L’articolo, come il precedente (Il datore di lavoro può leggere l’email aziendale del dipendente?) riproduce i contenuti della mia relazione al Privacy Symposium 2026.
I metadati e i log rientrano nei controlli a distanza?
Il rapporto tra conservazione di metadati/log e controlli a distanza è oggetto, com’è noto, di vivaci dibattiti e marcate divergenze.
In particolare, ci si interroga se la raccolta e la conservazione di tracce informatiche dell’attività dei dipendenti si collochi oppure no nella cornice procedurale dell’articolo 4 dello Statuto dei lavoratori. E, in tal caso, se rientri nell’eccezione prevista al secondo comma di tale disposizione, quella cioè degli strumenti per svolgere la prestazione lavorativa o per registrare accessi e presenze.
Una premessa è d’obbligo: l’argomento è complesso perché alcune di queste tracce sono necessitate dal funzionamento stesso dei servizi, altre sono solo, per così dire, “collaterali”, cioè non indispensabili. Si rendono pertanto opportuni dei distinguo.
Inoltre, le finalità che giustificano la conservazione sono molteplici. Se ne possono individuare almeno tre:
Alla sicurezza informatica si applica l’art. 4 Statuto e come?
Ritengono gli esperti di cybersecurity che la sicurezza informatica, se viene privata della raccolta e conservazione delle tracce informatiche dei dipendenti sia – si passi il termine – “bendata”, cioè manchevole di elementi informativi strategici, talvolta essenziali.
Ciò significa, in prospettiva “privacy”, mettere a rischio, paradossalmente, anche i dati personali degli stessi lavoratori (v. esempi più in basso), ossia di coloro che si intende proteggere da controlli eccessivi.
Si aggiunge così una dimensione ben più complessa al tema. Non si tratta più infatti di considerare la sicurezza informatica nella chiave rigida, negativa, dei controlli a distanza, ma anche in quella, positiva, della tutela del soggetto controllato.
Può, allora, sostenersi la riduzione della sicurezza informatica alla stretta griglia dell’art. 4, primo comma dello Statuto dei lavoratori, o sussistono ragioni convincenti per prescinderne, adottando un inquadramento diverso?
Procediamo con ordine.
Controlli indiretti: le tre finalità lecite
Com’è noto, l’articolo 4 dello Statuto consente solo tre finalità lecite per il controllo cd. “preterintenzionale” dei lavoratori, ossia non cercato direttamente ma comunque potenziale. Le finalità lecite sono le seguenti:
Si constata che tra esse non figura la sicurezza informatica. A meno di non voler sacrificare quest’ultima finalità, necessitata, si impone allora un’interpretazione dell’art. 4 dello Statuto coerente con i tempi.
Garante: la regola dei 21 giorni
Non basta la sussistenza di una delle tre finalità enunciate, è anche necessario seguire una procedura precisa: ottenere il preventivo accordo sindacale o l’autorizzazione dell’Ispettorato nazionale del lavoro (INL).
Bene, secondo il Garante, un tempo di conservazione dei metadati/log di posta elettronica superiore, “orientativamente”, a 21 giorni va gestito appunto attraverso la procedura concordata (sindacato) o autorizzata (INL), come si legge nel discusso documento di indirizzo del 6 giugno 2024, in materia di metadati/log di posta elettronica, doc. web 10026277.
L’Autorità sembra perciò collocare la sicurezza informatica, maturati i 21 giorni, in una delle tre finalità lecite dell’art. 4 Statuto, senza indicare quale, né fornire ulteriori precisazioni e chiarimenti concettuali.
Va notato che tale termine di durata (21 giorni), la cui enunciazione non appare poggiare su alcuna competenza del Garante, non risponde a logiche particolari, se non a quella di essere multiplo di sette.
Il termine, pur ripetutamente definito dal Garante, come “orientativo”, si è rivelato peraltro cogente nell’applicazione. Lo si è constatato nella nota vicenda che ha riguardato la Regione Lombardia, che ha visto l’ente sottoposto alla misura pecuniaria di € 50.000 per una conservazione dei metadati/log (fra gli altri addebiti) estesa a 90 giorni, cfr. provvedimento GPDP del 29 aprile 2025, doc. web n. 10134221.
Abbiamo dunque un termine preciso che funge da spartiacque: se la conservazione dei log/metadati non supera i 21 giorni, si applica, a parere dell’Autorità di controllo, il comma secondo dell’art. 4 Statuto, dunque il trattamento è lecito e non occorre altro. Diversamente, è necessario seguire il primo comma, procedendo con l’accordo sindacale o l’autorizzazione dell’INL.
E’ questa l’interpretazione che il Garante fornisce dell’art. 4. Ma non è l’unica percorribile. Esaminiamone un’altra.
Statuto dei lavoratori e GDPR: come si coordinano
Occorre muovere da un punto fermo: il Regolamento generale sui dati personali (GDPR) è collocato in posizione sovraordinata nella gerarchia delle fonti rispetto alla legge ordinaria italiana. Ne deriva la preminenza rispetto alla legge 300/70 (Statuto dei lavoratori).
Vero che il GDPR ammette numerose e intricate deroghe per il settore lavoristico, tuttavia i fondamentali restano intatti, anche per ragioni di coerenza sistemica. Tra i fondamentali figurano certamente gli obblighi in materia di sicurezza dei dati personali, chiaramente enunciati agli articoli 24 e 32 e, a monte, dall’art. 5.1.f).
In sostanza, il titolare del trattamento, qui l’imprenditore, è tenuto, a seconda del contesto, delle dimensioni, della tipologia dei dati, ad adottare soluzioni di sicurezza informatica, o più propriamente di cybersecurity. Stabilire in concreto quali e come sarà materia di legittimo interesse, ma l’obbligo giuridico di base è netto.
Ne segue, a parere di chi scrive, che l’art. 4 dello Statuto dei lavoratori, in punto di sicurezza informatica, andrebbe perciò superato ex lege dalle previsioni del GDPR, ottemperando alla rispettiva collocazione nella gerarchia delle fonti.
Non si tratta in definitiva di ricondurre gli obblighi di cybersecurity entro la griglia molto stretta del primo comma dell’art. 4 Statuto né si può pensare di sottoporre la concreta attuazione di un obbligo di legge ai tempi e ai modi della procedura di accordo sindacale o di autorizzazione, mantenendo contemporaneamente la responsabilità esclusiva dell’imprenditore su esiti in realtà mediati da altri o perfino codecisi con essi.
Se il riferimento ultimo è il Regolamento generale sui dati, l’eventuale raccolta e conservazione eccessiva di dati personali per finalità di sicurezza informatica non rimane certamente priva di garanzie e di verifiche solo perché disancorata dalla procedura concordata o autorizzata dell’art. 4.1 Stat. lav.
Il GDPR infatti fornisce già tutti gli strumenti di apprezzamento della proporzionalità.
Conservazione dei log email: la logica del Garante
Quella appena proposta è dunque una chiave di lettura molto diversa rispetto all’impostazione del già citato documento di indirizzo del Garante sui metadati/log di posta elettronica aziendale, che appare costruito sulla gerarchia opposta, ossia su una preminenza dell’art. 4 Statuto rispetto agli istituti del GDPR.
Più esattamente, infatti, nel documento di indirizzo la sicurezza informatica non sembra ricondotta al Regolamento europeo né essere limpidamente distinta dalla finalità di funzionamento degli strumenti utilizzati per rendere le prestazioni lavorative.
Ne deriva, secondo l’Autorità, che, decorsi i 21 giorni orientativi di conservazione, verrebbero meno (anche questo è peraltro assai discutibile) le condizioni per applicare l’eccezione riconosciuta dal secondo comma dell’art. 4 Stat. lav. e tornerebbe ad applicarsi la regola generale del primo comma, che impone la procedura concordata o autorizzata. Non è precisato quale delle tre finalità lecite sarebbe a questo punto applicabile.
L’aspetto che meno convince di questa lettura è in definitiva il collegamento irrisolto tra GDPR e art. 4 Statuto e la compressione della sicurezza informatica in categorie concettuali diverse, come quella dell’organizzazione aziendale o della tutela del patrimonio.
In verità, la sicurezza informatica è diretta non solo alla tutela del patrimonio o all’organizzazione, ma anche, e in misura tutt’altro che secondaria, alla protezione dei dati personali degli interessati. Proprio per tale ragione, costituisce un preciso incombente che trova la sua fonte nel GDPR.
Inoltre, quale cogente obbligo di legge, sia pure sotto altro profilo, poggia la propria base giuridica anche su altre fonti eurounitarie, come la direttiva NIS 2, ove applicabile.
Sicurezza informatica e data breach
Propongo qualche esempio concreto e, auspico, convincente, del collegamento tra sicurezza informatica e tutela dei dati personali. Si pensi a un data breach che interessi le buste paga e al pregiudizio che può derivarne ai lavoratori. Appare evidente che la prevenzione e comunque la mitigazione degli effetti, come pure l’attivazione di linee di contrasto efficaci di contenimento è legata anche all’adozione di soluzioni di cybersecurity, ancorché siano per loro natura “dativore”.
Oppure si pensi al data breach in una struttura sanitaria. Qui, accanto alla categoria dei dipendenti, dobbiamo considerare un’altra, fondamentale, compagine di soggetti vulnerabili, i pazienti. Non è accettabile, in termini di GDPR, limitare gli incombenti degli artt. 5.1.f), 24 e 32 e la conseguente tutela dei dati sanitari dei pazienti, perché si adotta una stretta applicazione dell’art. 4 Stat. lavoratori. Una tale limitazione degli obblighi di sicurezza imposti dal GDPR non appare ammissibile.
Conclusioni
La chiave da cui muove il provvedimento del Garante su metadati e log, e su cui si orienta in generale la posizione dell’Autorità, sembra, come si è notato, quella di una contrapposizione tra sicurezza informatica e tutela dei dati personali dei dipendenti.
Ora, è certamente vero che la cybersecurity ha bisogno dell’intelligenza fornita dalla raccolta di tracce informatiche, e che questo implica la conservazione, anche cospicua, di dati personali dei lavoratori. Tuttavia, come negli esempi appena proposti, è fondamentale identificare correttamente l’oggetto tutelato: la sicurezza informatica ha ragione di essere in quanto protegge, in ultima analisi, anche i dati dei dipendenti.
Questa prospettiva d’inquadramento, apparentemente diversa da quella dell’Authority nazionale, impone, come si anticipava in apertura, un rovesciamento dell’approccio giuridico. Dalla contrapposizione tradizionale, molto lineare e di facile lettura, tra tutela informatica dei dati d’impresa e tutela del lavoratore si passa a considerare la, ben più complessa ma convincente, convergenza delle tutele.
A sostenere questa differente, ma in definitiva più moderna, lettura giuridica non sono solo gli articoli 24 e 32 GPDR, e a monte l’articolo 5.1.f). In realtà, infatti, tutto il GPDR, è ispirato alla promozione di obblighi di sicurezza nella gestione dei dati personali, quali declinazioni dell’accountability. Si pensi alle difficoltà concrete, accennate negli esempi proposti, di soddisfare correttamente i requisiti di cui all’art. 33 GDPR, ove manchino soluzioni efficaci di sicurezza informatica. Il problema è anzi così concreto che una sicurezza lacunosa o eccessivamente contratta può pregiudicare persino in radice la possibilità di individuare violazioni dei dati.