Controllo metadati della posta elettronica
Il Garante per la Protezione dei Dati Personali ha comminato una sanzione di 100.000 euro alla Regione Lazio per controlli illeciti della posta elettronica del personale
No al controllo dei metadati della posta elettronica dei dipendenti senza adeguate tutele per la riservatezza ed in violazione delle norme che limitano il controllo a distanza dei lavoratori.
Questa la decisione del Garante per la privacy nei confronti della Regione Lazio [doc. web 9833530], con cui ha comminato una sanzione di 100.000 euro e vietato i trattamenti tuttora in corso.
Garante & Regione Lazio
Privacy & GDPR
Il caso nasce dalla segnalazione di un sindacato che lamentava un monitoraggio, posto in essere dall’amministrazione, sulla posta elettronica del personale in servizio presso gli uffici dell’avvocatura regionale: oggetto del monitoraggio erano i metadati relativi ad orari, oggetto delle comunicazioni, destinatari, peso degli allegati.
A seguito di tale segnalazione, l’ente pubblico dichiarava di aver avviato una verifica interna sulla base del sospetto di una possibile rivelazione a terzi di informazioni protette dal segreto d’ufficio.
Il Garante, all’esito dell’istruttoria, ha accertato che la Regione aveva effettuato il monitoraggio del personale dell’avvocatura, in particolare dei dipendenti che inviavano messaggi a uno specifico sindacato, sfruttando i dati conservati per generiche finalità di sicurezza informatica per 180 giorni, in assenza di idonei presupposti giuridici, violando, così, i principi di protezione dei dati e delle norme sul controllo a distanza.
Provvedimento & Sanzione
Nel provvedimento, l’Autorità ha chiarito che la raccolta generalizzata e l’estesa conservazione dei metadati della posta elettronica – tutelata dalla Costituzione, in quanto forma di corrispondenza – non sono strumentali allo “svolgimento della prestazione” del dipendente, ai sensi dello Statuto dei lavoratori.
In questi casi, infatti, il datore deve ricorrere alle specifiche procedure di garanzia (accordo sindacale o autorizzazione pubblica) previste dalla legge; secondo il Garante, inoltre, il trattamento di dati personali posto in essere, ha consentito al datore di lavoro di entrare in possesso di informazioni relative anche alla sfera privata dei dipendenti, a partire dalle loro opinioni, contatti e fatti non attinenti all’attività lavorativa.
Oltre alla sanzione amministrativa di 100.000 euro, il Garante ha vietato alla Regione Lazio ogni ulteriore operazione di trattamento dei metadati relativi all’utilizzo della posta elettronica dei lavoratori e disposto la cancellazione di quelli illecitamente raccolti.