Conservazione metadati e-mail: oltre i 21 giorni serve una DPIA

Il Garante della Privacy ha definito nuovi limiti alla conservazione dei metadati delle e-mail. È consentita fino a 21 giorni senza necessità di accordi sindacali o autorizzazioni dell’Ispettorato del Lavoro, purché vi sia un’informativa trasparente ai dipendenti. Oltre questo termine, servono una valutazione d’impatto (DPIA) e, in assenza di esigenze tecniche documentate, un accordo sindacale o un’autorizzazione dell’Ispettorato Territoriale del Lavoro. Va notato che l’impossibilità tecnica di impostare i limiti (ad esempio per un default di Microsoft o Google) non è una giustificazione sufficiente.

Attenzione ai log di navigazione: 90 giorni è il termine massimo

La raccolta dei log di navigazione è soggetta agli stessi vincoli. Nessun obbligo se la navigazione è bloccata a monte. Ma se vengono registrati accessi o tentativi, è necessario predisporre DPIA, accordo sindacale o autorizzazione, e limitare la conservazione a 90 giorni. I 365 giorni spesso previsti dai fornitori sono ritenuti illegittimi.

Che cosa devono fare le aziende?

I datori di lavoro sono responsabili anche per i trattamenti automatizzati dei fornitori. Occorre:
– rivedere le policy interne di conservazione log/email;
– verificare le impostazioni tecniche dei software in uso;
– adottare o aggiornare la DPIA;
– coinvolgere i sindacati o l’ITL dove richiesto.

Servizi IT ti offre consulenza per effettuare un’analisi di conformità legislativa e supporto tecnico per la revisione dei sistemi di posta, logging e navigazione. Contattaci per un check-up gratuito.