Il Garante per la protezione dei dati personali ha dichiarato illegittimo il controllo dei metadati della posta elettronica dei dipendenti senza adeguate tutele per la riservatezza e in violazione delle norme che limitano il controllo a distanza dei lavoratori.
Nel caso di specie, un sindacato aveva lamentato un monitoraggio posto in essere dall’amministrazione sulla posta elettronica del personale in servizio presso gli uffici dell’avvocatura regionale di metadati relativi ad orari, destinatari, oggetto delle comunicazioni, peso degli allegati.
Nel corso dell’istruttoria, l’ente pubblico aveva dichiarato di aver avviato una verifica interna sulla base del sospetto di una possibile rivelazione a terzi di informazioni protette dal segreto d’ufficio.
Senonché, l’Autorità ha chiarito che la generalizzata raccolta e l’estesa conservazione dei metadati della posta elettronica – che in quanto forma di corrispondenza è tutelata dalla Costituzione – non sono strumentali allo “svolgimento della prestazione” del dipendente, ai sensi dello Statuto dei lavoratori.
In questi casi, infatti, il datore deve avviare le specifiche procedure di garanzia (accordo sindacale o autorizzazione pubblica) previste dalla legge. Inoltre, il trattamento di dati personali posto in essere ha, tra l’altro, consentito al datore di lavoro di entrare in possesso di informazioni relative anche alla sfera privata dei dipendenti, a partire dalle loro opinioni, contatti e fatti non attinenti all’attività lavorativa.
Di conseguenza, l’Autorità ha comminato nei confronti della Regione Lazio una sanzione di 100.000 euro, nonché ha vietato ogni ulteriore operazione di trattamento dei metadati relativi all’utilizzo della posta elettronica dei lavoratori e disposto la cancellazione di quelli illecitamente raccolti.
Garante Privacy, Registro dei provvedimenti n. 409 del 1 dicembre 2022
Ordinanza di ingiunzione nei confronti di Regione Lazio – 1 dicembre 2022 [9833530]