Il GDPR, sulla base giuridica del legittimo interesse, consente al Titolare del trattamento di trattare dati personali relativi al traffico in misura strettamente necessaria e proporzionata per garantire la sicurezza delle reti e dell’informazione (Considerando 49) e per finalità di prevenzione delle frodi (Considerando 47). In questo contesto, è possibile conservare all’interno di apparati informatici di rete, come i firewall, i log generati dalle connessioni degli utenti a Internet: si tratta di file di testo che tracciano le attività digitali.
Senza entrare troppo nei dettagli tecnici, tali log sono strumenti fondamentali per i tecnici informatici, ad esempio per ricostruire la dinamica di un attacco informatico oppure come strumento forense per individuare le cause e le responsabilità in caso di violazione dei dati personali (data breach). Inoltre, fatto non trascurabile, l'acquisizione forense di questi log è uno strumento di indagine essenziale per l'autorità giudiziaria per esempio nel caso di ipotesi di reato di corruzione all'interno di un'amministrazione pubblica.
Tuttavia, un interrogativo ha a lungo posto dubbi ad Amministratori di Sistema, IT coordinator e DPO: per quanto tempo è lecito conservare questi log?
Con il provvedimento n. 243 del 29 aprile 2025, il Garante per la protezione dei dati personali è tornato sul tema, sanzionando la Regione Lombardia con una multa di 50.000 euro per aver conservato:
-
per 90 giorni, i metadati generati dai sistemi di gestione della posta elettronica dei dipendenti;
-
per 365 giorni, i log di navigazione Internet.
Il tutto senza le necessarie garanzie procedurali. In particolare, la Regione ha violato:
-
l’art. 4, comma 1, della Legge n. 300/1970 (Statuto dei lavoratori), che disciplina l’utilizzo di strumenti di controllo a distanza;
-
l’art. 35 del GDPR, non avendo effettuato una valutazione d’impatto sulla protezione dei dati personali (DPIA)
Nel provvedimento, il Garante ribadisce che i metadati della posta elettronica e i log di navigazione sono dati personali. La loro raccolta sistematica e generalizzata può costituire una forma di controllo a distanza dell’attività lavorativa e, in quanto tale, richiede l’attivazione delle garanzie previste dall’art. 4 dello Statuto dei lavoratori, quando ricorrono determinate condizioni.
Inoltre, trattandosi di attività che comportano rischi elevati per i diritti e le libertà dei dipendenti – considerati soggetti vulnerabili per via del rapporto di subordinazione – il ricorso alla DPIA è obbligatorio. La mancata effettuazione di tale valutazione configura una violazione dell’art. 35 del GDPR.
Già con il Documento di indirizzo del 6 giugno 2024, Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati, il Garante Privacy aveva chiarito che:
-
la conservazione dei metadati archiviati nei propri sistemi cloud, che corrispondono tecnicamente alle informazioni registrate nei log generati dai sistemi server di gestione e smistamento della posta elettronica (MTA = Mail Transport Agent), della posta elettronica dei dipendenti deve essere limitata nel tempo, preferibilmente non oltre i 21 giorni;
-
una conservazione oltre i 21 giorni è legittima solo se il Titolare:
-
segue le procedure dell’art. 4, comma 1, dello Statuto dei lavoratori;
-
dimostra l’esistenza di specifiche e concrete esigenze tecniche o organizzative, come esigenze di sicurezza legate al funzionamento del servizio e-mail (ma non genericamente alla sicurezza informatica dell’organizzazione).
-
In sintesi, l’orientamento del Garante sui log di navigazione internet è chiaro:
-
I log di navigazione internet devono essere conservati non oltre i 21 giorni, salvo comprovate esigenze tecniche, non generici riferimenti alla esigenze di cybersecurity.
La DPIA è sempre obbligatoria, poiché i dati personali sono riferiti a soggetti vulnerabili (i lavoratori).
L'informativa privacy relativa ai dipendenti deve contenere informazioni riguardo alle modalità di trattamento dei log di navigazione internet, in particolare le tempistiche di data retention.
Disciplinari tecnici, regolamenti e procedure interne devono contenere riferimenti non generici ai motivi per i quali il Titolare del trattamento trattiene questi log.
L'accesso a questi log è riservato a specifici soggetti espressamente autorizzati dal Titolare del trattamento, per esempio prevedendone l'inserimento nei compiti dell'Amministratore di Sistema.
-
La conservazione oltre tale termine richiede l’attivazione delle procedure di garanzia previste dall’art. 4, comma 1, dello Statuto dei lavoratori (accordo sindacale o autorizzazione dell’Ispettorato del Lavoro).
Commenti
Posta un commento