E-mail aziendale e controlli sul lavoratore: cosa impariamo dal caso Piaggio

La lezione del caso Piaggio su email aziendale e controlli sul lavoratore

Il caso che nasce dal reclamo di due ex dipendenti, licenziati per giusta causa, ai quali la società aveva contestato illeciti disciplinari basandosi su e-mail risalenti fino a due anni prima, recuperate da un archivio di posta conservato per l’intera durata del rapporto di lavoro più cinque anni, già analizzato nella sua portata provvedimentale.

Ecco le misure che possono essere messe in atto per ridurre la probabilità di incorrere in consimili errori, fermo restando una serie di vincoli di natura pratica non facili da superare [1].

Cosa ha contestato il Garante a Piaggio

Le contestazioni formulate dal Garante alla Piaggio erano quattro:

• Mancata risposta alle richieste degli interessati;
• Retroattivi controlli difensivi;
• Conservazione sistematica e prolungata;
• Informativa (troppo) generica.

Vediamole con attenzione

Mancata risposta alle richieste degli interessati

I due ex dipendenti avevano chiesto conferma della disattivazione dei propri account nominativi dopo il licenziamento.

La società, tuttavia, non rispondeva nei termini previsti (30 gg) sottovalutando che invece si trattava di un vero e proprio esercizio di diritti ai sensi e per gli effetti del Regolamento (UE) 2016/679 – GDPR.

Il Garante, al riguardo, ha chiarito che la richiesta di disattivazione di un account individualizzato equivale a una richiesta di cessazione del trattamento, e va quindi trattata secondo l’art. 12 GDPR, a prescindere dal fatto che il richiedente lo citi esplicitamente o meno.

Retroattivi controlli difensivi

L’azienda ha giustificato l’accesso alle caselle come controllo difensivo ex art. 4 Statuto dei Lavoratori (L.300/70), ma i dati raccolti risalivano a prima dell’insorgere del sospetto di illecito.

Rammentiamo che per essere legittimo, un controllo difensivo deve riguardare condotte successive al sorgere del sospetto.

Mentre, in questo caso la ricerca è stata fatta “a ritroso” per mesi e mesi.

Conservazione sistematica e prolungata

Le e-mail restavano archiviate per tutta la durata del rapporto più di 5 anni dopo rispetto alla cessazione dal rapporto del lavoro. I log di accesso per 6 mesi.

Il Garante, al riguardo, ha ribadito che la posta elettronica non può essere trattata come un repository documentale permanente e la conservazione prolungata, in assenza di finalità specifiche e determinate, viola con tutta evidenza i principi di liceità, minimizzazione e limitazione della conservazione (art. 5 GDPR).

Informativa (troppo) generica

Le policy interne descrivevano in modo dettagliato le modalità dei controlli, ma non anche le finalità specifiche né i criteri di determinazione dei tempi di conservazione, in palese violazione dell’art. 13 del Regolamento.

Il Garante inoltre ha bocciato esplicitamente una clausola tipica di molte policy IT, quella secondo cui il dipendente “non deve avere aspettativa di riservatezza” sulle comunicazioni scambiate con gli strumenti aziendali.

Si tratta di un’affermazione che, alla luce della giurisprudenza CEDU e delle indicazioni dell’Autorità, non è affatto opponibile ai lavoratori.

Le azioni proattive

Però, bisogna dire, a merito della Piaggio che, in corso di istruttoria, la stessa ha corretto diverse prassi (riduzione della conservazione delle e-mail a 3 mesi dopo la cessazione, cancellazione dei log ogni 21 giorni, integrazione dell’informativa).

Tali azioni proattive e correzioni sono state infatti valutate positivamente dal Garante ai fini della sanzione.

Alcune misure da mettere in atto

Vediamo ora alcune delle misure da mettere in atto:

• Caselle di posta elettronica di funzione vs nominativa;
• Rivalutare i tempi di conservazione (e-mail e log);
• Formazione del personale (HR, IT, legal, manager);

Caselle di posta elettronica di funzione vs nominativa

Ove possibile, è bene prevedere caselle di posta elettronica anziché nominative, con il riferimento alla funzione (es. assistenza@azienda.it, rspp@azienda.it ecc.), così da ridurre il numero di account che contengono dati personali direttamente riconducibili a un singolo lavoratore.

Si tratta di una misura difficile da applicare in modo generalizzato specie quando più persone ricoprono lo stesso ruolo o allorché l’interlocutore esterno necessiti di un referente identificabile.

In tali casi è più realistico mantenere l’account nominativo, con limitazione, attraverso misure organizzative e tecniche, dell’accesso al solo titolare, prevedendo un accesso di terzi solo su richiesta esplicita dell’interessato (es. per assistenza IT) e con tracciamento dell’operazione (cfr. provvedimento ADS).

Rivalutare i tempi di conservazione (e-mail e log)

Con riferimento alle e-mail vanno evitati periodi di conservazione post-cessazione superiori a poche settimane/mesi, e comunque vanno motivati da una finalità specifica e documentata nel registro dei trattamenti (es. gestione di contenziosi già avviati, non un generico “potrebbe servire”).

I tempi di conservazione, sempre motivandolo, potrebbero essere differenti sulla base della funzione ricoperta dal collaboratore (es. differenziando tra i tempi di conservazione del responsabile amministrazione da quelli di un addetto all’amministrazione).

Ancora, circa i log di accesso, adottare la prassi (come ha fatto Piaggio) della loro cancellazione ogni 21 giorni, in linea con il Provvedimento del 6 giugno 2024 sulla gestione della posta elettronica nel contesto lavorativo, è un riferimento utile come benchmark, quantunque il termine vada sempre calibrato sulle esigenze di sicurezza informatica e considerando che le organizzazioni rientranti nel perimetro NIS 2 potrebbero avere esigenze di conservazione ben più ampie.

Infine, occorre distinguere sempre nella informativa e quindi nel registro dei trattamenti, il periodo di conservazione della corrispondenza da quello dei metadati/log, con giustificazioni separate per ciascuno.

Formazione del personale (HR, IT, legal, manager)

La formazione è un must have. Essa è obbligatoria, dovendo toccare piani distinti, nella consapevolezza che si tratta di un obiettivo raggiungibile nel lungo periodo in quanto richiede una disciplina (più) rigorosa ed estendibile, da dover essere praticata da tutti i collaboratori, sebbene sia difficile da controllare.

I temi oggetto della formazione dovrebbero riguardare:

• che la posta elettronica non è da considerare e trattare come un “archivio”. I dipendenti/collaboratori sono chiamati a essere consapevoli che la loro casella email non è una repository da consultare liberamente a ritroso nel tempo, ma è uno strumento di lavoro che deve essere gestito nel rispetto della continuità aziendale;
• la gestione dei messaggi privati (inviati ricevuti) tramite la e-mail;
• che migliorare l’efficienza dell’archiviazione documentale è essenziale, donde va costruita una cultura in virtù della quale i documenti rilevanti (contratti,
• corrispondenza commerciale, pratiche aperte) devono essere salvati in sistemi di gestione documentale dedicati (DMS, CRM, cartelle condivise strutturate) e non lasciati soltanto nella casella di posta del singolo dipendente. Ciò ridurrebbe in concreto il rischio privacy nonché quello operativo di perdita di continuità aziendale;
• la conoscenza della policy aziendale sulla sicurezza dei sistemi e dei contenuti dell’informativa per i dipendenti, oltre ad altri documenti contenenti informazioni di interesse per i dipendenti/collaboratori;
• i contenuti della formazione devono essere rivisti, ad intervalli specifici, per tener conto di nuove minacce a seguito di introduzioni di nuove tecnologie, modifiche normative o organizzative, incidenti sulla sicurezza delle informazioni.

Procedure di off-boarding

Un punto debole individuato dal Garante, nel caso Piaggio, è (stato) quello di una procedura di off-boarding dai contenuti troppo ampi e dalle finalità troppo generiche.

Una procedura solida dovrebbe invero prevedere:

• disattivazione immediata dell’account alla cessazione del rapporto, con blocco dell’accesso;
• passaggio di consegne documentato. Nei giorni precedenti l’uscita, il collaboratore (o, in caso di uscita non concordata, il responsabile di funzione insieme all’IT) individua le pratiche aperte e le condivide con il collega subentrante attraverso il sistema documentale, non lasciando che restino nella casella personale;
• possibilità solo su richiesta e consenso esplicito del dipendente uscente, di mantenere temporaneamente attivo l’indirizzo per l’inoltro automatico o per un messaggio di risposta automatica che indirizzi i mittenti a un nuovo referente – evitando che altri leggano il contenuto delle e-mail in arrivo. Il Garante ha sanzionato più volte, anche nel Provvedimento Piaggio, la prassi di trasferire il contenuto della casella a un altro utente sulla base di “generiche esigenze di servizio”. La finalità deve essere specifica e la misura proporzionata;
• cancellazione definitiva dell’account entro un termine breve (30 giorni è l’ordine di grandezza generalmente accettato, prolungabile a 60/90 nel tempo, ma con motivazioni estremamente robuste e documentate nel registro dei trattamenti), salvo proroghe limitate su richiesta dell’interessato per il recupero di dati personali propri;
• niente accesso al contenuto delle e-mail dopo la cessazione, se non nei limiti di una finalità specifica, documentata e proporzionata (es. contenzioso già pendente al momento della cessazione), e comunque con conservazione separata e a tempo limitato dei soli dati rilevanti.

Distinguere nettamente i controlli “ordinari” dai controlli difensivi

Se l’organizzazione prevede, nella policy IT, la possibilità di controlli per finalità investigative, rammentiamo che occorre:

• limitarli a un sospetto fondato e documentato, sorto in un momento identificabile e supportato da evidenze ricostruibili;
• circoscrivere la ricerca ai soli dati successivi all’insorgere del sospetto, mai retroattivi su mesi o anni pregressi;
• effettuare (e conservare agli atti) un test di bilanciamento tra interesse aziendale e diritti del lavoratore prima di procedere all’accesso;
• usare filtri e parole chiave per minimizzare l’estrazione, affidando l’operazione materiale a un soggetto tecnico, precedentemente individuato e formato, che non abbia accesso al contenuto (come nel modello, corretto nel metodo, ma non nei tempi, adottato da Piaggio);
• rispettare comunque le garanzie procedurali dell’art. 4 dello Statuto dei Lavoratori (accordo sindacale o autorizzazione dell’Ispettorato del Lavoro) quando lo strumento consente, anche indirettamente, un controllo a distanza dell’attività lavorativa.

Attività di audit

Nel corso degli audit interni possono essere previste anche verifiche, nel rispetto della riservatezza del contenuto della e-mail, volte ad assicurarsi che il dipendente/collaboratore applichi le misure apprese nel corso della formazione.

Ne consegue pertanto che: l’auditor deve essere qualificato e deve aver sottoscritto un impegno alla riservatezza; l’accesso alla posta elettronica del collaboratore è da limitare nel tempo e ai contenuti strettamente necessari per verificare il rispetto delle misure definite nonché avvenire sempre in presenza del collaboratore.

Ancora, l’accesso non è mirato a verificare il contenuto dei messaggi, ma la gestione degli stessi e che la posta elettronica non si configuri come un archivio.

Nel corso dell’audit è opportuno verificare anche la conoscenza, da parte del dipendente/collaboratore, delle policy aziendali (diritti e doveri del collaboratore) in relazione all’utilizzo della posta elettronica.

Il controllo, infine, potrebbe essere esteso anche alle PEC aziendali.

Informativa precisa e puntuale, non solo policy IT dettagliata

Non è sufficiente un regolamento lungo e minuzioso sulle modalità dei controlli che l’organizzazione si riserva di effettuare nel rispetto di quanto indicato.

L’informativa e di conseguenza il registro, devono indicare chiaramente che:

• le finalità specifiche di ogni trattamento (sicurezza, continuità operativa, investigazioni, difesa in giudizio vanno enunciate separatamente, non genericamente);
• la base giuridica per ciascuna finalità, incluso, se si usa il legittimo interesse, il criterio con cui è stato bilanciato;
• i tempi di Non è sufficiente un regolamento lungo e minuzioso sulle modalità dei controlli che l’organizzazione si riserva di effettuare nel rispetto di quanto indicato.

L’informativa e di conseguenza il registro devono indicare chiaramente che:

• le finalità specifiche di ogni trattamento (sicurezza, continuità operativa, investigazioni, difesa in giudizio si devono enunciare separatamente, non genericamente);
• la base giuridica per ciascuna finalità, incluso, se si usa il legittimo interesse, il criterio con cui si bilancia;
• i tempi di conservazione per ciascuna categoria di dato (e-mail, log, backup), non un rinvio generico a “il tempo necessario”. Il tutto con aggiornamento costante.

Gestire correttamente le richieste degli interessati

Qualunque comunicazione di un dipendente o ex dipendente che riguardi la propria casella e-mail – anche se non cita il GDPR – è da trattare come un legittimo esercizio di un diritto dell’interessato (accesso, cancellazione, opposizione) e gestita entro un mese, ovvero nei termini – ancorché non perentori – dell’art. 12 e in armonia con la procedura interna sull’esercizio dei diritti.

Se si ritiene di dover limitare o ritardare la risposta per esigenze di difesa in giudizio (art. 2-undecies del Codice Privacy), questo è da comunicare e motivare senza ritardo all’interessato.

Il silenzio o l’attesa dell’esito del contenzioso parallelo, non è una soluzione praticabile. Anzi, espone l’organizzazione e indebolisce la sua accountability.

Email aziendale e controlli sul lavoratore: il filo conduttore

Il filo conduttore del provvedimento è semplice da enunciare, ma ben più complesso da attuare.

La posta elettronica aziendale resta uno strumento di lavoro, non un archivio a disposizione dell’azienda per finalità aperte e indefinite.

Ogni conservazione prolungata fornisce una possibilità di accesso successivo e senza che necessariamente sia possibile dimostrare una finalità specifica, documentata, proporzionata e comunicata in anticipo al lavoratore.

Il tema presenta comunque delle criticità. Non considerare la posta elettronica come un archivio comporta una forma di disciplina, da parte di tutti i dipendenti/collaboratori, pur restando una misura difficile da monitorare atteso che non si deve essere “invasivi”, con notevole effort anche in termini di tempo.

Tale misura, per essere efficace, è da applicare da parte di ciascuno e non solo da qualcuno.

È una regola valevole per tutti, dipendenti e collaboratori indistintamente, a prescindere dal ruolo e funzione. Solo così l’organizzazione potrà essere conforme ai dettami del Regolamento.

Resta aperto il tema di altri repository sviluppatisi in questi ultimi anni, come
piattaforme condivise specifiche di progetti, sistemi d messaggistica istantanea eccetera, aspetti tutti che richiedono un’uguale e robusta regolamentazione; per quanto, data la loro “evanescenza” presentano maggiori complessità, rispetto al tema della posta elettronica, al centro di questa nostra disamina.

Riferimenti

[1] Bisogna anche ricordare che il Garante fa riferimento alle linee guida per la gestione della posta elettronica pubblicate nel 2007 che oramai hanno quasi 20 anni e nel frattempo moltissimo è cambiato, anche nell’uso dello stesso strumento, oltre che le indicazioni riportate in tali linee guida presentano degli ambiti ampli di interpretazione, che sono colmati di volta in volta da singoli provvedimenti, rendendo complessa una visione omogena e completa del tema.