Metadati email: sette giorni non danno un via libera automatico

Per i soli log necessari al funzionamento della posta dei dipendenti, il documento aggiornato del Garante indica di norma pochi giorni e, a titolo orientativo, non oltre 21 giorni. Non è un periodo da applicare automaticamente: il datore di lavoro deve dimostrare quali dati servono, per quale finalità e per quanto tempo.

La ricostruzione di CNA Modena ricorda che il precedente orientamento indicava sette giorni, estensibili di 48 ore per esigenze comprovate. Quel termine è stato aggiornato. Anche scegliere una durata inferiore al riferimento attuale non rende lecita, da sola, una raccolta generalizzata destinata a controllare l’attività dei lavoratori.

Individuare i log prima di stabilire la durata

Un messaggio resta nella casella email mentre il relativo log di trasporto segue un percorso separato.

L’inventario deve riguardare le registrazioni prodotte durante l’invio, la ricezione e lo smistamento dei messaggi. Possono includere indirizzi del mittente e del destinatario, data e ora, indirizzi IP, dimensione del messaggio, informazioni sugli allegati e, in alcuni sistemi, l’oggetto. La combinazione di questi campi permette di ricostruire contatti e abitudini di comunicazione anche senza leggere il testo delle email.

Occorre distinguere tali log dal messaggio conservato nella casella del dipendente. Le intestazioni tecniche integrate nel messaggio ne fanno parte; il riferimento temporale per i log separati non stabilisce quando cancellare la corrispondenza dalla casella. Per ogni funzione del servizio, annotate quindi quali campi vengono generati, in quale archivio finiscono e se restano disponibili attraverso ricerca dei messaggi, rapporti di consegna, assistenza o funzioni di sicurezza.

La verifica va fatta sulla configurazione effettiva, non soltanto sulla descrizione commerciale del servizio. Due funzioni possono registrare lo stesso scambio in archivi diversi, con tempi di cancellazione e permessi differenti. Se l’oggetto viene acquisito, va chiarito quale necessità concreta ne giustifica la presenza nel log.

Separare il termine ordinario dagli altri percorsi

La scelta dipende dalla finalità della raccolta e dalle caratteristiche tecniche del sistema. Per rendere la decisione verificabile, conviene distinguere tre situazioni prima di impostare la scadenza.

Funzionamento ordinario. Individuate i soli log necessari al corretto funzionamento e al regolare utilizzo della posta, comprese le essenziali garanzie di sicurezza. Scegliete il periodo in base ai tempi necessari a individuare e risolvere problemi di invio, ricezione o instradamento; il riferimento orientativo non impone di conservare ogni log fino al suo limite.
Estensione motivata per la stessa finalità. Se serve conservare più a lungo i log necessari al funzionamento, documentate le particolari condizioni tecniche e organizzative che rendono indispensabile l’estensione. La motivazione deve spiegare quali registrazioni occorrono e perché un termine più breve non soddisfa l’esigenza individuata.
Raccolta per finalità ulteriori. Se i log sono raccolti e conservati in modo generalizzato per esigenze diverse dal funzionamento della posta, valutate la possibilità di controllo indiretto a distanza. Quando si applicano le garanzie dell’articolo 4 dello Statuto dei lavoratori, occorre il percorso previsto dalla norma: accordo sindacale oppure autorizzazione pubblica, insieme a una finalità lecita e a un periodo proporzionato.

Quando è necessaria l’autorizzazione, le istruzioni dell’Ispettorato nazionale del lavoro prevedono che l’istanza preceda l’installazione degli strumenti dai quali possa derivare un controllo a distanza. Ridurre il tempo di conservazione non modifica la finalità per cui i dati vengono raccolti. I lavoratori devono inoltre ricevere informazioni coerenti con il trattamento effettivo, inclusi tempi e possibili controlli.

Compilare una matrice per il servizio cloud

Una matrice per funzione rende visibili le differenze tra ciò che l’azienda ha deciso e ciò che il fornitore ha impostato in origine. Per ogni archivio riportate campi registrati, finalità, durata configurata, decorrenza del termine, possibilità di ridurre o disattivare la raccolta, esportazioni disponibili, soggetti autorizzati e prova dell’impostazione applicata.

Raccolta e valori iniziali. Controllate separatamente tracciamento dei messaggi, rapporti di consegna, assistenza e funzioni di sicurezza. Verificate se ciascuna raccolta è attiva per impostazione predefinita e se l’amministratore può limitarne i campi o disattivarla.
Durata effettiva. Accertate da quale evento parte il conteggio, quando il dato viene cancellato e se il termine configurabile riguarda tutti gli archivi. Un’impostazione della ricerca principale non descrive necessariamente la durata di rapporti e copie.
Vincoli del fornitore. Se una funzione non consente la riduzione necessaria, chiedete quali opzioni contrattuali o tecniche siano disponibili. Registrate la risposta e valutate il servizio sulla base di ciò che permette davvero di configurare.
Permessi. Distinguete chi può cercare i log, esportarli e richiederli all’assistenza. Assegnate gli accessi ai soli soggetti autorizzati e istruiti, secondo i compiti svolti, e conservate la tracciatura delle consultazioni.
Documentazione. Conservate la configurazione applicata e la ragione della durata scelta. Informativa ai dipendenti e documentazione interna devono descrivere gli archivi e gli utilizzi effettivi, non un’impostazione prevista ma mai attivata.

Verificare copie esportate e cambiamenti del servizio

Un’esportazione CSV conserva metadati della posta anche dopo la fine della ricerca diretta nel servizio.

La scadenza della ricerca nel servizio non chiarisce che cosa accade ai file già esportati. Un CSV scaricato, un rapporto conservato nell’area amministrativa o una copia ottenibile tramite assistenza possono mantenere consultabili gli stessi metadati. Nella matrice distinguete perciò la cancellazione del log originario dalla disponibilità delle sue copie.

Per ogni esportazione, registrate chi può avviarla, dove viene salvata, chi vi accede e quando viene eliminata. Se il fornitore conserva registrazioni per conto dell’azienda, chiarite come si ottengono i dati e quali informazioni fornisce sulla loro cancellazione. La gestione tecnica affidata al fornitore non sostituisce la decisione del datore di lavoro su finalità e durata.

Ripetete la verifica quando una modifica del servizio aggiunge campi, cambia i permessi, introduce un archivio o altera le esportazioni. Il controllo periodico deve riguardare la configurazione in uso e le copie ancora accessibili: sono queste, insieme alla finalità, a determinare per quanto tempo i metadati restano concretamente disponibili.