Violazione della privacy sui metadati: provvedimento 243 del 29 aprile 2025

Con provvedimento del 29 aprile 2025 il Garante della Privacy ha sanzionato ai sensi del GDPR per violazione della privacy sui metadati delle e-mail dei dipendenti e delle attività di navigazione web, sulla base delle sue linee guida del 2024 in materia di uso dei metadati nei sistemi di posta elettronica sul luogo di lavoro.

Violazioni

Durante l’ispezione d’ufficio, il Garante ha scoperto che il datore di lavoro (in questo caso pubblico) conservava:

• metadati delle e-mail per un massimo di 90 giorni;
• registri di navigazione web per 12 mesi;
• dati dei registri dell’helpdesk (contenenti gli identificativi dei dipendenti e la cronologia dei ticket) per quasi 10 anni.

Questi periodi di conservazione superavano di gran lunga quelli ritenuti proporzionati dalle Linee guida, soprattutto in assenza di un accordo sindacale o di un’autorizzazione dell’autorità del lavoro.

Sanzione

Oltre alla sanzione pecuniaria, il Garante ha ordinato al datore di lavoro di:

• limitare la conservazione dei registri di navigazione a 90 giorni e successivamente procedere all’anonimizzazione;
• ridurre al minimo e crittografare i metadati delle e-mail;
• limitare l’accesso ai metadati al solo personale autorizzato;
• aggiornare le politiche interne e la documentazione sulla privacy;
• rivedere i contratti con i fornitori IT terzi per riflettere gli obblighi dell’articolo 28 del GDPR;
• condurre una DPIA per valutare e mitigare i rischi per la privacy;
• garantire la futura conformità agli obblighi di legge in materia di lavoro per qualsiasi trattamento che possa comportare il monitoraggio dei dipendenti.

Cosa sono i metadati e perché costituiscono un dato personale soggetto alla normativa privacy

I metadati generati attraverso l’uso aziendale della posta elettronica e di Internet includono informazioni quali gli indirizzi del mittente e del destinatario, l’oggetto, la data e l’ora di trasmissione, la presenza e la dimensione degli allegati e gli indirizzi IP. Non includono il contenuto effettivo dei messaggi, ma possono portare a rivelare modelli di comportamento e, indirettamente, i livelli di rendimento o produttività e in ambito lavorativo la loro analisi diventa un tema delicato.

Il loro trattamento deve essere conforme non solo ai principi del GDPR, ma anche alla normativa in materia di controlli a distanza (articolo 4 della legge n. 300/1970 (Statuto dei Lavoratori) in quanto costituiscono dati personali.

I datori di lavoro non devono più trattare i metadati come un dato tecnico ma, attraverso una valutazione di impatto sulla protezione dei dati, devono:

• classificarlo;
• valutarlo in base al rischio
• proteggerlo e regolamentarlo in quanto dato personale soggetto alla normativa privacy e di diritto del lavoro in quanto controllo a distanza (come la videosorveglianza).

Conseguenze sul datore di lavoro

E’ quindi importante rivedere le proprie politiche al fine di:

• verificare i sistemi di conservazione dei metadati relative alle comunicazioni dei dipendenti e alle finalità del trattamento dei loro dati;
• aggiornare le relative autorizzazioni con gli ispettorati o gli accordi sindacali, se necessario, per coprire nuovi tipi di trattamento dei dati
• limitare il periodo di conservazione a 21 giorni o ottenere le autorizzazioni sindacali appropriate;
• valutare i sistemi dei fornitori;
• adottare informative dettagliate sulla privacy e politiche interne sull’uso dei metadati.