LA CASELLA E-MAIL È UN DATO PERSONALE?

Occorre partire da un punto fermo: l’indirizzo di posta elettronica aziendale individualizzato costituisce un dato personale quando consente di identificare il lavoratore.

Anche i messaggi presenti nella casella possono contenere dati personali del dipendente, dei mittenti, dei destinatari e di altri soggetti. La corrispondenza elettronica è inoltre protetta dagli artt. 2 e 15 della Costituzione e dall’art. 8 CEDU, anche quando viene scambiata nel contesto lavorativo.

Questo, tuttavia, non significa che l’intera casella e-mail sia un archivio personale del lavoratore. Al suo interno convivono dati personali, documenti aziendali, informazioni commerciali, comunicazioni con clienti e fornitori, segreti industriali e dati riferiti a terzi.

La natura di dato personale dell’indirizzo e di parte dei contenuti non elimina, quindi, la funzione organizzativa e professionale dello strumento.

LA POSTA ELETTRONICA È “INDISPENSABILE” PER LAVORARE?

Nel provvedimento Piaggio il Garante ribadisce che i sistemi e i programmi (non la casella di posta in sè) che consentono la raccolta, la conservazione e l’elaborazione dei dati derivanti dall’utilizzo della posta elettronica non sarebbero indispensabili per rendere la prestazione lavorativa, poiché opererebbero indipendentemente dalla normale attività dell’utilizzatore.

La precisazione è importante: il Garante non nega espressamente che la posta elettronica sia uno strumento di lavoro. Distingue la casella utilizzata dal dipendente dai sistemi ulteriori che conservano ed elaborano i relativi dati.

Rimane però un problema interpretativo.

L’art. 4, comma 2, dello Statuto non parla di strumenti “indispensabili”, ma di strumenti «utilizzati dal lavoratore per rendere la prestazione lavorativa». Il criterio dell’indispensabilità, adottato dal Garante, rischia pertanto di restringere il testo della legge.

Nel lavoro contemporaneo, Microsoft 365, la posta elettronica, Teams e le funzionalità di conservazione e ripristino costituiscono spesso un unico ambiente digitale. Il backup può essere necessario per assicurare continuità operativa, disponibilità dei dati, sicurezza informatica, recupero in caso di errore o incidente e tutela del patrimonio informativo.

Un sistema di backup non diventa automaticamente uno strumento di controllo soltanto perché conserva informazioni riconducibili ai lavoratori.

LA POSIZIONE DELL’ITL IN UNA PRATICA SEGUITA DA LABOR PROJECT

Un elemento particolarmente significativo emerge da una recente autorizzazione rilasciata dall’Ispettorato territoriale del lavoro nell’ambito di una pratica gestita con un DPO.

Nel provvedimento, l’ITL ha recepito la qualificazione proposta nell’istanza, dando espressamente atto che:

«La posta elettronica Microsoft Office 365, con il relativo sistema di backup, e il servizio di messaggistica aziendale Microsoft Teams costituiscono strumenti utilizzati direttamente dai lavoratori per rendere la prestazione lavorativa ai sensi dell’art. 4, comma 2, della legge n. 300/1970».

Il passaggio è rilevante perché non considera isolatamente la casella e-mail, Teams e il backup, ma li qualifica come componenti di un unico sistema funzionale allo svolgimento della prestazione.

Il significato pratico della posizione assunta dall’ITL è chiaro: tali strumenti non sono stati ricondotti, in quanto tali, alla procedura autorizzativa prevista dal comma 1.

Naturalmente, una singola autorizzazione non costituisce una fonte normativa né vincola altri Ispettorati, il Garante o l’autorità giudiziaria. Rappresenta però un precedente amministrativo concreto, proveniente proprio dall’autorità competente ad applicare l’art. 4 dello Statuto dei lavoratori.

Non può quindi essere ignorato nel dibattito.

ANCHE LA GIURISPRUDENZA DEL LAVORO SEGUE UNA LETTURA FUNZIONALE

Una posizione analoga emerge dalla recente sentenza del Tribunale di Pisa relativa alla stessa vicenda lavoristica esaminata dal Garante nel caso Piaggio.

Il giudice ha qualificato la posta elettronica aziendale come strumento necessario per l’adempimento della prestazione, riconducibile all’art. 4, comma 2. Ha inoltre ritenuto legittimo il controllo difensivo quando fondato su un sospetto concreto, effettuato mediante parole chiave, circoscritto e riservato a pochi soggetti autorizzati.

Il Tribunale ha distinto l’eventuale illiceità amministrativa della conservazione generalizzata dei dati dalla diversa questione dell’utilizzabilità processuale dei documenti acquisiti mediante un controllo difensivo mirato.

Alcuni passaggi della decisione restano discutibili, soprattutto con riguardo all’utilizzo di comunicazioni anteriori all’insorgenza del sospetto. La pronuncia conferma, tuttavia, che nella giurisprudenza lavoristica la posta elettronica viene normalmente considerata uno strumento di lavoro.

IL VERO CRITERIO DEVE ESSERE LA CONCRETA CONFIGURAZIONE DEL SISTEMA

A mio avviso, il confine non può dipendere dal semplice nome attribuito alla tecnologia: “posta elettronica”, “backup”, “archivio” o “log”.

Occorre verificare concretamente:

• perché i dati vengono conservati;
• per quanto tempo;
• se il backup è segregato;
• chi può accedervi;
• con quali autorizzazioni e tracciamenti;
• se la cancellazione segue regole automatiche;
• se il sistema viene utilizzato per finalità di sicurezza e continuità oppure per ricostruire retrospettivamente l’attività dei dipendenti.

Un backup proporzionato, segregato e destinato al ripristino dei dati è molto diverso da un archivio permanente, liberamente consultabile dal datore di lavoro e utilizzabile per controlli generalizzati.

Nel caso Piaggio, infatti, il GPDP non ha contestato soltanto l’esistenza del backup ma ha considerato anche la conservazione della posta per l’intero rapporto e per cinque anni successivi, i log conservati per sei mesi, le finalità molto ampie di accesso e i controlli retrospettivi estesi a comunicazioni risalenti fino a due anni prima del sospetto.

UNA QUESTIONE ANCORA APERTA

La posizione assunta dall’ITL dimostra che non esiste una lettura istituzionale del tutto uniforme.

Il Garante guarda soprattutto alla potenzialità di controllo e alla tutela della riservatezza. L’Ispettorato e una parte della giurisprudenza adottano una lettura più funzionale, collegata al modo in cui gli strumenti digitali vengono concretamente utilizzati nell’organizzazione del lavoro.

Occorre trovare un punto di equilibrio. Non possiamo considerare ogni funzione tecnica di conservazione come un sistema di sorveglianza, ma non possiamo neppure utilizzare il concetto di “strumento di lavoro” per legittimare archivi indiscriminati e controlli retrospettivi.

La domanda, quindi, non dovrebbe essere: «La posta elettronica e il backup sono strumenti di lavoro?».

La domanda corretta è: «Come sono configurati, perché conservano i dati e chi può concretamente utilizzarli?».

È su questa valutazione sostanziale, e non su qualificazioni astratte, che dovrebbe costruirsi un orientamento finalmente condiviso tra Garante, Ispettorato nazionale del lavoro, parti sociali e imprese.