Pasquale Pirone
Il rispetto della normativa sulla protezione dei dati personali in ambito lavorativo rappresenta una questione centrale nel bilanciamento tra esigenze organizzative del datore di lavoro e diritti fondamentali dei lavoratori. La recente decisione del Garante per la protezione dei dati personali – contenuta nel provvedimento n. 243 del 29 aprile 2025 – ha posto sotto i riflettori le modalità con cui possono essere trattati i dati derivanti dalla navigazione in rete. E anche dalla posta elettronica aziendale, ribadendo la necessità di garantire tutele adeguate.
L’episodio oggetto della sanzione riguarda la Regione Lombardia, destinataria di una multa da 50.000 euro a seguito di un ciclo ispettivo condotto dall’Autorità garante.
L’attività di vigilanza si è concentrata sull’analisi delle pratiche adottate dall’ente regionale in merito alla gestione dei dati dei propri dipendenti, inclusi quelli raccolti durante lo svolgimento del lavoro agile.
E-mail dei dipendenti e i rilievi del Garante: eccessi nella raccolta dei dati
Dall’istruttoria è emerso che la Regione Lombardia aveva posto in essere una raccolta sistematica dei log di navigazione web da parte del personale, comprendente anche i dati relativi ai tentativi di accesso falliti verso siti inseriti in una black list. Questo tipo di monitoraggio non era supportato da un accordo con le rappresentanze sindacali e mancava delle necessarie garanzie per la salvaguardia dei diritti dei dipendenti.
Tale prassi, secondo l’Autorità, esponeva il datore di lavoro alla possibilità di accedere a informazioni estranee alle mansioni lavorative, toccando potenzialmente aspetti sensibili della vita privata del personale. Si tratta, in particolare, di una violazione dei principi di necessità e proporzionalità che devono sempre guidare qualsiasi trattamento di dati personali in ambito lavorativo.
La questione dei metadati delle e-mail dei dipendenti
Oltre alla raccolta dei log di navigazione, il Garante Privacy ha rilevato criticità nella gestione dei metadati relativi alla posta elettronica istituzionale. Si parla in questo caso di informazioni quali orari di invio e ricezione, indirizzi e-mail coinvolti, dimensione dei messaggi e altri elementi che, pur non rivelando direttamente il contenuto dei messaggi, possono fornire un quadro dettagliato delle abitudini comunicative del personale.
Nel periodo oggetto dell’istruttoria, la Regione Lombardia non aveva ancora formalizzato alcun accordo sindacale per regolare tale trattamento. Tuttavia, l’ente aveva avviato un processo di adeguamento alle indicazioni generali fornite in passato dallo stesso Garante in contesti simili. Anticipando in parte le linee guida ufficiali successivamente emanate.
Misure correttive e prescrizioni dell’Autorità
Oltre alla sanzione pecuniaria, il Garante ha disposto una serie di interventi obbligatori volti a rendere il trattamento dei dati conforme alla normativa vigente. Tra le principali misure correttive imposte spiccano:
- L’anonimizzazione dei log relativi ai tentativi di accesso ai siti web bloccati, al fine di evitare qualsiasi identificabilità dei dipendenti che hanno generato tali eventi;
- L’obbligo di cifrare i dati che identificano i lavoratori assegnatari dei dispositivi aziendali, per ridurre il rischio di accesso non autorizzato;
- La limitazione temporale della conservazione di tali informazioni, evitando accumuli di dati che non trovano giustificazione nel tempo.
Questi correttivi vanno nella direzione di ridurre l’invasività dei controlli aziendali e proteggere la riservatezza degli individui, in linea con i principi stabiliti dal Regolamento europeo sulla protezione dei dati (GDPR) e dallo Statuto dei lavoratori.
Accesso all’e-mail dei dipendenti: il bilanciamento tra controllo e diritti
La vicenda mette in luce un nodo delicato nella gestione del rapporto di lavoro: la necessità per le organizzazioni di garantire la sicurezza informatica e l’efficienza operativa. E senza sconfinare nel controllo massivo delle attività dei propri dipendenti. L’analisi dei metadati delle e-mail dei dipendenti, ad esempio, può essere uno strumento utile per prevenire violazioni di policy interne. Ma solo se adottato nel rispetto delle regole.
In particolare, la normativa italiana richiede che il trattamento di dati personali per finalità di controllo a distanza sia preceduto da un confronto con le rappresentanze sindacali. E preveda misure tecniche e organizzative idonee a ridurre l’impatto sulla sfera privata dei lavoratori. In assenza di tali requisiti, qualsiasi raccolta sistematica di informazioni può risultare illegittima.
La centralità della trasparenza
Un aspetto essenziale emerso dal caso Regione Lombardia riguarda la necessità di una comunicazione chiara e trasparente nei confronti dei dipendenti. Questi ultimi devono essere informati in modo dettagliato su quali dati vengono raccolti, per quale motivo, con quali strumenti e per quanto tempo.
Solo in questo modo si può garantire un effettivo controllo sull’uso delle proprie informazioni personali e prevenire derive potenzialmente lesive della dignità professionale.
Verso una cultura della privacy nel lavoro pubblico
Il caso descritto si inserisce in un quadro più ampio di crescente attenzione ai diritti digitali all’interno delle pubbliche amministrazioni. La transizione verso modelli di lavoro flessibili e digitalizzati – come lo smart working – impone una riflessione approfondita sulle modalità con cui vengono gestite le informazioni generate dai dipendenti.
L’uso dei log di navigazione e dei metadati delle e-mail dei dipendenti, se non correttamente normato, può facilmente trasformarsi in uno strumento di sorveglianza costante. Al contrario, un approccio fondato sul rispetto della normativa, sulla trasparenza e sul coinvolgimento delle parti sociali rappresenta l’unica strada percorribile per conciliare efficienza amministrativa e diritti fondamentali.
Riassumendo
- Il Garante ha sanzionato la Regione Lombardia per trattamenti illeciti dei dati lavorativi.
- Raccolti log internet senza accordi sindacali e senza adeguate garanzie per i dipendenti.
- Gestiti impropriamente anche i metadati delle e-mail dei dipendenti senza trasparenza iniziale.
- Imposte misure correttive: anonimizzazione, cifratura e riduzione tempi di conservazione.
- Controlli aziendali devono rispettare la privacy e coinvolgere le rappresentanze sindacali.
- La trasparenza nel trattamento dei dati è essenziale per tutelare i diritti dei lavoratori.
