Privacy sul lavoro, i metadati delle e-mail non si possono conservare. Cosa sono e i rischi di controlli aziendali illegali

di Chiara Compagnucci pubblicato il 19/06/2025 alle 12:02

La gestione dei metadati delle e-mail aziendali solleva tematiche cruciali per la privacy dei lavoratori.

Ogni giorno, milioni di lavoratori utilizzano la posta elettronica aziendale per le comunicazioni interne ed esterne. Tuttavia, dietro l'apparente routine di invio e ricezione di messaggi si cela una questione rilevante: la gestione dei metadati connessi alle e-mail.

Negli ultimi anni, il tema è diventato oggetto di dibattito tra enti pubblici, aziende e autorità di controllo, soprattutto in seguito ai recenti provvedimenti del Garante per la protezione dei dati personali. L'attenzione si concentra su come la raccolta e la conservazione dei dati accessori legati ai messaggi possano impattare la riservatezza dei lavoratori e generare rischi di controlli illeciti da parte dei datori di lavoro.

Cosa sono i metadati delle e-mail e perché tutelarli

I metadati sono informazioni generate automaticamente dai sistemi di gestione della posta elettronica, distinte dal contenuto dei messaggi. Rientrano in questa categoria: indirizzo e-mail del mittente e del destinatario, data e ora d'invio o ricezione, indirizzo IP utilizzato, dimensione del messaggio e degli eventuali allegati, nonché l'oggetto.

Questi dati, denominati anche "log di trasporto", non sono direttamente visibili agli utenti e vengono acquisiti indipendentemente dalla loro volontà. Benché privi del contenuto testuale, i metadati offrono una mappatura dettagliata dei comportamenti digitali, delle interazioni e, indirettamente, delle abitudini per ciascun lavoratore. Proprio per la loro capacità di ricostruire tracciamenti e relazioni, la tutela dei metadati delle email sul luogo di lavoro è considerata prioritaria dalle autorità nazionali ed europee.

L'attività di raccolta e conservazione dei metadati è disciplinata da diversi riferimenti:

GDPR (Regolamento UE 2016/679): stabilisce che ogni trattamento di dati personali, inclusi i metadati, debba basarsi su liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione.
Statuto dei Lavoratori (Legge 300/1970): l'art. 4 vieta controlli a distanza sui lavoratori se non per precise finalità e previa informativa o accordo sindacale oppure autorizzazione dell'Ispettorato del lavoro.
Provvedimenti del Garante Privacy: il più recente (n. 364 del 6 giugno 2024) chiarisce limiti e modalità per la conservazione dei metadati.

Queste fonti convergono nel richiedere ai datori di lavoro trasparenza e limitazione temporale nella raccolta dei dati accessori derivanti dalla posta elettronica, bilanciando esigenze operative e tutela dei diritti dei lavoratori.

Rischi e violazioni: casi emblematici e sanzioni recenti

Negli ultimi mesi si sono registrati esempi significativi che evidenziano come la mancata osservanza delle regole sui metadati email può portare a gravi conseguenze:

Regione Lombardia: sanzionata per aver mantenuto i metadati delle e-mail dei dipendenti per 90 giorni, superando i limiti e senza accordi sindacali, configurando un controllo indiretto e sistematico sull'attività lavorativa. La sanzione ha raggiunto i 50.000 €.
Selectra S.p.A.: l'accesso non autorizzato e la mancata informativa in seguito al termine del rapporto lavorativo hanno determinato una violazione dei principi di liceità e correttezza previsti dal GDPR.

Le principali violazioni comprendono trattamento illecito dei dati senza informativa, conservazione eccedente il tempo necessario, mancata valutazione d’impatto, assenza di accordi sindacali dove richiesti. Le sanzioni irrogate riguardano sia il piano amministrativo sia, in caso di controlli non autorizzati sui lavoratori, anche profili penali secondo le norme vigenti.

Quali sono allora best practice e obblighi per le aziende? Come gestire correttamente i metadati?

Fornire un’informativa trasparente e comprensibile: aggiornare i lavoratori circa le modalità e tempi di trattamento dei dati personali, compresi i periodi di retention dei metadati.
Limitare la conservazione: i log dovrebbero essere mantenuti solo per il tempo strettamente necessario (orientativamente massimo 21 giorni), ad eccezione di comprovate esigenze organizzative o di sicurezza debitamente documentate.
Implementare misure tecniche adeguate: pseudonimizzazione, cifratura dei dati e controllo degli accessi garantiscono una maggiore protezione. L’accesso a questi dati va consentito esclusivamente al personale autorizzato e tracciato in modo rigoroso.
Evitare conservazioni o raccolte automatizzate non necessarie: disattivare funzioni di backup sistematico prive di giustificazione, con obbligo di documentazione in caso di deroghe.
Prevedere valutazioni d’impatto (DPIA): obbligatorie se il trattamento dei metadati comporta un rischio elevato per i diritti e le libertà dei dipendenti.

È essenziale che i responsabili del trattamento individuino chiaramente le finalità della raccolta e stabiliscano policy interne aggiornate, consultando i lavoratori e, dove richiesto, le rappresentanze sindacali.

Durata della conservazione dei metadati: limiti e margini di flessibilità

Il termine per la conservazione dei metadati generati dai sistemi e-mail è stato oggetto di aggiornamento da parte del Garante:

Periodo orientativo massimo: 21 giorni senza obbligo di accordi sindacali. Si tratta di un limite suggerito, non prescrittivo (accountability del titolare).
Deroghe possibili: è ammissibile una durata superiore solo in presenza di esigenze tecniche, organizzative o di sicurezza, oggettivamente documentate. In tal caso è necessaria una motivazione chiara e l'attivazione delle procedure previste dalla normativa giuslavoristica.
Oneri per il datore di lavoro: spetta alla singola azienda documentare e giustificare periodi di conservazione più lunghi, aggiornando le policy privacy interne.

Scadenza	Adempimenti necessari
≤ 21 giorni	Conservazione ammessa senza ulteriori procedure
> 21 giorni	Motivazione tecnica, eventuale accordo sindacale/autorizzazione, DPIA

La gestione temporale dei metadati deve essere sempre proporzionata alle finalità e adeguatamente argomentata.

I controlli sui lavoratori: quando sono leciti e quali garanzie servono

I controlli tramite strumenti digitali, compresi quelli che coinvolgono i metadati e-mail, devono rispettare precise condizioni. Sono leciti solo se legati alla sicurezza dei sistemi, alla tutela del patrimonio aziendale, al rispetto degli obblighi di legge. In ogni altro caso, occorre:

Fornire una preventiva informativa chiara ai dipendenti
Limitare la raccolta dei dati agli elementi essenziali per la finalità dichiarata
Attivare, se previsto, il coinvolgimento sindacale o l’autorizzazione dell’Ispettorato del lavoro

L’utilizzo di dati raccolti per finalità diverse da quelle dichiarate è espressamente vietato. L’accesso al contenuto delle caselle e-mail, o alla consultazione dei relativi metadati, deve sempre essere circoscritto, motivato e oggetto di tracciamento.

La normativa e i provvedimenti del Garante lasciano una certa discrezionalità ai datori di lavoro, pur gravandoli di responsabilità notevoli. Le principali criticità segnalate sono:

Ambiguità sulla definizione tecnica di metadati: non sempre è chiaro quali dati rientrino nel perimetro soggetto a limitazione temporale.
Responsabilità sulla conservazione: i datori di lavoro devono poter dimostrare, anche ex post, la proporzionalità delle scelte adottate in tema di conservazione dei log, specialmente in assenza di vincoli tecnici sui sistemi in uso (ad esempio, servizi cloud gestiti da terzi).
Difficoltà di implementazione nelle PMI: le micro e piccole imprese a volte non hanno gli strumenti (nemmeno contrattuali) per incidere sui processi tecnici dei provider.
Conflitto tra esigenze operative e compliance: in alcuni contesti operativi il termine orientativo di 21 giorni può non essere sufficiente a garantire la valenza probatoria necessaria.

La responsabilità di dimostrare la correttezza e la liceità delle scelte adottate è in capo al titolare del trattamento, che deve essere pronto a renderne conto a fronte di eventuali controlli o reclami.