Con il Provvedimento n. 243 del 29 aprile 2025, il Garante per la protezione dei dati personali ha concluso un’approfondita istruttoria nei confronti della Regione Lombardia, evidenziando gravi criticità nella gestione dei metadati della posta elettronica e dei log di navigazione internet dei dipendenti.
Descrizione del provvedimento
Il caso tocca aspetti centrali della normativa privacy in ambito lavorativo, con implicazioni rilevanti per tutte le pubbliche amministrazioni e i datori di lavoro. Il Provvedimento è stato adottato a valle di una serie di accertamenti ispettivi svolti d’ufficio dal Garante per verificare il rispetto della normativa privacy nei trattamenti effettuati dalla Regione Lombardia, in particolare in ambito di lavoro agile. Il documento completo è consultabile sul sito del Garante (doc. web n. 10134221)
Contesto normativo
Le principali violazioni sono state inquadrate alla luce del Regolamento (UE) 2016/679 (GDPR), del Codice Privacy (d.lgs. 196/2003) e della disciplina nazionale sui controlli a distanza dei lavoratori (art. 4 della Legge n. 300/1970, “Statuto dei lavoratori”). Particolare rilievo ha avuto anche il Documento di indirizzo del Garante del 6 giugno 2024 (doc. web n. 10026277), che ha fissato limiti e condizioni per il trattamento dei metadati.
Le criticità rilevate
- Conservazione eccessiva dei metadati email: la Regione conservava i metadati per 90 giorni, ben oltre i 21 giorni ritenuti congrui dal Garante per finalità tecniche. La raccolta avveniva senza accordo sindacale, configurando una violazione dell’art. 4, comma 1, dello Statuto dei lavoratori e degli artt. 5, 6, 88 del GDPR.
- Log di navigazione internet: la Regione raccoglieva e conservava sistematicamente per 12 mesi i log relativi alla navigazione dei dipendenti, inclusi i tentativi di accesso a siti vietati. Anche in questo caso mancava un accordo sindacale preventivo, configurando un controllo a distanza non autorizzato.
- Trattamenti sproporzionati e non pertinenti: il Garante ha evidenziato l’inadeguatezza delle misure adottate dalla Regione per minimizzare i dati trattati, rilevando la possibilità di identificare i dipendenti attraverso la ricongiunzione di informazioni conservate da diversi fornitori.
- Assenza di valutazione d’impatto (DPIA): non era stata inizialmente effettuata una DPIA ai sensi dell’art. 35 GDPR per i trattamenti ad alto rischio derivanti dalla gestione dei log e dei metadati.
- Nomine non adeguatamente formalizzate: le nomine dei fornitori responsabili del trattamento non disciplinavano in modo completo il trattamento dei dati nel sistema di ticketing OTRS.
Ruoli e responsabilità
Il titolare del trattamento è la Regione Lombardia. ARIA S.p.A. gestisce i sistemi informatici come responsabile del trattamento, insieme ad altri fornitori (Fastweb, Engineering). Il Garante ha rilevato che la frammentazione nella gestione dei dati non elimina il rischio di controllo indiretto, se resta possibile risalire all’identità del dipendente.
Considerazioni del Garante
Il Garante ha ritenuto che il trattamento dei metadati e dei log, nella loro configurazione originaria, fosse illegittimo e lesivo dei diritti dei lavoratori. In particolare, ha evidenziato che le finalità di sicurezza informatica non giustificano una raccolta sistematica e preventiva dei dati senza le garanzie previste dalla legge, e che le misure tecniche adottate non risultano sufficienti a garantire la minimizzazione e la proporzionalità del trattamento.
Conclusioni operative
- Verificare la liceità dei controlli informatici attivi (log, metadati, sistemi di ticketing);
- Adeguare i tempi di conservazione ai limiti indicati dal Garante;
- Sottoscrivere accordi sindacali ove richiesto dall’art. 4 dello Statuto dei lavoratori;
- Formalizzare in modo completo le nomine dei responsabili del trattamento;
- Svolgere DPIA per i trattamenti ad alto rischio;
- Implementare misure tecniche e organizzative realmente proporzionate.
Per approfondimenti, si rinvia al Documento di indirizzo del Garante su posta elettronica e metadati e alle Linee guida su posta elettronica e Internet del 2007.
