Di cosa si occupa il Garante per la protezione dei dati personali con il provvedimento 6 giugno 2024, n. 364

È documento di indirizzo quello del Garante per la protezione dei dati personali, pubblicato il 6 giugno 2024, che affronta una questione vieppiù rilevante nel mondo del lavoro, ossia, l’uso dei programmi e servizi informatici di gestione della posta elettronica e il trattamento dei metadati.

Quivi si evidenzia il rischio che tali programmi, anche se forniti in modalità cloud, possano raccogliere in modo preventivo e generalizzato i metadati relativi all’utilizzo degli account di posta elettronica dei dipendenti, conservandoli per un lungo periodo di tempo.

Manco a dirlo, la questione solleva preoccupazioni in termini di privacy e protezione dei dati personali.

I metadati di posta elettronica o log di posta elettronica4, come vengono alternativamente chiamati nel documento, sono le informazioni registrate nei log generati dai sistemi server di gestione e smistamento della posta elettronica (MTA)5 e dalle postazioni nell’interazione che avviene tra i diversi server interagenti e, se del caso, tra questi e i client (le postazioni terminali che effettuano l’invio dei messaggi e che consentono la consultazione della corrispondenza in entrata accedendo ai mailbox elettroniche, definite negli standard tecnici quali MUA).

Il documento sottolinea che i metadati vengono registrati automaticamente dai sistemi di posta elettronica, indipendentemente dalla percezione e dalla volontà dell’utilizzatore. Questo significa che i dipendenti potrebbero non essere consapevoli del fatto che queste informazioni vengono raccolte e conservate.

Il Garante fornisce indicazioni ai datori di lavoro su come trattare queste informazioni per garantire il corretto funzionamento e il regolare utilizzo del sistema di posta elettronica, comprese le essenziali garanzie di sicurezza informatica. Purtuttavia, il documento non introduce nuovi obblighi per i titolari del trattamento.