Il Garante è tornato sulla questione della conservazione dei metadati di posta elettronica nel contesto lavorativo, pubblicando un nuovo documento di indirizzo sul tema. Il provvedimento, pubblicato lo scorso 6 giugno, è il risultato della consultazione pubblica che la stessa Autorità aveva aperto visto le numerose richieste di chiarimenti ricevute a seguito della pubblicazione del primo documento sul tema. Analizziamo insieme le principali novità…
Definizione di “metadati”
Rispetto alla versione precedente, il documento chiarisce cosa si intender per metadati descrivendoli come informazioni registrate automaticamente nei log che vengono generati dai sistemi di gestione e smistamento della posta elettronica (detti Mail Transport Agent o “MTA”) e dalle postazioni client dai quali viene effettuato l’invio del messaggio (Mail User Agent o “MUA”), come:
- Gli indirizzi e-mail del mittente e del destinatario;
- Gli indirizzi IP dei server e dei client coinvolti;
- Gli orari di invio, trasmissione o ricezione;
- La dimensione del messaggio, il quale può comprendere eventuali allegati;
- L’oggetto del messaggio (in certi casi, a seconda del sistema di posta elettronica utilizzato).
Il Garante ha ribadito che i metadati non includono il contenuto dei messaggi di posta elettronica e gli eventuali allegati.
Tempi di conservazione dei metadati
Rispetto alla loro conservazione, l’Autorità ha confermato che questa è necessaria solo per assicurare il corretto funzionamento del sistema di posta elettronica. Secondo il Garante, tale finalità comporta un periodo di conservazione limitato a pochi giorni, fino a un massimo di 21 giorni (rispetto ai 9 previsti nella prima versione del documento).
Il documento prevede la possibilità di conservare i metadati per un periodo di tempo più ampio, ma solo in presenza di “particolari condizioni che ne rendano necessaria l’estensione”, le quali devono essere adeguatamente comprovate, in applicazione del principio di accountability.
Diversamente, la generalizzata raccolta e conservazione dei log per un tempo più esteso richiede il rispetto delle garanzie previste dall’art.4 comma 1, L. 300/1970 - sottoscrivere un accordo sindacale o richiedere un’autorizzazione all’Ispettorato Territoriale del Lavoro - in quanto potrebbe comportare un indiretto controllo a distanza delle attività dei lavoratori.
Obblighi del Titolare del trattamento
1. Verificare i programmi e servizi informatici di gestione della posta elettronica in uso ai dipendenti – specialmente nel caso in cui si tratti di prodotti di mercato forniti in modalità cloud o as-a-service – consentano di stabilire i tempi di conservazione dei metadati. A questo proposito, il Garante ha specificato che gli stessi fornitori dei sistemi di gestione della posta elettronica devono contribuire nell’adempimento degli obblighi a cui è soggetto il Titolare, verificando che i programmi permettano a quest’ultimo di poter modificare le impostazioni di default.
2. Adottare misure tecniche e organizzative per assicurare l’effettiva protezione dei dati personali, quali: a) il rispetto del principio di limitazione delle finalità; b) l’accessibilità limitata ai soli soggetti autorizzati e istruiti; c) e la tracciatura degli accessi effettuati.
3. Informare i lavoratori sulle caratteristiche complessive del trattamento dei metadati di posta specificando i tempi di conservazione e gli eventuali controlli.