticazione: implementazione di sistemi di autenticazione robusti per controllare l’accesso ai dati
• Valutazione del rischio: regolari valutazione del rischio e audit di sicurezza per identificare e mitigare le vulnerabilità
• Protezione da attacchi: uso di firewall e software antivirus aggiornati
• Piani di risposta agli incidenti: predisposizione di piani per gestire eventuali violazioni dei dati in modo tempestivo ed efficace

Il Data Protection Officer (DPO) svolge un ruolo cruciale nel:

• monitorare la conformità delle aziende con le normative sulla protezione dei dati;
• garantire che le pratiche di trattamento dei metadati siano trasparenti e rispettose dei diritti degli interessati.

Il Garante ha ribadito che il contenuto dei messaggi di posta elettronica, così come i dati esteriori delle comunicazioni e i file allegati, sono tutelati dalla Costituzione italiana (Art. 2 e 15). Anche nel contesto lavorativo, esiste una legittima aspettativa di riservatezza che deve essere rispettata.

Va ricordato che nel provvedimento del 4 dicembre 2019, n. 216, il Garante aveva ribadito:

• la necessità di conformità con il GDPR e le normative nazionali;
• la limitazione e protezione dei metadati delle e-mail;
• la trasparenza e informazione agli utenti;
• l’adozione di misure di sicurezza tecniche e organizzative.

Le nuove direttive del Garante per la protezione dei dati personali sono senza dubbio un passo significativo verso una gestione più equilibrata e rispettosa dei metadati delle email aziendali. Gli imprenditori devono prendere atto delle nuove normative e adottare le misure necessarie per garantire la conformità e proteggere la privacy dei propri dipendenti.

Queste direttive non introducono nuovi obblighi ma forniscono una panoramica delle normative esistenti, richiamando l'attenzione sui punti di intersezione tra le leggi sulla protezione dei dati e le norme che regolano l'uso delle tecnologie nei luoghi di lavoro. Adottare queste linee guida contribuirà a creare un ambiente di lavoro più trasparente e rispettoso della privacy, promuovendo al contempo la sicurezza e l'efficienza operativa.