Come precisato dall’Autorità Garante della privacy, il contenuto dei messaggi di posta elettronica – come pure i dati esteriori delle comunicazioni e i documenti allegati – riguardano forme di corrispondenza assistite da garanzie di segretezza, oggetto di tutela anche costituzionale (15 Cost.), sicché anche nel contesto lavorativo, con riferimento all’indirizzo di posta aziendale o istituzionale, sussiste una legittima aspettativa di riservatezza in relazione ai messaggi oggetto di corrispondenza (provv. 4 dicembre 2019, n. 216).

La conservazione dei metadati relativi all’utilizzo della posta elettronica dei dipendenti, ancorché sul presupposto della sua necessità per finalità di sicurezza informatica, può comportare un indiretto controllo a distanza dell’attività dei lavoratori, il che è consentito nei limiti ed alle condizioni fissate dall’art. 4 St. Lav.

La generalizzata raccolta e conservazione, per un periodo esteso, dei metadati relativi all’utilizzo della posta elettronica da parte dei dipendenti non possono essere ricondotte all’ambito di applicazione del secondo comma dell’art. 4 rientrando, piuttosto, tra gli strumenti funzionali alla tutela dell’integrità del patrimonio informativo del titolare nel suo complesso, di cui al comma 1 del medesimo articolo, con conseguente operatività delle procedure di garanzia ivi previste. Il trattamento in questione, dunque, è stato ritenuto in contrasto non solo con la disciplina di settore in materia di controlli a distanza, ma anche con la normativa in materia di protezione dei dati personali.

Si è escluso, infine, che possa essere invocato, ai fini della liceità del complessivo trattamento, il perseguimento di un legittimo interesse in quanto, in linea generale, i trattamenti conseguenti all’impiego degli strumenti tecnologici nei luoghi di lavoro, da cui può derivare un controllo indiretto sull’attività lavorativa, trovano la propria base giuridica nella disciplina di settore di cui all’art. 4 St. Lav.