La verifica dei metadati della posta elettronica dei lavoratori deve distinguere i log generati dai sistemi di gestione e smistamento dal contenuto dei messaggi. Il termine orientativo di 21 giorni indicato dal Garante non è una regola generale per cancellare tutte le email aziendali. Serve a valutare una specifica raccolta tecnica, nel rapporto fra protezione dei dati e disciplina degli strumenti di lavoro.
Il documento di indirizzo del Garante del 6 giugno 2024 riguarda i metadati o log dei sistemi di posta. Per la raccolta necessaria al funzionamento delle infrastrutture, richiama un periodo normalmente limitato a pochi giorni e, a titolo orientativo, non superiore a 21; un’estensione per tale finalità richiede particolari condizioni e adeguata dimostrazione della necessità. Questo non equivale a una generale autorizzazione a conservare ogni dato per 21 giorni.
Separare i diversi insiemi informativi
Cominciate da un inventario tecnico: contenuto delle caselle, log MTA, registri di autenticazione, eventi di sicurezza, archivi di conservazione e copie di backup. Chiedete al fornitore quale componente genera ciascun insieme e quale funzione svolge. Un’unica voce «email» nel registro non permette di decidere durate e accessi in modo coerente.
I log MTA possono contenere informazioni sul percorso e sulla gestione dei messaggi. Il documento del Garante delimita il proprio oggetto tecnico; non autorizza a estendere meccanicamente le sue indicazioni al contenuto della corrispondenza. Una casella utilizzata per rapporti contrattuali può avere esigenze diverse, da valutare separatamente.
La mappatura dei sistemi e dei flussi consente di individuare copie e servizi collegati. In un ambiente cloud, parte dei dati può essere accessibile in console differenti o dipendere da impostazioni non immediatamente visibili al cliente. Occorre quindi esaminare documentazione e comportamento effettivo.
Identificare finalità tecniche e utilizzi ulteriori
Per ogni insieme scrivete a che cosa serve: consegna dei messaggi, diagnosi di un guasto, sicurezza, gestione di un incidente o altro scopo. Distinguete la possibilità tecnica di consultazione dall’utilizzo autorizzato. Un dato raccolto per il funzionamento del servizio non diventa automaticamente disponibile per valutare produttività o relazioni del personale.
La limitazione delle finalità aiuta a riconoscere quando l’organizzazione propone un uso ulteriore. Se una funzione vuole ricostruire chi comunica con chi o quanto spesso, la valutazione deve descrivere questo risultato e le conseguenze per i lavoratori, senza nasconderlo sotto la generica etichetta di manutenzione.
Individuate anche finalità determinate dal fornitore e operazioni eseguite su istruzione dell’organizzazione. La distinzione incide su ruoli, documenti e possibilità di configurazione. Non presumete che ogni dato tecnico sia sotto il controllo esclusivo del datore di lavoro, né che il cliente non abbia alcuna responsabilità perché utilizza un servizio standard.
Valutare il rapporto con l’articolo 4 dello Statuto dei lavoratori
Il documento di indirizzo esamina l’intersezione con l’articolo 4 della legge 300/1970. L’eccezione relativa agli strumenti utilizzati per rendere la prestazione non deve essere trattata come autorizzazione indiscriminata a qualsiasi raccolta o uso. Caratteristiche tecniche, finalità e configurazioni incidono sulla valutazione.
Una raccolta generalizzata con conservazione più lunga che consenta il controllo a distanza dei lavoratori richiede l’esame dell’articolo 4, comma 1, e delle sue garanzie procedurali: accordo sindacale oppure autorizzazione amministrativa prevista dalla norma. Rimane distinta la specifica estensione tecnicamente necessaria e adeguatamente dimostrata nell’ambito del comma 2 descritta dal Garante: il superamento del ventunesimo giorno non determina, da solo e automaticamente, l’applicazione del comma 1. Non risolvete la questione aggiungendo una clausola generica al regolamento aziendale o chiedendo un consenso indistinto al personale.
La guida GDPR alle risorse umane fornisce il quadro organizzativo più ampio. Per una decisione concreta, coinvolgete chi conosce sia l’architettura di posta sia il rapporto di lavoro. Il tecnico deve descrivere ciò che il sistema raccoglie; la valutazione giuridica deve utilizzare questi fatti, senza basarsi soltanto sul nome del prodotto.
Applicare correttamente il riferimento dei 21 giorni
La prima domanda è se il dato esaminato rientri nell’oggetto del documento e nella finalità considerata. La seconda è quale durata sia necessaria nel contesto. Il riferimento orientativo non sostituisce la limitazione della conservazione: se pochi giorni sono sufficienti, occorre motivare perché mantenere più a lungo.
Un’eventuale estensione per assicurare il funzionamento delle infrastrutture deve essere sostenuta da specificità tecniche e organizzative documentate, come richiede il Garante. Non basta affermare che il fornitore imposta una durata più ampia per tutti i clienti. La configurazione predefinita è un fatto da esaminare, non una giustificazione autonoma.
Se emergono altre finalità, analizzatele separatamente con i relativi presupposti e garanzie. Evitate di raccogliere indefinitamente tutto l’archivio perché potrebbe un giorno essere utile per un’indagine. Una conservazione mirata di evidenze relative a un evento concreto è una decisione diversa dalla raccolta preventiva generalizzata.
Chiedere al fornitore informazioni verificabili
Preparate domande su sorgenti, campi, durate, accessi, esportazioni e configurabilità. Chiedete se i valori differiscano fra funzionalità o piani contrattuali e quali impostazioni siano attive nel tenant. Una pagina di documentazione generale può non descrivere il servizio effettivamente acquistato.
| Domanda | Evidenza da richiedere |
|---|---|
| Quali log vengono generati? | Elenco delle sorgenti e descrizione dei campi |
| Dove vengono conservati? | Componenti, copie e destinatari |
| Quale durata è applicata? | Impostazioni effettive e limiti del servizio |
| Chi può consultarli? | Ruoli, privilegi ed eventuali accessi del fornitore |
| Si possono ridurre o disattivare? | Procedura, effetti tecnici e condizioni |
| Come vengono cancellati? | Processo e verifica sulle copie pertinenti |
| Come vengono esportati? | Formato, canale e autorizzazioni |
Collegate il confronto al contratto del responsabile del trattamento. Se il fornitore non consente una configurazione necessaria, documentate le alternative: diversa funzione, diverso piano, misura equivalente appropriata o sostituzione del servizio. La scelta deve essere assunta da chi può decidere sull’organizzazione del trattamento.
Limitare accessi e ricerche
Definite chi può interrogare i log, per quale scopo e con quali autorizzazioni. Una ricerca su una persona richiede un contesto e una necessità, non soltanto la disponibilità della console. La tracciatura delle consultazioni può sostenere il controllo, purché sia a sua volta progettata e protetta.
La guida ai log di sicurezza aiuta a organizzare identità, integrità e conservazione. Mantenete però distinti i regimi: i log degli amministratori di sistema non giustificano automaticamente la conservazione di tutti i metadati di posta per la stessa durata.
Per esportazioni necessarie a un’indagine, delimitate periodo, soggetti, campi e destinatari. Conservate una traccia della richiesta e del risultato, senza diffondere archivi completi a persone non coinvolte. La protezione della corrispondenza e delle relazioni dei lavoratori deve essere considerata anche nelle copie prodotte fuori dal sistema principale.
Aggiornare informazione e documentazione interna
Verificate che l’informativa ai dipendenti descriva i trattamenti pertinenti in modo comprensibile. Il testo deve corrispondere a finalità, dati, accessi e conservazione effettivi. Non basta aggiungere un riferimento a «controlli di sicurezza» se il sistema viene utilizzato per analisi diverse.
Aggiornate registro, istruzioni e regolamento degli strumenti informatici quando necessario. Distinguete regole di uso da informazione privacy e dagli eventuali adempimenti lavoristici applicabili. Ogni documento ha una funzione; la presenza di uno non sostituisce automaticamente gli altri.
Il GDPR richiede limitazione delle finalità, minimizzazione e responsabilizzazione. La documentazione deve quindi rendere leggibile la decisione, non soltanto riportare una durata numerica senza spiegare a quali dati e scopi si riferisca.
Esempio di verifica compilata
In un caso ipotetico, l’organizzazione scopre che il servizio di posta conserva log MTA per un periodo più ampio di quello utilizzato dall’assistenza per risolvere i guasti ordinari. Il referente tecnico elenca gli eventi realmente consultati e verifica se una finestra più breve copra tali esigenze. La funzione competente esamina separatamente eventuali altri usi dichiarati.
La decisione può prevedere riduzione della durata, accesso limitato al gruppo di assistenza e riesame delle esportazioni esistenti. Il collaudo verifica la scomparsa dei record oltre la finestra configurata e la possibilità di risolvere un caso tecnico con i dati rimasti. Se una componente non segue l’impostazione, il problema viene assegnato al fornitore prima di considerare concluso l’intervento.
L’esempio non stabilisce una durata universale. Mostra il percorso necessario: identificare il dato, motivare lo scopo, scegliere la configurazione e verificarne gli effetti. Il fascicolo finale comprende risposte del fornitore, analisi delle condizioni lavoristiche pertinenti, decisione sulla conservazione, istruzioni di accesso e prova della configurazione effettiva.
Controllare la modifica senza confonderla con la cancellazione delle caselle
Prima di intervenire, annotate il parametro che verrà modificato e la componente cui si applica. Chiedete al referente di spiegare se l’azione riguarda log di trasporto, ricerca dei messaggi, archivio della casella oppure copie di sicurezza. Questa verifica evita che un intervento sui metadati produca una cancellazione diversa da quella deliberata. Conservate una configurazione precedente sufficiente al controllo, senza esportare inutilmente tutta la corrispondenza.
Dopo l’intervento, usate un messaggio di esercitazione e seguitene gli eventi tecnici. Verificate che consegna e diagnosi ordinaria funzionino, che gli utenti autorizzati vedano soltanto le informazioni previste e che l’eliminazione dei log avvenga secondo la nuova regola. Il collaudo deve includere anche eventuali copie inviate a una piattaforma di analisi, perché la cancellazione nella console di posta può non raggiungere un archivio esterno alimentato in precedenza.
Infine assegnate un evento di riesame al cambio di piano, fornitore o funzionalità. Un aggiornamento può introdurre una nuova sorgente o modificare le impostazioni predefinite. Il referente del servizio dovrebbe quindi controllare la matrice dei metadati prima di attivare nuove funzioni diagnostiche o di sicurezza. La verifica non richiede di ripetere ogni volta l’intero progetto, ma di confrontare la variazione con le finalità, le durate e gli accessi già approvati, riaprendo soltanto le decisioni che non descrivono più il sistema.
Scheda ipotetica con valori compilati
Per rendere verificabile l’esempio, si assume un servizio che conserva inizialmente i log MTA per 90 giorni. I campi osservati sono data e ora, identificativo del messaggio, indirizzi di mittente e destinatario, server coinvolto ed esito di consegna; contenuto e oggetto del messaggio restano esclusi da questa scheda. In questo scenario fittizio, l’assistenza documenta che i casi tecnici esaminati richiedono al massimo dieci giorni di storico, comprese le segnalazioni tardive.
La decisione dell’organizzazione ipotetica sceglie 14 giorni, motivati per quella specifica esigenza tecnica, accesso ai soli addetti autorizzati dell’assistenza e tracciatura delle consultazioni. Il collaudo verifica un evento di esercitazione ancora presente prima della scadenza e non più disponibile oltre la finestra, includendo la copia inviata al sistema diagnostico. Il valore di 14 giorni è una decisione dell’esempio, non una durata raccomandata per ogni datore di lavoro. La scheda deve essere ricompilata con esigenze ed evidenze reali del servizio esaminato.