Logorio da Log: scusate, abbiamo solo scherzato.

Il Garante torna sull'atavico e irrisolto trauma dei Log e dei Metadati delle Email, un'epopea iniziata anni fa, ai tempi di Regione Lazio, culminata poi con la doppietta scoppiettante del "Documento di indirizzo" e della sua subitanea e vergognosa rettifica. Una sconcertante raffica di cialtronate, culminate con la transustanziazione del metadato, sulla quale mi sono ampiamente dilungato. Una vicenda che non finisce certamente oggi ma che, al contrario, si arricchisce di un nuovo ed interessante tassello, difficile da incastrare in questo bizzarro puzzle, sconquassato da una prassi applicativa molto emotiva e poco caratterizzata da elementi di diritto.

Ecco la consueta sintesi del provvedimento elaborata dal collaudato servizio WOW:

Siamo nel mondo dei sogni e, quindi, ci raccontiamo una bella favoletta.

C'era una volta... un reclamo presentato da un lavoratore in servizio presso il Comune di Chivasso... che portò al Provvedimento del 14 luglio 2026 (Doc-Web 10286374), emesso dal Garante per sanzionare il trattamento illecito e la conservazione sistematica dei metadati e file di log dei messaggi di posta elettronica dei lavoratori del comune.

Il mio interesse nella vicenda riguarda la normativa che legittima il trattamento: i controlli datoriali, disciplinati dall'articolo 4 dello statuto dei lavoratori (di seguito, "articolo 4"), lo stesso che disciplina gli impianti di videosorveglianza, in particolare, il confine applicativo tra il comma 1 (controlli sul patrimonio aziendale e sicurezza informatica generale, soggetti ad accordo sindacale o autorizzazione amministrativa) e il comma 2 (strumenti necessari a rendere la prestazione lavorativa, esenti da tali adempimenti) dell'articolo 4. L'intreccio tra questa norma e il GDPR è profondo: la liceità rispetto allo statuto dei lavoratori fonda la legittimazione del trattamento che, solo allora, potrà essere preso in considerazione per verificare la sua conformità al GDPR. Si può dire che il GDPR preceda l'articolo 4 e che il trattamento debba nascere conforme a tutti i suoi principi (liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza, responsabilizzazione, PbD, ecc) ma, senza la corretta e rigorosa attuazione di quest'ultima singola norma dello statuto, risulterà comunque sempre illegittimo.

Leggendo il provvedimento, ho l'impressione che il Comune stesse per fare un disastro, una tragedia, ma che, a un certo punto, lavorando un po' sulla "narrazione", sia magicamente riuscito a trasformare tutto in farsa, evitando una pesante sanzione, a catturare le simpatie e la benevolenza del Garante, tanto da mutarne l'orientamento sanzionatorio verso un semplice ammonimento.

1. Antefatto

Il Comune di Chivasso disponeva di un "Disciplinare per l'utilizzo delle risorse informatiche" e aveva previsto la registrazione temporanea dei file di log della posta elettronica dei dipendenti (mittente, destinatario, data, ora, oggetto e dimensione del messaggio) per finalità tecniche e di prevenzione dei malfunzionamenti, ma senza indicare espressamente nell'informativa ai dipendenti il tempo limite di conservazione di tali dati.

Inizialmente, sfiorando la catastrofe termonucleare, il Comune aveva dichiarato al Garante che la conservazione di tali log, fissata in 21 giorni, avveniva sia per finalità tecniche di funzionamento del server di posta, ma anche per "consentire l'analisi degli incidenti di sicurezza, aiutando a risalire alla causa di eventuali violazioni e a proteggere le informazioni".

Udendo ciò, il Garante è caduto dalla sedia e ha iniziato a schiumare copiosamente. Questa dichiarazione è grave e l'Autorità, con occhi iniettati di sangue, ha stigmatizzato questa nefandezza usando la Lingua Nera di Mordor... "Il cambiamento nella voce del Garante era stupefacente. Divenne improvvisamente minacciosa, potente, dura come la pietra. Un’ombra parve offuscare l’alto sole, ed il porticato si fece scuro per qualche momento. Tutti tremarono, e i DPO si tapparono le orecchie." (semicit.)

• Ash nazg durbatulûk, ash nazg gimbatul, ash nazg thrakatulûk, agh burzum-ishi krimpatul.
• I metadati di posta elettronica sono tutelati dalla segretezza della corrispondenza (Artt. 2 e 15 Costituzione e Art. 616 Codice Penale).
• La loro conservazione preventiva e generalizzata configura un potenziale controllo a distanza dei dipendenti.
• Se la finalità dichiarata dal Titolare non è il semplice transito dei messaggi, ma la tutela generica della sicurezza informatica dell'Ente o la protezione del patrimonio informativo aziendale, si ricade pienamente nel comma 1 dell'articolo 4 dello Statuto dei Lavoratori.
• Di conseguenza, il Comune avrebbe dovuto attivare preventivamente le garanzie previste dall'articolo 4 (accordo sindacale o autorizzazione dell'Ispettorato del Lavoro).
• Non avere questa autorizzazione comporta sanzioni amministrative e penali.

2. Cos'è il Genio?

È fantasia, intuizione, decisione e velocità di esecuzione. (cit)

Il Comune, non potendo cambiare i fatti, ha deciso di raccontare la stessa storia ma cambiando stile, adottando un diverso registro linguistico, romanzandola un po' e, con un pizzico di fantasia, aggiungendo qualche gustoso dettaglio. Il potere della narrazione...

Intanto qualcuno ha lanciato l'incantesimo "arimortis", fermi tutti, non vale, ci stavamo solo scaldando! Il Comune ha ritrattato le sue stesse dichiarazioni definendole "atecniche" e, con un volo pindarico mozzafiato, ha detto: "il Comune, confermando la veridicità delle dichiarazioni rese ai sensi dell’art. 168 del Codice, riconosce che la formulazione utilizzata è stata atecnica e ha generato un’impressione non corrispondente alla realtà del trattamento”. Forse affascinato da una simile sfacciataggine, il Garante ha accettato questo dietrofront del Comune, probabilmente anche per vedere dove sarebbero potuti andare a parare i talentuosi menestrelli e cantori della cittadina savoiarda.

Pirla io che pensavo che le dichiarazioni rese al Garante fossero una cosa seria e regolate dall'articolo168 codice privacy e, per dirla con le parole che il Garante solitamente utilizza nelle premesse di ogni provvedimento... "CONSIDERATO che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”. Curiosamente, questo "considerando" è sparito dal provvedimento sanzionatorio relativo al comune di Chivasso. Che coincidenza, anzi, che magia!

La narrazione si è arricchita, poi, di un argomento interessante, già tentato da molti altri ma con tragici risultati: giurin giuretta.

Il Comune ha affermato di non aver mai fatto alcuna attività ispettiva o di analisi sui log per scopi di sicurezza complessiva dell'Ente o per finalità disciplinari. La parte favolosa della vicenda sta nel fatto che il Garante gli ha pure creduto! Forse, dopo anni passati a irridere e sanzionare aziende ed enti locali per analoghe indimostrabili farneticazioni, qualcuno si dev'essere intenerito.

Per sostenere questo solido e solenne giuramento, il Comune ha argomentato in modo solido, blindando la propria posizione, scolpendo la correttezza del proprio operato nel marmo: i log non sono direttamente accessibili ma li ha un fornitore esterno, nominato responsabile del trattamento!

A questo punto, il racconto è decisamente fantasy: secondo il Comune, nessun ufficio, dirigente o dipendente del Comune disponeva di accesso diretto o autonomo ai log del server. Il fatto che il fornitore abbia inviato i dati solo in rari casi, dietro formale e motivata richiesta scritta, rappresenta la dimostrazione di assenza del rischio di "controllo a distanza" che, per il comune, presuppone che il datore di lavoro abbia la concreta e immediata possibilità di accedere ai dati e di utilizzarli.

Certamente, intanto, le marmotte incartano la cioccolata in confezioni Lilla. 

Pirla io, di nuovo, per aver preso sul serio il Garante tutte le volte in cui ha sanzionato enti ed aziende per la mera disponibilità dei dati, prescindendo allegramente dal loro concreto ed effettivo utilizzo. Così, a titolo di esempio:

• Provvedimento verso Regione Lombardia, l'Autorità ha sanzionato l'ente per 50.000 euro, stabilendo che la mera conservazione sistematica dei metadati costituisce un trattamento idoneo a realizzare un controllo a distanza presuntivo. Poiché i dati restavano nella potenziale disponibilità dell'organizzazione senza previo accordo sindacale o autorizzazione dell'INL, il trattamento è stato dichiarato illecito indipendentemente dall'uso effettivo. 
• Il caso Piaggio, sanzione da 460.000 euro stabilendo che il vizio principale risiedeva nell'architettura stessa di conservazione indifferenziata. Rendere i dati pronti all'uso e disponibili per anni configura una potenziale sorveglianza massiva. L'illiceità parte dall'accumulo e dalla permanenza dei dati nel server, non dal momento in cui l'azienda decide di aprirli.
• Log di navigazione internet e backup automatici, sanzione da 50.000 euro stabilendo che la mera presenza nei log del server di dati attribuibili al lavoratore (URL visitati, orari, volumi) pone il datore di lavoro nella condizione di poter ricostruire la sua attività. La presenza del dato senza la garanzia procedurale dell'art. 4 dello Statuto dei Lavoratori (accordo o autorizzazione) rende la conservazione illegittima in sé.
• Università degli Studi di Perugia, il Garante ha sanzionato l'ente stabilendo che la riservatezza delle comunicazioni viene violata anche dal potenziale pericolo di identificazione e tracciamento. La profilazione potenziale resa possibile dalla pura disponibilità dell'archivio infrange i principi di minimizzazione e limitazione della conservazione (Art. 5 GDPR).

Il mio parere? Devono aver messo qualcosa nell'acqua, se no non si spiega.

Questa incredibile "narrazione" sarà molto utile a tutti i DPO del reame, ogni volta che si troveranno in difficoltà. Poco importa se la favoletta appena raccontata butta alle ortiche una costante e radicata giurisprudenza, decisamente di segno opposto, difesa con il pugnale tra i denti da ogni Garante che abbia assunto tale incarico nel tempo nonché da ogni tribunale del lavoro chiamato a decidere in materia. 

3. E vissero tutti felici e contenti...

Ogni favola si conclude con un lieto fine e con la famosa frase, tanto rassicurante quanto illusoria. 

Ma nella favola delle email di Chivasso, le illusioni non sono ancora finite, anzi, la più bella deve ancora arrivare.

Il Comune ha dichiarato:

• che sul piano operativo, i log venivano registrati e conservati per 21 giorni, termine che richiamerà alla memoria uno dei bizzarri provvedimenti del Garante sopra richiamati
• che la conservazione avveniva esclusivamente per scopi di pura gestione del traffico e-mail, per garantire la stabilità di quel singolo applicativo (evitare code di messaggi, gestire errori di instradamento, qualunque cosa significhi) e per consentire la ricerca e l'indicizzazione dei messaggi da parte dell'utente.

Secondo il visionario consulente, evidentemente strafatto, che ha aiutato il comune a raccontare la più grande stronzata mai concepita da mente umana, questo trattamento rientrerebbe pienamente tra le garanzie di funzionamento del sistema e, dunque, nell'alveo dello "strumento di lavoro" di cui al comma 2 dell'articolo 4 (che esclude l'obbligo di accordo sindacale). 

Il passaggio è lisergico. Qui, io trasecolo, Fedro si rivolta nella tomba, la statua di Esopo piange, Andersen bestemmia postumo, Tolkien si tumula in un buco della terra.

Ma io boh!

Finché respirerò, la mia missione sarà una soltanto: trovare quel lavoratore che indicizza e ricerca le proprie email utilizzando i log del server di posta. Esiste, così è scritto, ed io lo devo trovare.

Il Garante ci ha messo del suo e ha deciso di soprassedere su un comportamento che, in molti altri casi, ha dato luogo a procedimenti penali, basandosi semplicemente su una narrazione fantasiosa e decisamente ottimista. L'Autorità ha anche coniato un nuovo ed imperituro principio: il principio di prevalenza della sostanza del trattamento sulla forma documentale (ottica di accountability sostanziale).

Il Garante ha soprasseduto volentieri sull'errorino commesso dai funzionari comunali nel riscontro iniziale, ha ignorato il fatto che siano state rese false dichiarazioni in sede ispettiva, ha creduto con entusiasmo ad una fantasiosa e rassicurante narrazione, seppur basata su identici elementi di fatto rispetto a quella abiurata, arrivando a sostenere che la condotta concreta del Comune sia stata impeccabile ed interamente allineata alle sue stesse Linee Guida in materia di metadati e posta elettronica:

1. La conservazione era limitata a soli 21 giorni, corrispondente al massimo ipotizzato nel documento di indirizzo;
2. I dati erano conservati in modo protetto dal solo Responsabile del Trattamento esterno, senza ingerenze o accessi indiscriminati del datore di lavoro, come se questa fosse una garanzia sufficiente ad evitare l'errore umano o favori amicali;
3. Non era stata compiuta alcuna attività reale di monitoraggio o controllo sul personale o sui contenuti della corrispondenza. Qui non dico niente perché i politici hanno la querela facile.

Ora la dico grossa. Tutto questo mi sta bene! Sono d'accordo e sono felice della decisione del Garante. Resta però un problemino: cosa possiamo dire a tutte le aziende ed enti locali che, in situazioni pedissequamente identiche nella sostanza, hanno dovuto affrontare un procedimento penale per violazione dell'articolo 4 dello statuto, per il solo fatto di aver rappresentato la realtà con parole differenti? Cosa potranno mai pensare costoro del principio di prevalenza della sostanza del trattamento sulla forma documentale, creativamente applicato a Chivasso? Forse è una questione geografica... magari è una di quelle cose che dipendono dalla zona, dall'aria, dall'altitudine, dalla temperatura, dai venti, un po' come accade con i salumi della Val Nure che, in altri posti, semplicemente non vengono buoni.

Forse, più semplicemente, dipende dal tasso alcolico.

La favola resta catartica, per lo meno, rispetto ad una violazione accertata e sanzionata: nell'informativa non era indicata la durata della conservazione dei metadati, elemento obbligatorio per legge. Secondo il Garante, nemmeno questa dimenticanza è importante, infatti la sanzione si è limitata ad un ammonimento, ma dopo tutte le risate che si saranno fatti in osteria, con animo gioviale e leggero, cantando storie, non si può certo pretendere rigore. Siamo umani, restiamo umani.

E le marmottine continuano ad impacchettare le tavolette di cioccolata.

Prosit

Su questo blog ci sono altri 206 articoli.
Esplora, cerca, curiosa in giro...

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.

Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.

Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è sì... allora una birra virtuale è d'obbligo!