Il Garante per la protezione dei dati personali ha reso nota ieri una sanzione da 460.000 euro a Piaggio & C. Spa. La contestazione non riguarda uno spionaggio, né un software di controllo installato di nascosto.
Riguarda il backup della posta elettronica.
Ed è per questo che vale la pena leggerla anche se la tua azienda ha otto dipendenti invece di ottomila: quella configurazione, con ogni probabilità, ce l’hai anche tu.
Cosa è stato contestato, in concreto
Due cose distinte, che conviene tenere separate perché hanno rimedi diversi.
La prima è la conservazione sistematica delle email di tutti i dipendenti: per l’intera durata del rapporto di lavoro e per cinque anni dopo la cessazione, più i log di accesso conservati sei mesi. Secondo il Garante una raccolta così estesa è eccessiva rispetto alla finalità dichiarata di continuità operativa e sicurezza, e soprattutto consente di ricostruire nel tempo l’attività del lavoratore. Tradotto in diritto del lavoro: è controllo a distanza.
La seconda è l’accesso alle caselle di due ex dipendenti dopo la fine del rapporto.
A queste si aggiunge l’assenza delle garanzie procedurali previste dall’articolo 4 dello Statuto dei lavoratori e un’informativa giudicata carente su finalità e basi giuridiche del trattamento.
L’azienda ha annunciato ricorso. Il criterio applicato dal Garante, però, è già operativo per tutti gli altri.
Il punto giuridico non è la lettura di una singola email, ma la disponibilità continuativa dell'archivio. Un sistema che conserva la posta di ogni dipendente per tutta la durata del rapporto e per anni dopo la cessazione produce, come effetto, la possibilità di ricostruire a ritroso con chi il lavoratore ha parlato, quando, con quale frequenza e su quali argomenti. Secondo il Garante questo integra un controllo a distanza dell'attività lavorativa, che l'articolo 4 dello Statuto dei lavoratori consente solo per esigenze organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale, e solo previo accordo sindacale o autorizzazione dell'Ispettorato del lavoro.
Perché riguarda una piccola impresa
Perché nessuno di questi comportamenti è stato scelto deliberatamente da qualcuno. Sono la configurazione predefinita di un servizio di posta aziendale gestito.
Il fornitore IT ha impostato il backup anni fa, con la retention più lunga disponibile, perché è quello che si fa quando l’obiettivo è “non perdere niente”. I log restano accesi perché è il default. La casella dell’ex dipendente viene aperta perché “dentro ci sono le mail dei clienti”. Sono tutte decisioni ragionevoli prese per ragioni operative, e nessuna di esse è passata da una valutazione privacy.
Il rischio realistico per un’azienda di venti persone non è una sanzione da mezzo milione. È più prosaico: un contenzioso con un ex dipendente in cui quel backup diventa la prova che il datore di lavoro esercitava un controllo non autorizzato.
Le tre domande da fare al fornitore IT
Non serve un consulente per iniziare. Servono tre risposte scritte.
Per quanto tempo vengono conservati i backup delle caselle di posta? Se la risposta è “per sempre” o “cinque anni dopo la cessazione”, il tempo va ridotto a quello strettamente necessario alla finalità reale, che nella maggior parte dei casi è la continuità operativa, non la ricostruzione storica. Il Garante non fissa un numero universale: valuta se il tempo scelto sia proporzionato a quello che serve davvero. Il che significa che devi essere in grado di spiegare perché hai scelto quel tempo.
Per quanto tempo restano i log di accesso? Stessa logica, e stessa domanda scomoda: a cosa ti servono, esattamente.
Cosa succede alla casella quando un dipendente se ne va? La risposta corretta prevede una procedura: disattivazione dell’account entro un termine definito, eventuale risponditore automatico che comunica l’indirizzo alternativo, e cancellazione secondo tempi dichiarati. Non prevede che la casella resti attiva e consultabile a tempo indeterminato.
Cosa mettere per iscritto
Due documenti, entrambi brevi.
Una policy sull’uso della posta aziendale che dica ai dipendenti tre cose: quali sono le finalità del trattamento, quali le basi giuridiche, quanto durano conservazione e log. È esattamente il pezzo che nel provvedimento risulta carente, ed è anche il più semplice da produrre.
Una procedura di cessazione che stabilisca chi disattiva l’account, entro quanto, e come si gestiscono le comunicazioni in arrivo dopo. Serve anche a te: senza procedura, la casella dell’ex collaboratore resta aperta per anni e diventa un buco di sicurezza oltre che un problema di conformità.
In breve
Il Garante privacy ha sanzionato con 460.000 euro la conservazione sistematica delle email dei dipendenti e l’accesso alle caselle di due ex lavoratori. La contestazione include l’assenza delle garanzie dell’articolo 4 dello Statuto dei lavoratori e un’informativa carente.
Il comportamento sanzionato non è un abuso deliberato: è la configurazione standard di quasi ogni servizio di posta aziendale con backup. Il criterio del Garante — conservare solo per il tempo necessario, e saperlo giustificare — vale per tutti, indipendentemente dalla dimensione.
Tre domande al fornitore IT sui tempi di conservazione, una policy scritta consegnata ai dipendenti e una procedura di cessazione degli account coprono la parte più esposta. L’accesso alla casella di un dipendente in servizio, invece, non si sistema con una policy: richiede il percorso dell’articolo 4.