Il Garante ha sanzionato la Regione Lombardia per 50.000 euro a causa del trattamento illecito dei log di navigazione Internet e dei metadati delle email dei dipendenti.

A seguito di un ciclo ispettivo condotto ai sensi degli articoli 157 e 158 del Codice privacy e dell’art. 58 del GDPR, è emerso che l’Ente raccoglieva in modo sistematico:

• i siti web visitati dai dipendenti (inclusi i tentativi falliti di accesso a siti in blacklist),
• i metadati delle email (indirizzi, oggetto, orario, dimensione dei messaggi),
• i dati sulle richieste di assistenza tecnica (conservati per periodi molto estesi).

Tali operazioni avvenivano senza gli accordi collettivi con le rappresentanze sindacali previsti dall’art. 4, comma 1, della legge 300/1970 (Statuto dei lavoratori) e in assenza di valutazioni d’impatto ex art. 35 del GDPR.

Le violazioni principali accertate:

• trattamento dei metadati email per 90 giorni, senza base giuridica adeguata;
• conservazione dei log di navigazione Internet per 12 mesi, con possibilità di identificare il dipendente attraverso dati incrociati;
• assenza di regolamentazione contrattuale del trattamento dei dati nei sistemi di assistenza tecnica, in particolare nel sistema dismesso “OTRS”.

In pratica, i metadati delle email venivano conservati fino a 90 giorni senza accordi sindacali, ma già oltre i 21 giorni massimi consentiti secondo il Documento di indirizzo del Garante.

Inoltre, i log di navigazione permettevano la ricostruzione dell’identità dell’utente tramite l’incrocio tra IP, MAC address e assegnatario della postazione.

Infine, i dati nel sistema OTRS erano conservati dal 2016, ben oltre il necessario per la gestione contrattuale.

Profili giuridici coinvolti nel trattamento illecito

Il Garante ha richiamato alcuni principi fondamentali del GDPR:

• liceità, correttezza e trasparenza (art. 5, par. 1, lett. a));
• minimizzazione dei dati (art. 5, par. 1, lett. c));
• limitazione della conservazione (art. 5, par. 1, lett. e));
• privacy by design e by default (art. 25 GDPR);
• obbligo di accordo sindacale per strumenti che consentono il controllo a distanza (art. 4, comma 1, L. 300/1970; art. 114 Codice privacy).

Il trattamento effettuato dalla Regione Lombardia ha violato i suddetti principi, omettendo di adottare un approccio responsabile e proattivo nella gestione dei dati dei lavoratori.

In particolare, tale approccio, improntato all'accountability, avrebbe dovuto basarsi sui seguenti adempimenti:

• stipulare preventivamente accordi collettivi con i sindacati per qualsiasi trattamento che possa implicare controllo a distanza;
• limitare la raccolta di log e metadati allo stretto necessario per la sicurezza informatica, con retention breve (es. max 21 giorni);
• anonimizzare i dati quando possibile, specialmente dopo il periodo utile alla loro finalità;
• effettuare una valutazione d’impatto (DPIA) ex art. 35 del GDPR quando si raccolgono dati in modo sistematico, anche solo a scopo tecnico;
• formare e designare espressamente il personale autorizzato al trattamento, con istruzioni dettagliate e documentate;
• cifrare i dati personali sensibili, come il nome dell’assegnatario del PC o della casella email.

I datori di lavoro, anche pubblici, devono:

• regolamentare l'uso degli strumenti digitali;
• attivare una procedura sindacale prima della raccolta di log o metadati;
• mantenere aggiornato il registro dei trattamenti;
• attuare misure tecniche come:
  • anonimizzazione dei log
  • cifratura degli identificativi
  • accesso selettivo ai dati
• aggiornare periodicamente i contratti con i fornitori IT (art. 28 GDPR).

Le misure correttive imposte dal Garante

Da quanto sopra indicato deriva che la semplice separazione dei dati tra fornitori non basta più. È richiesta una protezione integrata lungo l’intero ciclo del trattamento, dalla raccolta alla consultazione.

Nel provvedimento, il Garante ha ingiunto all’Ente l’adozione di precise misure tecniche e organizzative (art. 58, par. 2, lett. d), GDPR), per rendere il trattamento dei dati conforme al Regolamento:

entro 90 giorni dalla notifica, l’Ente deve:

• anonimizzare i log relativi ai tentativi di accesso falliti ai siti in blacklist (già registrati e futuri);
• ridurre il tempo di conservazione dei log di navigazione Internet a 90 giorni, con possibilità di estensione solo se i dati sono anonimizzati;
• cifrare i nomi dei dipendenti assegnatari delle postazioni informatiche;
• aggiornare gli accordi con i sindacati per includere le nuove misure di garanzia;
• definire ruoli e accessi, assicurando che il trattamento dei log e dei metadati sia effettuato da un numero ristretto di persone autorizzate, adeguatamente istruite;
• stabilire che le verifiche vengano condotte preferibilmente a livello aggregato (per struttura), intervenendo a livello individuale solo come extrema ratio.

Le sanzioni: importi e motivazioni

La sanzione totale inflitta è pari a 50.000 euro, così suddivisa:

• € 20.000 per la conservazione dei metadati email senza accordo sindacale e senza DPIA (artt. 5, 6, 35 e 88 GDPR; art. 114 Codice);
• € 25.000 per il trattamento dei log di navigazione in Internet oltre i limiti consentiti e senza le necessarie misure di minimizzazione (artt. 5, 6, 25, 35 e 88 GDPR; artt. 113 e 114 Codice);
• € 5.000 per la conservazione dei dati nel sistema “OTRS” oltre il tempo necessario e senza un accordo esteso ai fornitori (artt. 5, 25 e 28 GDPR).

Conclusioni

Questo provvedimento rappresenta un punto fermo per tutte le pubbliche amministrazioni che trattano dati relativi all’attività online e alle comunicazioni dei dipendenti: il rispetto delle regole è imprescindibile, anche (e soprattutto) quando i dati trattati sembrano “tecnici”.

In definitiva, il Garante sottolinea un concetto essenziale: la tecnologia non può essere usata come strumento di controllo occulto dei lavoratori.

In particolare:

• non basta invocare la sicurezza informatica per giustificare ogni forma di raccolta dati;
• anche i log tecnici sono dati personali, e in certi casi possono rivelare abitudini, orientamenti, aspetti sensibili della vita privata;
• la trasparenza verso il dipendente è imprescindibile: devono sapere come, quando e perché i loro dati vengono trattati;
• l’approccio del Garante è costante e consolidato e le Amministrazioni che non si adeguano rischiano non solo sanzioni economiche, ma anche danni reputazionali.

È necessario controllare le proprie policy IT, aggiornare i contratti con i fornitori, e formare il personale in modo strutturato e continuo.