Il Garante privacy ha sanzionato una società per violazione della normativa in tema di protezione dei dati personali con riguardo alla gestione delle caselle di posta elettronica aziendale, alla conservazione dei dati e alle attività di controllo poste in essere nei confronti dei dipendenti.
Dall’istruttoria – iniziata a seguito della segnalazione di alcuni lavoratori – è emerso come la società avesse realizzato accessi alle loro email aziendali, nel corso del rapporto di lavoro al fine di verificare la fondatezza di presunti comportamenti illeciti.
Alcune delle email acquisite, si precisa, risalivano a due anni prima che la società maturasse tale sospetto: tale monitoraggio è stato possibile grazie alle raccolta e conservazione sistematica dei dati inerenti la posta elettronica, effettuate mediante backup durante tutto il rapporto di lavoro e fino a 5 anni dopo la cessazione.
La società aveva inoltre conservato i relativi log, per un periodo di 6 mesi, in violazione del GDPR e delle garanzie previste dallo Statuto dei lavoratori.
I trattamenti realizzati dalla società, infatti, si sono risultati idonei a ricostruire l’attività dei dipendenti e ad effettuare un controllo a distanza.
Sul diritto di accesso e di cancellazione
Il Garante durante l’istruttoria ha rilevato come i ricorrenti avessero chiesto la conferma dell’avvenuta disattivazione dei propri account di posta elettronica aziendale, dopo essere venuti a conoscenza del fatto che l’azienda li aveva utilizzati al fine di formulare degli addebiti disciplinari ai lavoratori medesimi, in costanza di rapporto.
Tale richiesta era stata svolta dai lavoratori nell’ambito delle impugnazioni dei rispettivi licenziamenti.
Il tale contesto il Garante ricorda come le Linee guida 1/2022 dell’EDPB prevedano che il titolare del trattamento non possa rifiutarsi di fornire i dati alla luce della mancata indicazione della base giuridica della richiesta.
Il GDPR, infatti, non impone requisiti agli interessati per quanto riguarda la forma della richiesta di accesso ai dati personali.
In aggiunta le richieste oggetto del caso di specie rientravano appieno nell’ambito dei diritti riconosciuti agli interessati dagli artt. 15 e ss. del GDPR poiché l’indirizzo di posta elettronica aziendale individualizzato e il suo contenuto costituiscono dati personali. Di conseguenza, la richiesta di disattivazione di un account di tipo individualizzato consiste in una richiesta di cessazione del trattamento dei propri dati personali.
Il Garante ha, quindi, ritenuto che la società abbia operato in violazione dell’art. 12 par. 3 in relazione all’art. 17 del GDPR – disciplinanti il primo le informazioni, le comunicazioni e le modalità trasparenti per l’esercizio dei diritti dell’interessato ed il secondo il diritto alla cancellazione.
Sui principi di liceità limitazione delle finalità, minimizzazione e di limitazione della conservazione
Il Garante in occasione dell’istruttoria condotta ha rilevato come la società abbia realizzato degli accessi alla posta elettronica in costanza del rapporto di lavoro al fine di verificare la fondatezza del sospetto di condotte illecite del personale.
Il tale occasione deve sottolinearsi come, perché il controllo possa essere lecito, la Cassazione (34092/2021) richiede che avvenga a seguito del sorgere del sospetto circa la commissione dell’illecito.
Nel caso di specie, però, i controlli realizzati dalla società, si ribadisce, sono avvenuti prima del sorgere del sospetto dell’illecito poiché la raccolta dei dati è stata svolta a ritroso nel tempo, fino a circa 2 anni prima.
Tale controllo è, poi, stato possibile grazie alla sistematica raccolta e conservazione dei dati relativi alla posta elettronica dei dipendenti che viene effettuata su backup per tutta la durata del rapporto di lavoro fino a 5 anni successivi alla cessazione del rapporto stesso.
La raccolta di dati, si precisa, non riguardava solo i messaggi contenuti nelle email ma anche i log della posta i quali venivano conservati per sei mesi.
Il Garante evidenzia come la conservazione della posta elettronica debba essere strettamente legata alla possibilità di accesso solo da parte dell’intestatario. Pertanto, devono essere adottate misure organizzative e tecnologiche tali da impedire l’accesso all’archivio da parte di soggetti terzi.
Il contenuto dei messaggi di posta elettronica è, infatti, una forma di corrispondenza che gode della garanzia di segretezza tutelata anche costituzionalmente.
In tale contesto si evidenzia come anche secondo la Corte europea dei diritti dell’uomo la protezione della vita privata si estende anche all’ambito lavorativo, alla luce del fatto che in occasione dello svolgimento dell’attività lavorativa si sviluppano relazioni dove si esplica la personalità del soggetto.
Sulla base di quanto sopra, il Garante ha rilevato come il trattamento di dati effettuato fosse in violazione dei presupposti di liceità ai sensi dell’art. 6 del GDPR, nonché dei principi di limitazione delle finalità, di minimizzazione dei dati e di limitazione della conservazione di cui all’art. 5, par. 1, lett. b), c) ed e) del GDPR.
Si ricorda, inoltre, come il datore di lavoro può trattare i dati personali dei dipendenti solo per quanto strettamente necessario per la gestione del rapporto di lavoro stesso oppure se ciò è utile all’adempimento di specifici obblighi o compiti posti dalle discipline di settore applicabili.
Il Garante, inoltre, rileva come la società prevedesse che, al termine del rapporto di lavoro, in presenza de consenso dell’utente, fosse possibile mantenere attivo l’indirizzo di posta elettronica per un dato periodo.
Tale previsione risulta essere contraria alle disposizioni in tema di tutela dei dati personali: dopo la cessazione del rapporto di lavoro il titolare deve rimuovere l’account, previa disattivazione dello stesso e adozione di sistemi automatici destinati ad informare i mittenti e a fornire loro indirizzi alternativi. In aggiunta, devono essere adottate misure in grado di impedire la visualizzazione dei messaggi in arrivo, durante la funzione del sistema automatico.
Il Garante ha quindi rilevato anche l’assenza della liceità del trattamento, in violazione dell’art. 5 par. 1 lett. a) del GDPR, poiché tramite le citate modalità il titolare può ricostruire l’attività dei propri dipendenti ed effettuare un controllo sulla stessa, in assenza delle garanzie stabilite nell’ambito del rapporto di lavoro, ai sensi dell’art. 88 del GDPR.
Più nello specifico l’art. 114 del Codice privacy (D. Lgs. 196/2003) individua l’art. 4 dello Statuto dei lavoratori (L. 300/1970) quale condizione di liceità dei trattamenti di dati personali realizzati nell’ambito lavorativo.
Tale articolo prevede che il trattamento possa essere lecito solo se abbia finalità organizzative, produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale. In tal caso, quindi, in presenza di specifiche garanzie procedurali, possono essere utilizzati anche strumenti dai quali possa derivare un controllo a distanza dell’attività dei lavoratori.
Sull’informativa agli interessati
Ai sensi dell’art. 13 del GDPR, l’informativa agli interessati deve invece essere fornita “nel momento in cui i dati personali sono ottenuti”, ciò in quanto il titolare deve indicare, previamente e in modo trasparente, le attività di controllo che possono essere effettuate.
In tal modo si consente all’interessato di essere consapevole del trattamento che potrà essere effettuato.
Dall’informativa fornita agli interessati non si evincono le finalità dei trattamenti, le finalità e i presupposti della conservazione.
Per quanto attiene il periodo di conservazione dei dati, questo “potrebbe essere dettato da fattori quali gli obblighi di legge o le linee guida di settore, ma dovrebbe essere indicato in maniera tale da consentire all’interessato di stabilire quale sarà, in base alla sua specifica situazione, il periodo previsto per i dati/fini specifici. Non è sufficiente che il titolare del trattamento affermi in maniera generica che i dati personali saranno conservati finché sarà necessario per le finalità legittime del trattamento”.
Nel caso di specie l’informativa pur indicando i periodi di conservazione dei dati relativi alla posta elettronica e ai log, risultava carente dell’informazione concernente le finalità di tali attività di trattamento.
Il Garante ha quindi evidenziato la violazione degli artt. 5 par. 1 lett. a) e 13 del GDPR.
