Privacy: attenzione alla gestione delle e-mail aziendali

L’obbligo di disattivare gli account e-mail alla conclusione del rapporto di lavoro e il divieto di accedere ai messaggi ricevuti dagli account di ex-dipendenti sono due aspetti della gestione delle e-mail aziendali in relazione alle disposizioni di legge in materia di privacy. Nel 2007, infatti, il Garante per la protezione dei dati personali ha prescritto ai datori di lavoro la definizione di un disciplinare interno relativo sia all’utilizzo della posta elettronica sia della rete internet nel rispetto delle sue linee guida.

In che modo il titolare del trattamento deve gestire le e-mail aziendali?

Gli account di posta elettronica degli ex- dipendenti

Per quanto sia indiscutibile che il titolare del trattamento abbia interesse ad accedere alle informazioni necessarie alla gestione della propria attività, tale esigenza deve fare i conti con l’obbligo di tutela della riservatezza del personale (anche ex dipendente) e dei terzi coinvolti nelle comunicazioni.

In sostanza la questione è che le e-mail consentono di conoscere dati personali anche solo in relazione alle informazioni di contorno all’oggetto della comunicazione: data e ora di invio e nominativi di mittente e destinatario sono sempre leggibili.

Per tale motivo il Garante ha previsto che, in caso di cessazione di un rapporto di lavoro, il titolare del trattamento deve disattivare gli account di posta elettronica riconducibili all’ex-dipendente. Per garantire la funzionalità delle comunicazioni, può adottare misure tecniche che, pur impedendo la visualizzazione dei messaggi in arrivo al “vecchio indirizzo”, consentano a chi vi scrive di ricevere la risposta automatica da un indirizzo differente, contenente i riferimenti aggiornati per la trasmissione delle comunicazioni.

Il disciplinare interno

Con le linee guida del 2007, il Garante ha di fatto prescritto ai datori di lavoro pubblici e privati di “specificare le modalità di utilizzo della posta elettronica e della rete Internet da parte dei lavoratori, indicando chiaramente le modalità di uso degli strumenti messi a disposizione e se, in che misura e con quali modalità vengano effettuati controlli“.

Il disciplinare interno, come viene chiamato dal Garante, può essere un’informativa individualizzata o una policy aziendale, e rappresenta lo strumento attraverso il quale i lavoratori ricevono indicazioni sulle soluzioni tecniche e organizzative messe in atto dall’organizzazione per gestire le e-mail aziendali nel rispetto dei diritti di tutti i soggetti coinvolti e della normativa applicabile.

Alcune misure di gestione delle e-mail aziendali

Il Garante propone alcune soluzioni tecniche e operative per bilanciare le esigenze aziendali con i diritti di tutela dei lavoratori, per esempio prevede:

• la messa a disposizione di indirizzi di posta elettronica condivisi tra più lavoratori (ex. amministrazione@xyz.it), eventualmente affiancandoli a quelli individuali (ex. rossimario@xyz.it), per consentire una distinzione tra un canale “pubblico” e uno privato;
• la messa a disposizione di funzionalità tecniche di facile utilizzo per l’invio automatico di messaggi in caso di assenze programmate (le cosiddette risposte automatiche), con i riferimenti di altri soggetti o delle modalità di contatto dell’organizzazione in assenza del singolo lavoratore;
• il diritto del singolo lavoratore, qualora sia necessario accedere all’account di posta elettronica a lui dedicato per assenza improvvisa o prolungata o necessità improrogabili, di delegare un altro lavoratore (fiduciario) alla verifica dei messaggi e all’inoltro al titolare del trattamento di quelli rilevanti per lo svolgimento dell’attività lavorativa;
• l’inserimento nel testo delle e-mail di un messaggio di avvertimento ai destinatari in merito all’eventuale natura non personale del messaggio, specificando se le risposte potranno essere conosciute da altri soggetti dell’organizzazione di appartenenza del mittente.

Conservazione delle e-mail aziendali

La conservazione sistematica dei dati esterni e del contenuto di tutte le comunicazioni elettroniche scambiate dai dipendenti attraverso gli account aziendali, allo scopo di poter ricostruire gli scambi di comunicazioni tra gli uffici interni nonché tutti i rapporti intrattenuti con gli interlocutori esterni (clienti, fornitori, enti assicurativi, tour operator), anche in vista di possibili contenziosi, effettuata da soggetti diversi dal titolare della specifica casella di posta elettronica per l’intera durata del rapporto di lavoro e successivamente all’interruzione dello stesso, non risulta […] conforme ai principi di liceità, necessità e proporzionalità del trattamento.

Registro dei provvedimenti n. 53 del 1° febbraio 2018

In sostanza il Garante afferma che:

1. non è necessaria la conservazione di tutta la posta elettronica aziendale, e senza limiti temporali, per consentire lo svolgimento dell’attività lavorativa e che, al contrario, questa modalità di gestione viola i principi di gestione dei dati personali, consentendo al contempo un controllo sull’attività dei lavoratori contraria allo Statuto dei lavoratori;
2. che la conservazione delle e-mail per finalità di tutela dei propri diritti in giudizio deve riferirsi a contenziosi in atto o a situazioni che stanno dando luogo a contenziosi, ma non a ipotesi astratte e indeterminate.

Il Garante non definisce limiti di tempo accettabili o modalità di conservazione specifiche, ma stabilisce che il titolare del trattamento valuti in modo selettivo quali comunicazioni e documenti debbano essere archiviati e per quanto tempo.