Quando si parla di posta elettronica del personale, occorre fare molta attenzione nella gestione dei messaggi dei dipendenti, in quanto può essere difficile conciliare le esigenze legate alla cybersecurity con la tutela del diritto alla privacy degli utenti. Esemplare è il caso recente della sanzione comminata dal Garante della Privacy a Piaggio, condannata al pagamento di una multa da 460.000 euro per aver conservato sistematicamente e in maniera prolungata contenuti delle e-mail e log di navigazione di due ex-dipendenti, licenziati per giusta causa e a cui l’azienda aveva contestato illeciti disciplinari in base a messaggi di posta elettronica risalenti a due anni prima.
Le mail incriminate sono state recuperate da un archivio di posta che Piaggio aveva conservato in maniera sistematica per l’intera durata del rapporto di lavoro, più cinque anni dalla cessazione. Qui entra in campo la difficoltà di garantire con pari cura la gestione della sicurezza cyber in azienda e il rispetto della privacy dei collaboratori. Se infatti strumenti come backup, registri di navigazione e controlli sugli account sono indispensabili per proteggere l’azienda da malware, attacchi informatici e accessi non autorizzati da parte di attori malevoli, il controllo e monitoraggio dettagliato dell’attività dei dipendenti può facilmente oltrepassare i limiti imposti dal GDPR.
Esiste infatti un limite alla liceità del controllo sui lavoratori che un’azienda può esercitare, se pur mirato a garantire la sicurezza cyber e la protezione dell’ecosistema digitale dell’organizzazione. Le contestazioni formulate dal Garante della Privacy nel caso Piaggio sono quindi molto utili per mettere in luce almeno quattro punti e altrettanti paletti che le aziende devono rispettare nella gestione della posta elettronica dei dipendenti e nel trattamento dei dati. In primo luogo, nella fattispecie i due ex-dipendenti hanno contestato la mancata disattivazione dei propri account nominativi dopo il licenziamento. La richiesta equivale a una richiesta di cessazione del trattamento, diritto previsto esplicitamente dall’art 12 del GDPR, che dovrebbe avvenire entro il termine di 30 gg. E’ stata quindi contestata a Piaggio la conservazione sistematica e prolungata delle e-mail, che restavano archiviate, come già detto, per tutto il rapporto di lavoro più cinque anni dalla cessazione, mentre i log di accesso venivano conservati per sei mesi. Il Garante ha ribadito a tale riguardo che la posta elettronica non può venire trattata come un repository documentale permanente: la conservazione prolungata, in mancanza di finalità specifiche e chiaramente definite, viola quindi i principi di liceità, minimizzazione dei dati trattati e limitazione della conservazione.
Altro errore evidenziato dalla sentenza sono i controlli retroattivi effettuati dall’azienda, con accesso alle caselle e ricerca eseguita per mesi e mesi a ritroso. La condotta, giustificata come controllo difensivo da parte dell’azienda, e in un primo momento giudicata legittima da parte del Tribunale di Pisa, è stata in seguito sanzionata dal Garante come caso di controllo eccessivo, in violazione alla disciplina della privacy e del GDPR. Per definizione, un controllo difensivo deve riguardare infatti comportamenti e attività successivi al sorgere del sospetto di illecito, mentre nella fattispecie i dati raccolti risalivano a un periodo precedente. Infine, la sentenza è emblematica per quanto concerne le policy interne, con particolare riguardo all’Informativa e al Registro dei trattamenti: non è infatti sufficiente descrivere con precisione le modalità dei controlli, è bensì necessario indicare in dettaglio gli scopi del trattamento. Scopi che non devono limitarsi a un generico ‘potrebbero servire’, ma indicare finalità specifiche di ogni trattamento, che possono ad esempio essere la sicurezza, la continuità operativa, investigazioni nella gestione di contenziosi o la difesa in giudizio.
Per ogni categoria di dato conservato, devono essere altresì specificati i rispettivi tempi di conservazione. Informativa e Registro dei trattamenti devono quindi distinguere con chiarezza il periodo di conservazione della corrispondenza da quello dei log/metadati e dei backup, riportando inoltre giustificazioni ed esplicite finalità per ciascuna tipologia. I tempi di conservazione, sempre previa chiara e documentata motivazione, possono quindi anche essere differenti in base al tipo di funzione ricoperta dal dipendente.
In particolare, per quanto concerne le e-mail, in linea generale vanno evitati periodi di conservazione post-cessazione del rapporto di lavoro superiori a poche settimane/mesi, sempre motivandone le specifiche finalità. Per quanto riguarda invece i log di accesso, è utile adottare la prassi di cancellarli ogni 21 giorni, in linea con il Provvedimento del 6 giugno 2024 (e come fatto anche da Piaggio a seguito della sentenza) del GPDP (Garante per la Protezione dei Dati Personali) sulla specifica materia della gestione della posta elettronica in contesto lavorativo. Tenendo poi presente che il termine deve venire sempre bilanciato con le singole esigenze di sicurezza informatica, con la criticità del settore di attività e quindi in osservanza di specifici obblighi normativi in ambito di cyber sicurezza: per i soggetti NIS2 potrebbero ad esempio essere necessari periodi di conservazione molto più ampi.
Al fine di realizzare un virtuoso equilibrio tra sicurezza informatica e tutela del diritto alla riservatezza delle persone, è quindi opportuno che le aziende operino applicando principi di necessità, proporzionalità e minimizzazione dei dati trattati. Un monitoraggio efficace, finalizzato a garantire la sicurezza IT aziendale, non implica né richiede necessariamente un accesso indiscriminato a ogni tipo di informazione. Un sistema di sicurezza efficace e correttamente progettato deve infatti essere in grado di proteggere l’azienda e, al tempo stesso, tutelare la privacy delle persone che vi lavorano e utilizzano gli strumenti digitali aziendali.