E’ possibile raccogliere i log di navigazione in Internet e i metadati delle e-mail dei dipendenti? Si’, ma esclusivamente in presenza di specifiche condizioni e garanzie.
Ad affermarlo il Garante Privacy, in un provvedimento che giunge al termine di un ciclo ispettivo dell’Autorità per verificare l’osservanza della normativa privacy da parte della Regione Lombardia nell’ambito dei trattamenti dei dati dei dipendenti, anche nel caso dello svolgimento del lavoro agile.
Dall’ispezione effettuata è risultato che la Regione raccoglieva e conservava i log di navigazione in Internet – consistenti in informazioni inerenti ai siti web visitati dai dipendenti, inclusi quelli relativi ai tentativi falliti di accesso ai siti censiti in una apposita black list – senza aver stipulato un accordo collettivo con le rappresentanze sindacali e senza aver adottato adeguate garanzie a tutela dei lavoratori.
Tale trattamento consentiva, tra l’altro, al datore di lavoro di entrare in possesso di informazioni non attinenti all’attività lavorativa e relative alla sfera privata dei dipendenti.
Inoltre, non era stato inizialmente siglato alcun accordo per il trattamento dei metadati di posta elettronica dei lavoratori.
Il Garante Privacy, pur prendendo atto delle iniziative intraprese dalla Regione nel corso dell’istruttoria per conformare i trattamenti alla normativa privacy, oltre alla somministrazione di una sanzione amministrativa, ha indicato una serie di misure correttive da porre in atto, quali:
- l’anonimizzazione dei log relativi ai tentativi di accesso falliti ai siti web censiti nella black-list;
- la cifratura del dato concernente i nomi dei dipendenti assegnatari dei pc portatili;
- la riduzione del termine di conservazione di tali dati.
