Vietato conservare la mail 10 anni
Il Garante ha fornito indicazioni concrete di applicazione delle regole riguardanti comunicazioni elettroniche e smartphone Il datore di lavoro non può archiviare la posta dell’ex dipendente per un lungo periodo
pIl datore di lavoro non può accedere in maniera indiscriminata alla posta elettronica aziendale e ai dati personali contenuti negli smartphone forniti al personale: l’acquisizione di questi dati è lecita, infatti, solo se sono avviene nel rispetto dei criteri generali definiti dal codice della privacy.
Il provvedimento 547 del 22 dicembre 2016 del Garante della privacy, diffuso lo scorso 17 febbraio, conferma le indicazioni già desumibili dagli orientamenti precedenti, ma risulta comunque molto importante in quanto fornisce esempi concreti su come applicare tali orientamenti.
L’intervento del garante scaturisce dal reclamo proposto da un dipendente contro il trattamento di dati personali effettuato dall’ex datore di lavoro, il quale - anche dopo la fine del rapporto, intervenuta per licenzia- mento - non aveva disattivato immediatamente l’account di posta elettronica aziendale usato dal lavoratore, identificato con il suo nome e cognome.
Il datore di lavoro aveva conservato la possibilità di accedere a tutte le e-mail, in entrata e in uscita, e aveva prelevato alcuni file presenti sui sistemi aziendali ma contenenti informazioni personali relative al lavoratore; inoltre, l’azienda aveva collocato queste comunicazioni elettroniche presso un server destinato a conservarle per 10 anni.
Il Garante esclude che il datore di lavoro possa raccogliere i dati contenuti nelle comunicazioni elettroniche in transito sull’account usato dal dipendente, dopo la cessazione del rapporto di lavoro, senza averlo informato preventivamente circa le modalità e le finalità di raccolta e conservazione dei dati, e circa i tempi entro i quali l’account di posta elettronica continuerà a essere attivo dopo la fine del rapporto di lavoro.
Queste informazioni devono essere date in quanto sussiste l’obbligo, in capo al titolare del trattamento dei dati, di fornire una preventiva informativa circa le caratteristiche essenziali dei trattamenti effettuati, in attuazione del principio di correttezza fissato dal Codice della privacy.
Il Garante considera illecita anche la mancata disattivazione dell’account di posta elettro- nica aziendale dopo la cessazione del rapporto di lavoro senza informazione adeguata all’interessato e ai terzi.
Confermando un orientamento già espresso in precedenti occasioni, il Garante stabilisce che la rimozione degli account riconducibili a persone identificate (o identificabili) deve essere accompagnata dall’adozione di sistemi automatici volti a informarne i terzi e a fornire a questi ultimi indirizzi alternativi, in modo che non si interrompano le comunicazione relative all’attività professionale del titolare del trattamento.
Viene inoltre censurata la durata eccessiva (10 anni) del periodo di conservazione sui server aziendali dei dati e dei contenuti delle comunicazioni elettroniche intrattenute dal dipendente.
Tale durata sarebbe lecita solo se l’azienda dimostrasse la sua coerenza con le ordinarie neces-
L’INDICAZIONE Il lavoratore, anche se lascia l’azienda, deve essere informato su modalità e finalità di gestione dei dati, nonché sui tempi