News - 21/06/2024

Documento di indirizzo del Garante Privacy su “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”

Segnaliamo il documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” del 6 giugno, con cui il Garante ha aggiornato le indicazioni fornite in materia a dicembre 2023

All’esito della consultazione pubblica sul termine di conservazione dei metadati generati e raccolti automaticamente dai protocolli di trasmissione e smistamento della posta elettronica (G.U. - Serie Generale n. 64 del 16 marzo 2024) il Garante ha pubblicato il Provvedimento n. 364 del 6 giugno 2024 “Documento di indirizzo. Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”.

Il Documento di indirizzo contiene tra l'altro le seguenti precisazioni:

• È stata chiarita la definizione dei “metadati di posta elettronica” (o “log di posta elettronica”) a cui il Documento di indirizzo si applica. In particolare essi corrispondono tecnicamente alle informazioni registrate nei log generati dai sistemi server di gestione e smistamento della posta elettronica (MTA = Mail Transport Agent) e dalle postazioni nell’interazione che avviene tra i diversi server interagenti e, se del caso, tra questi e i client (le postazioni terminali che effettuano l’invio dei messaggi e che consentono la consultazione della corrispondenza in entrata accedendo ai mailbox elettroniche, definite negli standard tecnici quali MUA – Mail User Agent). Tali informazioni relative alle operazioni di invio e ricezione e smistamento dei messaggi possono comprendere gli indirizzi email del mittente e del destinatario, gli indirizzi IP dei server o dei client coinvolti nell’instradamento del messaggio, gli orari di invio, di ritrasmissione o di ricezione, la dimensione del messaggio, la presenza e la dimensione di eventuali allegati e, in certi casi, in relazione al sistema di gestione del servizio di posta elettronica utilizzato, anche l’oggetto del messaggio spedito o ricevuto. I metadati cui ci si riferisce nel presente documento (sia quelli di origine prettamente tecnica sia quelli, come il campo “Oggetto”, determinati dagli utenti) presentano la caratteristica di essere registrati automaticamente dai sistemi di posta elettronica, indipendentemente dalla percezione e dalla volontà dell’utilizzatore. Gli stessi metadati non vanno in alcun modo confusi con le informazioni contenute nei messaggi di posta elettronica nella loro “body-part” (corpo del messaggio) o anche in essi integrate - ancorché talvolta non immediatamente visibili agli utenti dei software “client” di posta elettronica (i cosiddetti MUA - Mail User Agent) - a formare il cosiddetto envelope, ovvero l’insieme delle intestazioni tecniche strutturate che documentano l’instradamento del messaggio, la sua provenienza e altri parametri tecnici. Le informazioni contenute nell’envelope, ancorché corrispondenti a metadati registrati automaticamente nei log dei servizi di posta, sono inscindibili dal messaggio di cui fanno parte integrante e che rimane sotto l’esclusivo controllo dell’utente (sia esso il mittente o il destinatario dei messaggi).

• Rispetto ai metadati di posta elettronica è stato precisato che si può prescindere dalle garanzie procedurali previste dal comma 1 dell’art. 4 della L. n. 300/1970 – consistenti nella sottoscrizione da parte del datore di lavoro di un accordo con le rappresentanze sindacali o nell’ottenimento di un’apposita autorizzazione da parte dell’Ispettorato del lavoro – essendo applicabile l’esenzione di cui al comma 2 dello stesso articolo 4, purché la raccolta e conservazione di tali metadati sia necessaria ad assicurare il funzionamento del sistema di posta elettronica e la conservazione dei metadati sia limitata a pochi giorni (a titolo orientativo, non più di 21 giorni. Tale periodo potrà eventualmente ed ulteriormente essere esteso solo in presenza di adeguate motivazioni da documentare puntualmente nel rispetto del principio di accountability che grava sul titolare del trattamento).

In allegato il testo del Provvedimento.

Leggi le altre news sul tema:

Garante Privacy: nuove tutele per l'email dei dipendenti

Provvedimento del Garante Privacy sulla conservazione di metadati - Consultazione pubblica

Provvedimento del Garante Privacy sulla conservazione di metadati - Differimento dell'efficacia e consultazione pubblica