Nonostante l’emanazione del Documento di indirizzo del 6 giugno 2024 sui metadati di posta elettronica e i numerosi provvedimenti emanati dall’Autorità Garante, la conservazione e la corretta gestione dei file di log prodotti dalla navigazione web e dei metadati di posta elettronica dei dipendenti risultano ancora molto problematiche per le aziende, come anche dimostrato dal recente Provvedimento sanzionatorio contro la Regione Lombardia di 50.000 euro.
Di seguito troverete i principali insegnamenti che possiamo trarre dal provvedimento sanzionatorio.
Indice
Le prassi aziendali
Molte realtà aziendali conservano tutti i log relativi alla navigazione web effettuata dai dipendenti, compresi i tentativi falliti di accesso ai siti inseriti nelle black-list.
La finalità di queste conservazioni prolungate sono solitamente più che legittime, tutte riconducibili alla necessità di tutelare il proprio patrimonio informatico e quindi il patrimonio aziendale generalmente inteso.
Infatti, è noto che l’analisi dei log della navigazione web è uno dei fattori da tenere in considerazione per valutare comportamenti anomali potenzialmente pericolosi nel lungo periodo, ma nel caso in cui sia possibile risalire al singolo dipendente che ha effettuato tale operazione web, è necessario porre attenzione agli aspetti legati alla privacy dei lavoratori per evitare di incorrere in sanzioni.
Ecco spiegato come:
Le problematiche privacy sulla conservazione dei LOG
I controlli a distanza
Come sappiamo, l’articolo 4 dello Statuto dei lavoratori si applica a tutte quelle situazioni in cui sussiste anche solo l’attratta possibilità di controllo a distanza dell’attività del lavoratore, indipendentemente dal comportamento effettivo datoriale.
(Per ulteriori esempi, se veda anche: Videosorveglianza e controllo datoriale ecco le regole da rispettare).
Spesso risulta che il trattamento dei dati personali effettuato dagli amministratori di sistema consenta alle aziende di conoscere giorno, ora e sito consultato da ogni singolo terminale, e, in presenza di un collegamento diretto e univoco con il dipendente e con la sua specifica postazione di lavoro, è possibile assistere ad una raccolta sistematica di dati relativi all’attività e all’utilizzo dei servizi di rete da parte dipendenti direttamente identificabili.
A parere del Garante, la preventiva e generalizzata raccolta e la conservazione prolungata di questi file di log non sono di per sé illegittime, se giustificate da esigenze di tutela del patrimonio aziendale, ma possono in ogni caso comportare un indiretto controllo a distanza dell’attività e dell’utilizzo dei servizi di rete da parte dei lavoratori, richiedendo quindi di assicurare il rispetto delle garanzie procedurali previste dall’art. 4, comma 1, della l. 20 maggio 1970, n. 300.
Come rendere la conservazione di log conforme allo Statuto dei Lavoratori
Appurato che la conservazione e il monitoraggio dei log file da parte dell’azienda corrisponde ad una concreta necessità di prevenire gli attacchi informatici, il secondo passaggio da seguire per il rispetto dell’articolo 4 dello Statuto dei Lavoratori riguarda:
- L’apertura di un tavolo negoziale con le rappresentanze sindacali aziendali, al fine di stipulare un Accordo che disciplini alcuni aspetti rilevanti come i tempi di conservazione e le modalità di trattamento dei file di log di navigazione web; (Vedi anche: l‘Accordo sindacale può derogare il GDPR?)
Nel caso in cui i sindacati non volessero concludere l’Accordo aziendale o nel caso in cui le rappresentanze sindacali non siano state costituite in azienda, è possibile rivolgersi all’Ispettorato Territoriale del Lavoro presentando una specifica istanza autorizzativa. (Vedi l’apposito modulo pre-compilato)
- In secondo luogo, andranno rispettate le diposizioni del GDPR applicabili ad ogni trattamento dati, con particolare riferimento alla fornitura di un’informativa privacy specifica sul trattamento dei log file da consegnare ai dipendenti coinvolti.
- In terzo e ultimo luogo andranno formulati dei chiari Regolamenti aziendali che contengano le corrette modalità di utilizzo della rete aziendale e le modalità di effettuazione dei controlli sulla rete e/o dispositivi.
Si badi bene che quest’ultime tipologie di controlli possono avvenire solo nel rispetto di precisi limiti, ecco spiegato di seguito quali:
Le modalità di effettuazione dei controlli
Il Garante, chiarisce che i principi di necessità e proporzionalità impongono di privilegiare misure preventive che rendano assolutamente residuali i controlli più invasivi, legittimandoli solo a fronte della rilevazione di specifiche anomalie (ad esempio la riscontrata presenza di virus) e comunque all’esito dell’esperimento di misure meno limitative dei diritti dei lavoratori.
Il datore di lavoro deve, quindi, preferire un controllo preliminare e casuale su dati anonimi o aggregati che si riferiscano all’intera struttura aziendale o ad alcune delle sue aree, prevedendo, ad esempio, di poter accedere ai log di navigazione in Internet al ricorrere di due specifici ordini di casistiche, ad esempio:
- In caso di rilevazione di particolari, motivate e predeterminate anomalie di traffico, oggetto di puntuale ricognizione e catalogazione da parte dell’azienda;
In questo caso, le attività di verifica devono essere svolte in un’ottica di gradualità e progressività a livello di singole strutture organizzative e non a livello individuale, limitando la possibilità di interventi granulari e puntuali sulla singola postazione di lavoro ai soli casi di previo e infruttuoso esperimento di verifiche a livello aggregato in azienda.
- In caso di richiesta dell’autorità giudiziaria.
La valutazione di impatto
Abbiamo già affrontato il tema delle casistiche soggette ad una preventiva Valutazione di impatto sulla protezione dei dati (Vedi ad esempio: Smart Working a prova di privacy: l’opinione del Garante)
Anche nell’ambito della raccolta e conservazione dei file di log di navigazione, siamo in presenza di diversi elementi che suggeriscono il carattere obbligatorio di tale Valutazione ai sensi dell’art. 35 GDPR:
- In considerazione della particolare “vulnerabilità” degli interessati nel contesto lavorativo;
- In considerazione dei rischi, in termini di “monitoraggio” dell’attività dei dipendenti.
Come confermato dal Garante, questa attività comporta di conservazione comporta dei rischi specifici per i diritti e le libertà degli interessati, facendo scattare l’obbligo di effettuare tale valutazione.
LE BEST PRACTICES
All’interno del provvedimento sanzionatorio contro la Regione Lombardia, nell’ambito del quale sono state rilevate, tra le altre cose, l’assenza dell’accordo sindacale (per la conservazione di 90 giorni dei metadati di posta elettronica e la conservazione per 12 mesi dei log di navigazione web dei dipendenti);
Il Garante ha suggerito alcune misure utili per la conformità normativa di tale conservazione e che riportiamo di seguito integralmente:
- l’anonimizzazione dei log relativi ai tentativi di accesso ai siti web;
- la riduzione a 90 giorni del termine di conservazione dei log di navigazione in Internet, con possibilità di conservazione per un periodo ulteriore previa anonimizzazione degli stessi.
- la cifratura del dato concernente i nomi dei dipendenti assegnatari della macchina
- che il trattamento dei dati in questione venga in ogni caso effettuato da un numero strettamente limitato di persone fisiche autorizzate e a tal fine appositamente selezionate, che dovranno essere destinatarie di designazione espressa e istruzioni specifiche in relazione ai rischi connessi al trattamento in questione.
CONCLUSIONI
L’esperienza ci insegna che molte aziende sono ancora restie al confronto sindacale su questi temi, temendo un qualche tipo di blocco o ritorsione in caso delle aperture delle trattative e dimenticando i rischi che si potrebbero palesare su più fronti in caso di mancata apertura dei tavoli negoziali:
- dal punto di vista amministrativo, attraverso le sanzioni comminate dal Garante per la Protezione dei Dati;
- dal punto di vista civilistico, attraverso le richieste di risarcimento danni provenienti dai lavoratori;
- dal punto di vista processuale, poiché il mancato rispetto delle procedure di garanzia dell’articolo 4 dello Statuto dei Lavoratori rischia di rendere inutilizzabili i dati raccolti, rendendo illegittimi e impugnabili i licenziamenti basati su tali dati;
- dal punto di vista penalistico, con l’applicazione dell’articolo 38 dello Statuto dei Lavoratori ai sensi dell’art. 171 del Codice privacy
Ai fini dell’adempimento normativo, il datore di lavoro non è tenuto a siglare l’Accordo sindacale, ma è solo tenuto ad instaurare una trattativa che, se infruttuosa, gli consente di presentare le medesime richieste all’Ispettorato del Lavoro per vedersi autorizzato il relativo trattamento.
È importante segnalare, come anche proposto da tempo dal medesimo Garante (si veda il Provvedimento del 2016) che esistono altri strumenti pure utili al conseguimento di una elevata sicurezza della rete aziendale che non necessitano il trattamento dei dati dei dipendenti, fuoriuscendo quindi dall’ambito applicativo dell’art. 4 Stat. lav. come ad es. sistemi di protezione perimetrale, firewall – in funzione antintrusione e sistemi di prevenzione e rilevamento di intrusioni (IPS/IDS) – agenti su base statistica o con il ricorso a sorgenti informative esterne ecc…
