In questo articolo Indice dei contenuti 2 sezioni
Una sanzione da 460.000 euro nei confronti di Piaggio ha riportato sotto i riflettori un tema che riguarda praticamente ogni azienda italiana, dalla multinazionale allo studio con cinque dipendenti: la gestione dell’e-mail aziendale e i limiti dei controlli sul lavoratore. Il Garante per la protezione dei dati personali non si è fermato al provvedimento economico. Ha disposto anche il divieto di accedere ai dati raccolti illecitamente sui sistemi di posta elettronica aziendale, fissando nuovi limiti che, nella pratica, valgono come indicazione per tutte le organizzazioni.
Il punto, apparentemente banale, è che la casella di posta assegnata al dipendente resta uno strumento di lavoro, ma i messaggi che vi transitano non diventano automaticamente materiale a disposizione del datore. È una distinzione che sulla carta sembra ovvia e che nella gestione quotidiana dei sistemi informatici viene invece dimenticata con una certa frequenza, spesso in buona fede, spesso perché la configurazione tecnica è stata decisa da chi si occupa di infrastruttura senza un confronto con chi si occupa di conformità.
Perché il caso Piaggio fa scuola
Il caso Piaggio interessa non tanto per l’entità della cifra, che pure non è simbolica, quanto per il fatto che il Garante ha accompagnato la sanzione a una misura di natura prescrittiva. Vietare l’accesso ai dati raccolti illecitamente significa, in concreto, che quelle informazioni non possono essere utilizzate. Non per finalità organizzative, non per valutazioni sul personale, non in un eventuale contenzioso. Un patrimonio di dati che, dal punto di vista dell’azienda, si trasforma in un peso morto.
Questo passaggio spiega bene la logica dell’Autorità. La protezione dei dati personali dei dipendenti non si esaurisce nel divieto di sorvegliare in modo occulto, ma arriva a colpire l’utilizzabilità di ciò che è stato raccolto senza le dovute garanzie. Chi ha impostato sistemi di conservazione prolungata dei messaggi, o meccanismi di accesso alle caselle senza informare adeguatamente il personale, ha un problema che non si risolve cancellando qualche file dopo l’ispezione.
Le ricadute pratiche per le altre organizzazioni
La lezione più immediata riguarda la trasparenza. Il lavoratore deve sapere quali strumenti vengono utilizzati, per quali finalità, con quali tempi di conservazione e chi può accedere ai contenuti. Le policy aziendali scritte anni fa e mai aggiornate, quelle infilate in fondo al contratto e firmate senza leggere, difficilmente reggono a un controllo dell’Autorità. Vale anche per i sistemi di posta elettronica aziendale gestiti in cloud, dove le impostazioni predefinite del fornitore raramente coincidono con quanto la normativa italiana richiede.
Secondo elemento: la proporzionalità. Raccogliere e conservare tutto perché tecnicamente è possibile non è una strategia difendibile. La quantità di dati trattati va commisurata all’obiettivo dichiarato, e l’obiettivo deve essere legittimo prima ancora che dichiarato. Il controllo a distanza dell’attività lavorativa, quando avviene per via indiretta attraverso strumenti nati per altro, è esattamente la zona grigia in cui si concentrano i provvedimenti più severi.
Terzo aspetto, meno discusso ma decisivo: il coordinamento interno. Le decisioni sulla configurazione dei sistemi informatici hanno conseguenze giuridiche dirette. Chi si occupa di IT, chi gestisce il personale e chi risponde della conformità normativa dovrebbero parlarsi prima di attivare una funzione di archiviazione o di logging, non dopo. Il Garante privacy ha mostrato di guardare al risultato concreto del trattamento, non alle intenzioni di chi lo ha impostato.
