Smart working e controllo del datore di lavoro, alla luce del Provvedimento del 29 aprile 2025 (LOG)

Il provvedimento sui “log” n.243 del 29 Aprile 2025, emanato dall’Autorità Garante della privacy, ha suscitato profonde riflessioni sul controllo da parte del datore di lavoro sui propri dipendenti, anche in tema di smart working. 

Ma cosa sono i log e perché datori e lavoratori dovrebbero preoccuparsi di questo provvedimento?

Quando si parla di log si fa riferimento a quello che potremmo definire il diario di un sistema informatico (un sito, un’app, un computer, un server) che esso stesso si appunta da solo per tenere traccia di cosa succede quando qualcuno lo utilizza.Il sistema in particolare si scrive informazioni come: data e ora di apertura, cosa è stato fatto e, a volte, anche da quale dispositivo/utente.

Il provvedimento che stiamo per commentare verte soprattutto sui cd. log di navigazione e log relativi alla mail.

Utilizzando la nostra metafora del diario, i primi si generano quando una persona naviga su internet (su un sito o in un’app) e possono registrare, per esempio: quando si visita una pagina, quale pagina o sezione del sito, le informazioni tecniche come il tipo di browser o l’indirizzo IP, eventuali errori o tentativi di accesso, etc.

Per quanto riguarda invece i log mail, si generano ogni qual volta compiamo attività legate alle e-mail e possono registrare, per esempio: quando una mail è stata inviata o ricevuta, se la consegna è andata a buon fine o c’è stato un errore, da quale indirizzo a quale indirizzo, a volte dati tecnici (server usati, IP, autenticazioni), etc.

Capito dunque cosa sono questi fantomatici log, pare abbastanza palese che colui che ha accesso a tali informazioni, soprattutto in ambiente lavorativo, ha la possibilità di monitorare cosa succede su quel sistema informatico, quali sono le attività che vengono compiute e persino per quanto tempo.

Ecco, dunque, dove entra in gioco la delicata disciplina, contaminata da aspetti giuslavoristici e privacy, che sancisce limiti al controllo da parte del datore di lavoro sui lavoratori. Non è questa la sede per sviscerare una materia a tal punto vasta, ma possiamo soffermarci su alcuni aspetti interessanti. Vediamo cosa ha detto il Garante in merito alla conservazione di questi metadati (log) della posta elettronica nel provvedimento in commento.

Il Garante sancisce che i log relativi alla posta elettronica devono essere conservati solo ed esclusivamente per il tempo strettamente necessario, nel rispetto del principio di conservazione ex art. 5 GDPR. In particolare, questi log dovrebbero essere conservati per massimo di 21 giorni.

E se il datore volesse conservali per più tempo, in quanto sussistono delle esigenze particolari?

In questo caso, in breve, l’Autorità stabilisce che:

• l’azienda dovrà dotarsi di garanzie aggiuntive, quali, ad esempio:

  - accordo sindacale, oppure

  - autorizzazione dell’Ispettorato Territoriale del Lavoro competente.

• In alternativa/aggiunta, dovrà prevedere:

  - anonimizzazione progressiva dei log oltre la soglia temporale indicata.

• Inoltre, dovrà procedere con:

  - redazione di una DPIA (valutazione d’impatto sulla protezione dei dati).

  
  

E per quanto riguarda la conservazione dei metadati di navigazione Internet?

In questo caso, il Garante indica come tempo di conservazione di questo tipo di file di log un massimo di 90 giorni. Anche qui, oltre detta soglia, occorrerà ricorrere ad alcune cautele.

E che c’entra lo smart working?

C’entra! Il lavoro agile, difatti, non attenua le tutele dei lavoratori, né riduce gli obblighi del datore di lavoro in materia di privacy. I log generati da accessi da remoto (VPN, portali aziendali, webmail, ecc.) sono trattamenti di dati personali soggetti alle stesse regole di trasparenza, necessità e proporzionalità.

Ecco allora che il datore dovrebbe riflettere, se non vuole incorrere in gravi sanzioni da parte del Garante, sul fatto che è necessario costruire un sistema di gestione della privacy, indagando, tra le altre cose, quali log vengono raccolti, per quanto tempo, quali controlli possono essere messi in campo e con quali limiti, nonchè quali informative redigere per portare a doverosa conoscenza dei lavoratori stessi le politiche aziendali sul tema proposto oggi, nonché in generale su qualsivoglia trattamento che coinvolga i dati personali dei suoi dipendenti.