L’Autorità Garante per la protezione dei dati personali ha sanzionato, con una multa di 80mila euro, un’azienda che utilizzava un software per fare il backup della posta elettronica dei propri dipendenti durante il rapporto di lavoro. La notizia ha suscitato diverso scalpore tra le pagine del social web, innescando una serie di fraintendimenti e commenti affrettati che ad oggi necessitano di un’analisi attenta e accurata da parte dei professionisti del campo. Specialmente alla luce di quanto emerso dall’indagine denunciata su Equalize che ha profondamente scosso il sistema Paese.

Alla luce di tale vicenda, l’Avv. Andrea Lisi è intervenuto sulla sua Newsletter di Linkedin, “Appunti di ICT Law”, per analizzare il provvedimento del Garante in punto di diritto e risolvere alcuni dubbi sulla questione.

La vicenda e la sanzione del Garante

In seguito ad un reclamo presentato da un agente di commercio, il Garante è intervenuto per accertare che una società, nel corso del rapporto di lavoro, aveva effettuato un backup della posta elettronica dei propri dipendenti e collaboratori, conservando sia i contenuti che i log di accesso alle email e al gestionale aziendale, utilizzando un apposito software. Le informazioni raccolte, tra l’altro, erano poi state utilizzate dalla società in un contenzioso.
Come stabilito dall’Autorità, il datore di lavoro non può accedere alla posta elettronica del dipendente o del collaboratore, né utilizzare un software per conservare una copia dei messaggi. Un simile trattamento di dati personali, infatti, oltre a configurare una violazione della disciplina in materia di protezione dei dati personali, è idoneo a realizzare un’illecita attività di controllo del lavoratore. Il Garante ha poi appurato l’inidoneità e la carenza dell’informativa resa ai lavoratori, e una più generale non conformità alla disciplina sulla protezione dei dati, decidendo di irrogare una sanzione di 80mila euro e stabilire il divieto di ulteriore trattamento dei dati attraverso il software utilizzato per il backup della posta elettronica.

Il parere dell’esperto

Secondo l’Avv. Andrea Lisi “Un’attività in “stile Gestapo” che porti datori di lavoro a fare indagini comportamentali sui propri dipendenti, ispirati magari anche da pruriti voyeuristici, non può essere tollerata e sarebbe da considerarsi in aperto contrasto con l’art. 4 dello Statuto dei lavoratori perchè porrebbe in essere evidentemente un immotivato (e assolutamente illecito) controllo a distanza. […] In relazione a questa materia rimangono attuali le Linee Guida del Garante per posta elettronica e internet del 10 marzo 2007 e il recente provvedimento (il secondo , di chiarimento, del 6 giugno 2024) sui metadati. La lettura di questi provvedimenti può aiutare a fare ordine in materia, anche in questo specifico caso sottoposto all’attenzione del Garante, perché senz’altro il datore di lavoro ha operato con scarsa trasparenza.
Tuttavia, non si può non evidenziare che si era in presenza di un datore di lavoro che ha correttamente informato, attraverso documenti nella disponibilità di dipendenti e collaboratori, sulla possibilità di effettuare controlli sugli strumenti aziendali, esplicitando regole e procedure attraverso le quali quei controlli potevano essere posti in essere e chiarendo le tempistiche di conservazione dei dati personali acquisiti. In questo specifico caso, peraltro, il controllo era stato effettuato per verificare gravi illeciti perpetrati ai danni dell’impresa, al fine quindi di acquisire prove digitali utili per un procedimento avviato a carico di quel collaboratore, e per esercitare il proprio diritto di difesa in giudizio, base giuridica che, seppur non riportata espressamente nell’informativa, meriterebbe forse una particolare considerazione.
[…] In conclusione, il provvedimento del Garante è severo, meticoloso, formalmente corretto nell’evidenziare una manchevolezza informativa, ma -in questi casi- occorrerebbe, a mio modesto avviso, operare un delicato bilanciamento degli interessi in gioco e andrebbe anche considerato con attenzione ciò che il titolare del trattamento ha deciso di fare e documentare nelle sue azioni di trattamento, valutando con maggiore coraggio interpretativo quell’essenziale principio di responsabilizzazione che altrimenti rischia di svuotarsi del tutto nelle applicazioni concrete del GDPR da parte di PA e imprese.”

Per leggere il contenuto completo:

Immagine creata con Image Creator, Microsoft, 2024