Il Garante per la protezione dei dati personali torna a occuparsi dei controlli digitali sui dipendenti e, con un provvedimento sanzionatorio reso noto a fine maggio, ha colpito la Regione Lombardia per la gestione delle email aziendali e degli accessi a internet nei luoghi di lavoro. Al centro del caso, la conservazione dei metadati — ossia le informazioni relative a orari, destinatari e tentativi di accesso — per un periodo di 21 giorni senza il necessario accordo sindacale o, in alternativa, l’autorizzazione dell’Ispettorato del lavoro.
Il Garante ribadisce così una posizione già espressa nel documento di indirizzo del giugno 2024: la conservazione dei dati generati dai sistemi di posta elettronica aziendale oltre il termine di 21 giorni — ritenuto sufficiente a garantire il funzionamento e la sicurezza dell’infrastruttura — configura un controllo a distanza dell’attività lavorativa, soggetto alle tutele previste dall’articolo 4 dello Statuto dei lavoratori.
La vicenda riapre il dibattito sull’equilibrio tra le esigenze organizzative e produttive dei datori di lavoro e il diritto alla riservatezza dei dipendenti in un contesto digitale in continua evoluzione. Secondo il Garante, strumenti come email e accesso a internet, anche se necessari per lo svolgimento delle mansioni, non possono essere monitorati liberamente, pena il rischio di ledere i diritti fondamentali dei lavoratori sanciti dalla Costituzione e dalle convenzioni europee.
Inoltre, l’Autorità sottolinea come, in un mondo digitale dove ogni strumento lascia traccia dell’attività svolta, il confine tra controllo legittimo e sorveglianza indebita diventi sempre più sottile. Per questo motivo, ribadisce l’obbligo di accordi sindacali o autorizzazioni ispettive per qualsiasi attività di monitoraggio sistematico o potenzialmente invasiva.
La sanzione comminata alla Regione Lombardia rappresenta un ulteriore segnale dell’approccio rigoroso adottato dal Garante in materia di privacy nei luoghi di lavoro, soprattutto quando le aziende non disciplinano in modo chiaro e trasparente l’utilizzo degli strumenti digitali da parte dei dipendenti, né informano adeguatamente sulle modalità e finalità dei controlli.
Articoli simili
Privacy e IA, il Garante alza l’attenzione: aumentano data breach, deepfake e controlli
La Relazione annuale dell'Autorità fotografa un ecosistema digitale sempre più complesso: nel 2025 notificati 2.415 data breach (+10%), oltre 37 milioni di euro di sanzioni…
Una PEC può costare caro: il Garante richiama gli avvocati sulla privacy digitale
E-mail inviate al destinatario sbagliato, link condivisi senza protezioni e documenti accessibili a terzi: la Relazione 2025 del Garante mette in guardia i professionisti. La…
Privacy, le iniziali non bastano: il Garante cambia le regole dell’anonimato
Una scuola sanzionata per aver reso identificabile uno studente nonostante l'uso delle sole iniziali. Il provvedimento del Garante chiarisce un principio destinato a incidere su…
