Metadata email dei dipendenti

Le diverse fasi delle linee guida del Garante della privacy. 

Dicembre 2023

Conservazione dei metadati delle email dei dipendenti limitata dal Garante per la privacy italiano

Un intervento criticato e discusso quello dell’Autorità per la Privacy italiana che impone un cambiamento radicale nelle policy di conservazione dei metadati di posta elettronica relativi ai metadati di posta elettronica dei dipendenti. 

Il Garante per la protezione dei dati personali, lo scorso Dicembre 2023, ha emanato linee guida in materia di “Programmi e servizi informatici per la gestione della posta elettronica nell’ambito lavorativo e trattamento dei metadati”. 

In base alle linee guida del Garante, i datori di lavoro non possono conservare i metadati delle email dei dipendenti relativi a data, ora, mittente, destinatario, oggetto e dimensioni delle email, per più di 7 giorni. Queste linee guida interessano soprattutto i provider di cloud e SaaS (Software as a Service) che solitamente conservano indefinitivamente tali dati ed introducono una nuova problematica: bilanciare le esigenze di protezione delle proprietà e degli interessi aziendali e le rigidissime norme sulla privacy. 

Le linee guida oltre ad una proroga, dove ci sia una provata e documentata necessità, di ulteriori 2 giorni nei tempi prevedono delle eccezioni per la conservazione estesa dei dati, che possono essere dovute, per esempio, a motivi di sicurezza. Come prerequisito però richiedono un accordo sindacale e la necessità di giustificare specificatamente il motivo di questa conservazione. Le conseguenze di questa scelta sono enormi, prendiamo ad esempio un caso di controversia legale, che potrebbe sorgere anni dopo la cancellazione dei metadati, in cui la mancanza di metadati potrebbe mettere in discussione l’autenticità delle prove di posta elettronica e creare problemi all’azienda nella difesa dei propri interessi.

Tralasciando l’emergente contrapposizione tra le esigenze delle aziende e le regole sulla privacy, il possibile impatto sulle controversie, sulle operazioni aziendali e sulla gestione dei dati è molto sostanziale. Le conseguenze operative minime sono:

1. Aggiornamento dell’informativa sulla privacy per i dipendenti, dove dovrà essere riportato il periodo di conservazione dei dati che si applica,
2. Esecuzione di una DPIA (Data Protection Impact Assessments) per l’elaborazione dei dati
3. Esecuzione di una LIA (Legitimate Interest Assessment) per valutare se la conservazione dei dati sia basata su un legittimo interesse
4. Aggiornamento della politica di conservazione dei dati
5. Se l’azienda vuole conservare i dati per più di 7 giorni, deve raggiungere ad un accordo con i sindacati

Giugno 2024

Garante per la privacy: marcia indietro sui metadati dellev email dei dipendent

Il Garante per la privacy ha modificato il suo approccio per la conservazione dei metadati delle email dei dipendenti, ma la nuova posizione probabilmente non è una soluzione per le aziende che dovranno svolgere delle attività fondamentali per ottemperare alla normativa. 

Il panico generato dalle linee guida del Dicembre 2023 del Garante per la protezione dei dati personali, che obbligavano a cancellare dopo soli 7 giorni i metadati delle email dei dipendenti, è cessata con sollievo dopo la pubblicazione degli aggiornamenti delle linee guida. 

A febbraio 2024 era stata avviata una consultazione su tali linee guida iniziali, dopo la quale sono state aggiornate. 

Cosa prevedono le nuove linee guida sui metadati? 

La nuova versione delle linee guida riduce l’impatto della prima versione, introduce una distinzione tra:

1. Log generati dai server di gestione della posta elettronica (Mail Transport Agent) e dalle iterazioni tra differenti server interagenti e tra questi server e i terminali che inviano messaggi,
2. Le informazioni contenute o incorporate nel “corpo” delle email (Mail User Agent) che formano il contenitore, per esempio l’insieme delle intestazioni tecniche strutturate che documentano l’instradamento del messaggio, la provenienza e altri parametri tecnici. 

L’Autorità per la protezione dei dati chiarisce che le indicazioni presenti nelle proprie guide si riferiscono solo a quelle menzionate nel punto 1, mentre quelle al punto 2 sono inseparabili dalla email della quale fanno parte e rimangono sotto il controllo esclusivo dell’utente che in ogni caso può impostare i termini di conservazione. 

Detto questo, il Garante conferma che la conservazione dei metadati al punto 1 deve essere limitata a pochi giorni. Il termine è stato esteso da 7 a 21 giorni ed è specificato si tratta di un termine consigliato. 

La conservazione generalizzata dei metadati per un più lungo periodo di tempo può avvenire solo dopo preventivo accordo con il sindacato, fermo restando la necessità di garantire il rispetto del principio di limitazione della conservazione dei dati. 

Le operazioni da fare da parte delle aziende 

Il problema è se, in una potenziale controversia, i tribunali considereranno le email dei dipendenti sufficienti senza i relativi metadati del server. In realtà, i dipendenti potrebbero pure contestare l’autenticità delle email se non sono accompagnate dai relativi metadati.

Conseguentemente alla nuova aggiornata versione delle linee guida, le aziende dovrebbero:

1. Verificare che i programmi di gestione della posta elettronica che si utilizzano consentano di rispettare quanto previsto nelle linee guida,
2. Se intendono conservare i metadati per più di 21 giorni, dovranno stipulare accordi con i sindacati o ottenere l’autorizzazione da parte dell’ispettorato del lavoro,
3. Aggiornare l’informativa sulla privacy per il personale specificando il periodo di conservazione applicabile ai metadati di posta elettronica,
4. Eseguire una DPIA e una LIA 5. Aggiornare la politica di conservazione dei dati.

Considerazioni finali

La decisione dell’Autorità della protezione dei dati riguardante la conservazione dei metadati delle email potrebbe avere un severo impatto nelle strategie di sicurezza informatica delle aziende italiane.

Nel mondo digitale l’intersezione tra sicurezza informatica e protezione dei dati non è mai stata così critica. Dato che le aziende devono fronteggiare un incremento degli attacchi informatici, la conservazione dei metadati delle email assume un ruolo principale nelle operazioni di salvaguardia e di conformità. Nell’ultimo anno la posizione dell’Autorità per la protezione dei dai ha posto l’attenzione, con le due pubblicazioni di dicembre e giugno, sulla sfida di riuscire a bilanciare la conservazione dei metadati delle email con la privacy dei dipendenti. In che modo le aziende possono districarsi tra queste nuove regole ma mantenendo solide misure di sicurezza informatica e aderendo ai requisiti del GDPR?

Decisione finale del Garante per la protezione dei dati personali

Il mese di giugno, il Garante per la protezione dei dati, ha aggiornato le limitazioni per la conservazione dei metadati delle email dei dipendenti. Inizialmente il periodo di conservazione era di 7 giorni esteso poi a 21 giorni. L’autorità ha pure chiarito che queste limitazioni non si applicano ai metadati all’interno delle caselle postali dei dipendenti, chiarendo una distinzione tra differenti tipi di metadati di posta elettronica. Non eliminando però il problema.

Le implicazioni per la sicurezza informatica

Anche se la decisione è stata ampiamente discussa per quanto riguarda la privacy dei dati, molta meno attenzione è stata posta sulle sue implicazioni riguardo la sicurezza informatica. In un periodo nel quale le minacce informatiche sono diffuse e sempre in continua evoluzione, la possibilità di analizzare i metadati delle email è fondamentale per rilevare, identificare e mitigare potenziali rischi.

1. Rilevamento e prevenzione delle minacce informatiche: i metadati delle email, come le informazioni su mittente e destinatario, timestamps, indirizzi IP, possono fornire preziose informazioni su attività insolite o sospette. Riducendo il periodo di conservazione si potrebbe limitare le capacità degli strumenti di sicurezza informatica a rilevare modelli e tendenze che indicano minacce informatiche.
2. Risposta e investigazione sugli incidenti: quando avviene un attacco informatico, avere accesso ai metadati storici delle email può essere vitale per le indagini forensi; questo permette ai team di sicurezza di tracciare l’origine dell’attacco, capirne la portata e elaborare le strategie per prevenirne in futuro. Se questi dati venissero eliminati troppo presto, si potrebbe compromettere l’efficacia degli sforzi nelle risposte agli incidenti. In effetti, gli attacchi informatici spesso avvengono a più di 6 mesi dal momento in cui l’autore della minaccia accede ai sistemi informatici della vittima
3. Conformità e considerazioni legali: molti settori sono soggetti a regolamentazioni che richiedono la conservazione di certi dati per un periodo esteso. Assicurare la conformità a queste normative e bilanciare al tempo stesso le preoccupazioni sulla privacy dei dati può essere difficile. Un robusto programma di conformità alla protezione dei dati è necessario per orientarsi tra queste complessità.

Bilanciare conservazione dei dati e privacy

La discussione sulla conservazione dei metadati delle email, caso solo italiano, sottolinea la necessità di un approccio bilanciato che prenda in considerazione sia le esigenze di sicurezza informatica che i regolamenti sulla privacy dei dati. Ribadiamo alcune considerazioni e azioni da mettere in atto:

• Negoziare con i sindacati: coinvolgere i sindacati e i rappresentati dei dipendenti può aiutare a raggiungere una politica di gestione dei metadati delle email che rispetti la privacy e allo stesso tempo tenga in forte considerazione le preoccupazioni sulla sicurezza informatica.
• Implementare un programma di conformità alla protezione dei dati strutturato: le aziende devono guardare al futuro, andare oltre le misure di emergenza o temporanee stabilendo programmi di conformità alla protezione dei dati ben strutturati e completi; che includano pure l’implementazione di una valutazione dell’impatto sulla protezione dei dati, una valutazione dell’interesse legittimo e una politica sull’utilizzo dei metadati delle email. Tuttavia, l’obiettivo più importante è provare che la conservazione dei metadati delle amail dei dipendenti non è finalizzata al monitoraggio dei dipendenti, ma essenziale per il funzionamento dell’azienda.
• Valutazione delle policy di conservazione: in modo periodico e regolare rivedere e aggiornare le policy di conservazione dei dati per la conservazione dei metadati delle email dei dipendenti diventa fondamentale in Italia. Ogni azienda dovrebbe valutare la necessità di conservare specifici tipi di metadati e tenere conto dei potenziali rischi e benefici che ne conseguono. Le aziende devono fornire prove riguardanti la necessità di conservare i metadati per un periodo più lungo di quello indicato dall’Autorità per la protezione dei dati italiana, cioè 21 giorni.

Le aziende devono adottare misure rigorose in materia di protezione dei dati e diritto del lavoro per giustificare un periodo di conservazione più lungo, dei 21 giorni indicati dal Garante, altrimenti potrebbero dover affrontare gravi sanzioni GDPR.