Mese: Febbraio 2024

Garante Privacy: limite di sette giorni per la conservazione dei metadati delle e-mail dei dipendenti

Con il documento di indirizzo 9978728 denominato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” (scarica qui) in data 21.12.2023 il Garante per la protezione dei dati personali è intervenuto a stabilire il limite di durata della conservazione dei c.d. metadati delle email dei dipendenti.

Tale provvedimento è stato assunto sul presupposto del rischio che programmi  e servizi informatici per la gestione della posta elettronica, commercializzati da fornitori in modalità cloud, possano raccogliere per impostazione predefinita, in modo preventivo e generalizzato, i metadati relativi all’utilizzo degli account di posta elettronica in uso ai dipendenti (ad esempio, giorno, ora, mittente, destinatario, oggetto e dimensione dell’email), conservando gli stessi per un esteso arco temporale.

Sulla base di tale considerazione, il Garante ha ricordato che, in attuazione del principio di “responsabilizzazione” (cfr. art. 5, par. 2, e 24 del Regolamento), spetta al titolare valutare se i trattamenti che si intendono realizzare possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche – in ragione delle tecnologie impiegate e considerata la natura, l’oggetto, il contesto e le finalità perseguite – che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali (cfr. cons. 90 e artt. 35 e 36 del Regolamento).

Sempre secondo il Garante, tale necessità ricorre, in particolare, in caso di raccolta e memorizzazione dei metadati relativi all’impiego della posta elettronica, stante la particolare “vulnerabilità” degli interessati nel contesto lavorativo, nonché il rischio di “monitoraggio sistematico”, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti”.

Alla luce delle disposizioni richiamate, l’attività di raccolta e conservazione dei soli c.d. metadati necessari ad assicurare il funzionamento delle infrastrutture del sistema della posta elettronica, per un tempo che, all’esito di valutazioni tecniche e nel rispetto del principio di responsabilizzazione – affinché sia ritenuto applicabile il comma 2 dell’art. 4 della L. n. 300/1970 – non può essere superiore di norma a poche ore o ad alcuni giorni,  in ogni caso non oltre sette giorni,  estensibili, in presenza di comprovate e documentate esigenze che ne giustifichino il prolungamento, di ulteriori 48 ore.

Diversamente, la generalizzata raccolta e la conservazione di tali metadati, per un lasso di tempo più esteso – ancorché sul presupposto della sua necessità per finalità di sicurezza informatica e tutela dell’integrità del patrimonio, anche informativo, del datore di lavoro -, potendo comportare un indiretto controllo a distanza dell’attività dei lavoratori, richiede l’esperimento delle garanzie previste dall’art. 4, comma 1, della predetta l. n. 300/1970. Resta fermo che anche tale conservazione dovrà avvenire nel rispetto del principio di limitazione della conservazione.

In ragione di tale limitazione si rende quindi necessario valutare di:

  • intervenire nelle informativa privacy per i dipendenti, indicando specificamente il periodo di conservazione dei dati applicabile;
  • eseguire una DPIA (valutazione di impatto) sui diritti fondamentali degli interessati per la prosecuzione nel trattamento dei dati,
  • eseguire un test di bilanciamento laddove si invochi che la conservazione dei dati si basi su un interesse legittimo,
  • aggiornare le policy in tema di retention e conservazione dei dati;
  • addivenire a un accordo espresso con le rappresentanze sindacali o, in mancanza di queste, con l’Ispettorato Territoriale del Lavoro.

Scarica qui il documento di indirizzo citato e la nostra newsletter sul punto.

Non far vedere i figli al coniuge: no alla tenuità del fatto

L’art. 388 c.p. stabilisce che “Chiunque, per sottrarsi all’adempimento degli obblighi nascenti da provvedimento dell’autorità giudiziaria, o dei quali è in corso l’accertamento dinanzi all’autorità giudiziaria stessa, compie, sui propri o sugli altrui beni, atti simulati o fraudolenti, o commette allo stesso scopo altri fatti fraudolenti, è punito, qualora non ottemperi all’ingiunzione di eseguire il provvedimento, con la reclusione fino a tre anni o con la multa da euro 103 a euro 1.032. La stessa pena si applica a chi elude l’esecuzione di un provvedimento del giudice civile, ovvero amministrativo o contabile, che concerna l’affidamento di minori o di altre persone incapaci, ovvero prescriva misure cautelari a difesa della proprietà, del possesso o del credito”.

Il reato può essere applicato al coniuge che non osservi le statuizioni di un provvedimento giudiziale in tema di affidamento dei figli minori.

Con sentenza 30.11.2023 n. 47882 la Sezione II Penale della S.C. di Cassazione, ha ritenuto non applicabile la speciale causa di non punibilità sancita dall’art. 131 bis c.p.p. al caso di una moglie che non aveva consentito al marito separato, per quattro mesi, nell’anno 2016, di vedere i figli a lei affidati, in violazione degli accordi fra i coniugi, recepiti nel decreto di omologa della separazione consensuale.

L’art. 131 bis c.p.p. prevede, tra l’altro che “Nei reati per i quali è prevista la pena detentiva non superiore nel minimo a due anni, ovvero la pena pecuniaria, sola o congiunta alla predetta pena, la punibilità è esclusa quando, per le modalità della condotta e per l’esiguità del danno o del pericolo, valutate ai sensi dell’articolo 133, primo comma, anche in considerazione della condotta susseguente al reato, l’offesa è di particolare tenuità e il comportamento risulta non abituale. L’offesa non può essere ritenuta di particolare tenuità, ai sensi del primo comma, quando l’autore ha agito per motivi abietti o futili, o con crudeltà, anche in danno di animali, o ha adoperato sevizie o, ancora, ha profittato delle condizioni di minorata difesa della vittima, anche in riferimento all’età della stessa ovvero quando la condotta ha cagionato o da essa sono derivate, quali conseguenze non volute, la morte o le lesioni gravissime di una persona”.

Nel caso in esame la S.C. ha stabilito che da un lato non fosse stata data prova di asseriti impegni di lavoro che avrebbero impedito al marito di essere puntuale agli appuntamenti fissati né di un presunto interesse della stessa a privilegiare il rapporto con il nuovo compagno a discapito del diritto del padre di incontrare i figli, mentre dall’altro è emersa la refrattarietà della moglie a trovare soluzioni accomodanti e il protrarsi della condotta elusiva.

Per tali ragioni sono state ritenute indimostrate cause che potessero condurre a una declaratoria di tenuità del fatto.

Scarica qui la sentenza integrale e la nostra newsletter sul punto.