[doc. web n. 10286374]

Provvedimento del 14 luglio 2026

Registro dei provvedimenti
n. 522 del 14 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione

Con reclamo del XX, XX, all’epoca dei fatti lamentati in servizio presso il Comune di Chivasso, ha rappresentato, in particolare, presunte violazioni della normativa in materia di protezione dei dati personali con riguardo al trattamento dei metadati generati dall’utilizzo da parte del personale dipendente dello strumento della posta elettronica.

Nel dettaglio, dal menzionato reclamo emerge, tra l’altro, che il “Disciplinare per l’utilizzo delle risorse informatiche”, approvato con determina del Direttore Generale n. XX del XX, cui fa rinvio l’informativa ai sensi dell’art. 13 del Regolamento resa al personale dipendente, prevede, con riguardo al trattamento dei predetti metadati, al punto 2.2.4 (“Attività di verifica”), che “il Comune, per motivi tecnici e di sicurezza e, in particolare, per prevenire malfunzionamenti, effettua una registrazione delle componenti di traffico (file di log) riferite alla posta elettronica”; nonché che “in particolare l’Ente effettua una temporanea registrazione delle componenti dei file di log (data, ora, destinatario, mittente, ecc.), il cui accesso è consentito al solo personale, interno ed esterno, autorizzato alla gestione tecnica del servizio di posta elettronica”; ciò, tuttavia, senza indicare un periodo temporale di conservazione di tali metadati.

2. L’attività istruttoria

Nell’ambito della complessiva attività istruttoria avviata dall’Ufficio, il Comune ha fatto pervenire specifici elementi di informazione in merito a quanto lamentato dal reclamante con note del XX e del XX. Al riguardo, si fa in particolare presente che, con nota del XX, il Comune ha dichiarato quanto segue:

- “le specifiche finalità di trattamento perseguite attraverso il trattamento dei metadati di posta elettronica richiesti sono legate alla necessità di garantire il corretto funzionamento e la sicurezza del servizio stesso di posta elettronica essenziale per lo svolgimento delle attività lavorative, consentendo, tra le altre cose, la ricerca e l'indicizzazione dei messaggi. Inoltre, il trattamento è perseguito poiché consente l'analisi degli incidenti di sicurezza, aiutando a risalire alla causa di eventuali violazioni e a proteggere le informazioni. Sebbene i metadati indicati contengano dati personali, la loro conservazione è richiesta dalla necessità di assicurare l'integrità e il funzionamento dei sistemi. Le finalità primarie per il trattamento dei metadati di posta elettronica sono dunque legate alla necessità di consentire l’attività lavorativa presso il Comune e a garantire adeguati livelli sicurezza, stabilità e resilienza dei sistemi informativi e di rete ai sensi dell’articolo 32 GDPR”;

- “i metadati di posta elettronica generati dal sistema di gestione sono conservati per un periodo temporale di 21 giorni”; tale termine è “ritenuto adeguato e proporzionato rispetto alle finalità di sicurezza informatica perseguite, consentendo l'individuazione tempestiva di anomalie o eventi di sicurezza senza eccedere oltre il tempo strettamente necessario in quanto consente di effettuare le verifiche tecniche necessarie in caso di segnalazioni di anomalie o incidenti di sicurezza, tenuto conto delle risorse tecniche e organizzative disponibili”;

- “per esigenze di massima trasparenza e al fine di rafforzare ulteriormente la consapevolezza dei dipendenti, il Comune ha successivamente provveduto a rendere ancora più esplicita sulla piattaforma intranet aziendale l'informazione relativa al periodo di conservazione di 21 giorni dei metadati di posta elettronica”.

Con nota del XX, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune di Chivasso, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, sul presupposto che il trattamento dei dati del reclamante nel caso di specie fosse stato effettuato in violazione degli artt. 5, par. 1, lett. a), 6, 13 e 88, par. 1, del Regolamento, nonché 114 del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX, il Comune - il quale, come confermato anche con nota del XX, non ha manifestato la volontà di essere audito - ha presentato una memoria difensiva, rappresentando specifici elementi di contesto e dichiarando, in particolare, che:

“il servizio di posta elettronica è erogato da[… una] società [… all’uopo] nominata responsabile del trattamento ai sensi dell’art. 28 del Regolamento”; “il Comune non dispone di accesso diretto o autonomo ai log del server di posta elettronica. Nessun ufficio o dipendente dell’ente ha mai consultato o analizzato i metadati. Il responsabile del trattamento rilascia i dati esclusivamente su richiesta formale e a specifiche condizioni […] e non in via libera o continuativa al Comune. Il rischio di controllo a distanza preterintenzionale presuppone che il datore di lavoro abbia la concreta possibilità di accedere ai dati e di utilizzarli: nel caso di specie tale possibilità non sussiste”;

“il Comune, confermando la veridicità delle dichiarazioni rese ai sensi dell’art. 168 del Codice, riconosce che la formulazione utilizzata è stata atecnica e ha generato un’impressione non corrispondente alla realtà del trattamento”;

“il Comune non ha mai trattato i metadati come titolare autonomo per tali finalità: i dati non erano nella sua disponibilità e non ne ha mai fatto uso”;

“il Comune ritiene […] che, con riferimento alla propria specifica realtà tecnica e organizzativa, le finalità di sicurezza descritte nella nota del XX rientrino tra le più essenziali garanzie di sicurezza del servizio richiamate dallo stesso Documento di indirizzo”;

in un unico caso, “i dati sono stati resi accessibili unicamente alle Forze dell’Ordine su richiesta dell’Autorità Giudiziaria”;

“il Comune di Chivasso, ente locale con risorse organizzative e competenze specialistiche limitate, si è conformato in buona fede alle indicazioni quantitative del Documento di indirizzo (conservazione per 21 giorni, al parametro predefinito del fornitore), nel presupposto che l’utilizzo della posta elettronica rappresenti (oggi più che mai) uno strumento utilizzato dal lavoratore per rendere la prestazione lavorativa e che, in assenza di diverse istruzioni al gestore di posta elettronica, il trattamento dei relativi metadati vada effettuato per le sole finalità di funzionamento del sistema e per il periodo a tal fine necessario, in osservanza dei suddetti orientamenti. Ciò senza avere consapevolezza che la formulazione delle finalità nella nota del 6 ottobre potesse generare una diversa qualificazione giuridica del trattamento. Si è trattato, come esposto, di un errore di formulazione nella nota di riscontro – non di un errore nella condotta concreta del trattamento, che è stata integralmente conforme al quadro delineato dal Documento di indirizzo per il comma 2: conservazione dei soli metadati generati nativamente dal sistema, per il periodo minimo orientativo, da parte del solo responsabile esterno, senza alcun accesso o utilizzo da parte del titolare”.

3. Il trattamento dei metadati di posta elettronica in ambito lavorativo

In base alla disciplina in materia di protezione dei dati personali, il datore di lavoro può trattare i dati personali dei lavoratori, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1, del Regolamento), se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4; 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (artt. 6, parr. 1, lett. e), 2 e 3 del Regolamento; 2-ter del Codice).

Il datore di lavoro deve, inoltre, rispettare le norme nazionali, che “includono misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati in particolare per quanto riguarda la trasparenza del trattamento […] e i sistemi di monitoraggio sul posto di lavoro” (artt. 6, par. 2, e 88, par. 2, del Regolamento). Sul punto il Codice, confermando l’impianto anteriore alle modifiche apportate dal d.lgs. 10 agosto 2018, n. 101, fa espresso rinvio alle disposizioni nazionali di settore che tutelano la dignità delle persone sul luogo di lavoro, con particolare riferimento ai possibili controlli da parte del datore di lavoro (v. spec. art. 114 “Garanzie in materia di controllo a distanza”); in particolare, per effetto di tale rinvio, e tenuto conto dell’art. 88, par. 2, del Regolamento, l’osservanza dell’art. 4 della l. 20 maggio 1970, n. 300, nei casi in cui ne ricorrono i presupposti, costituisce una condizione di liceità del trattamento.

Tali norme costituiscono nell’ordinamento interno quelle disposizioni più specifiche e di maggiore garanzia di cui all’art. 88 del Regolamento - a tal fine oggetto di specifica notifica a cura del Garante alla Commissione (consultabile alla pagina: https://ec.europa.eu/info/law/law-topic/dataprotection/data-protection-eu/eu-countries-gdpr-specific-notifications_en) ai sensi dell’art. 88, par. 3, del Regolamento -  la cui violazione, analogamente alle specifiche situazioni di trattamento del capo IX del Regolamento, determina anche l’applicazione di sanzioni amministrative pecuniarie ai sensi dell’art. 83, par. 5, lett. d), del Regolamento.

Il titolare del trattamento è, comunque, tenuto a rispettare i principi in materia di protezione dei dati (art. 5 del Regolamento), fra i quali in particolare il principio di “liceità, correttezza e trasparenza” di cui all’art. 5, par. 1, lett. a), del Regolamento, ed è responsabile dell’attuazione di misure tecniche e organizzative adeguate in ragione degli specifici rischi derivanti dal trattamento, dovendo in ogni caso essere in grado di dimostrare che lo stesso è effettuato in conformità al Regolamento (artt. 5, par. 2, e 24 del Regolamento).

Più nello specifico, si rappresenta in via generale che, sin dal 2007, il Garante si è nel tempo occupato dei trattamenti posti in essere dal datore di lavoro e aventi ad oggetto i dati personali relativi all’utilizzo da parte dei dipendenti dei servizi di rete, con particolare riguardo al servizio di posta elettronica e alla navigazione in Internet, anche con provvedimenti a carattere generale (v. “Linee guida del Garante per posta elettronica e Internet” del 1° marzo 2007, n. 13, doc. web n. 1387522, le quali, ancorché riferite al previgente quadro normativo, contengono principi e indicazioni ancora validi). Più di recente, anche sulla base di specifiche decisioni su singoli casi concreti (v. provv. 29 aprile 2025, n. 243, doc. web n. 10134221; provv. 1° dicembre 2022, n. 409, doc. web n. 9833530), il Garante ha affrontato il delicato tema della conservazione dei metadati di posta elettronica, fornendo, altresì, indicazioni e chiarimenti volti ad orientare le scelte organizzative e tecniche dei datori di lavori con il “Documento di indirizzo. Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”, adottato, a seguito di consultazione pubblica, con provv. del 6 giugno 2024, n. 364, doc. web n. 10026277.

In particolare, i metadati di posta elettronica, che corrispondono tecnicamente alle informazioni registrate nei log generati dai sistemi server di gestione e smistamento della posta elettronica e dalle postazioni nell’interazione che avviene tra i diversi server interagenti e, se del caso, tra questi e i client, comprendono generalmente gli indirizzi email del mittente e del destinatario, gli indirizzi IP dei server o dei client coinvolti nell’instradamento del messaggio, gli orari di invio, di ritrasmissione o di ricezione, la dimensione del messaggio, la presenza e la dimensione di eventuali allegati e, in certi casi, a seconda del sistema di gestione del servizio di posta elettronica utilizzato, anche l’oggetto del messaggio spedito o ricevuto.

I metadati di posta elettronica risultano assistiti da garanzie di segretezza, tutelate anche costituzionalmente (artt. 2 e 15 Cost.), intese ad assicurare protezione al nucleo essenziale della dignità della persona e al pieno sviluppo della sua personalità nelle formazioni sociali.

Ciò comporta che, anche nel contesto lavorativo, sussista una legittima aspettativa di riservatezza in relazione alla corrispondenza e, analogamente, agli elementi ricavabili dai dati esteriori della stessa, che ne definiscono i profili temporali (come la data e l’ora di invio/ricezione) nonché gli aspetti quali-quantitativi anche in ordine ai destinatari e alla frequenza di contatto, in quanto anche questi dati sono, a propria volta, suscettibili di aggregazione, elaborazione e di controllo (v. punto 2 del predetto Documento di indirizzo; punto 5.2 lett. b), delle Linee guida citate; v. anche provv. 29 aprile 2025, n. 243, doc. web n. 10134221; provv. 1° dicembre 2022, n. 409, doc. web n. 9833530).

La disciplina nazionale più specifica ai sensi dell’art. 88 del Regolamento individua tassativamente le finalità (ovvero quelle organizzative, produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale) per le quali gli strumenti, dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere impiegati nel contesto lavorativo, stabilendo precise garanzie procedurali (accordo sindacale o autorizzazione pubblica; cfr. art. 114 del Codice, che richiama l’art. 4, comma 1, l. 20 maggio 1970, n. 300, come modificato dal d.lgs. 14 settembre 2015, n. 151). Costituisce invece un’eccezione all’applicabilità di tali garanzie procedurali – e come tale deve essere oggetto di stretta interpretazione, stante altresì le responsabilità anche sul piano penale che ne conseguono - l’utilizzo di servizi, software o applicativi strettamente funzionali alla prestazione lavorativa, quali strumenti riconducibili alla nozione di “strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa” (ai sensi e per gli effetti dell´art. 4, comma 2, della l. n. 300/1970).

Tali principi hanno trovato applicazione in numerosi provvedimenti del Garante, con riferimento ai contesti di lavoro pubblici e privati, nei quali è stato affrontato il tema del discrimine tra il comma 1 e il comma 2 dell’art. 4 della l. n. 300/1970 e del diverso regime giuridico che ne discende, valutando, di volta in volta, la specificità dei trattamenti e dei sistemi utilizzati in concreto dal datore di lavoro. Ciò, anche alla luce degli orientamenti della giurisprudenza, del Ministero del lavoro e dell’Ispettorato Nazionale del lavoro, che applicano tale disciplina nell’ambito delle proprie funzioni istituzionali di controllo, ritenendo non applicabile l’eccezione del comma 2 e trovando invece applicazione il comma 1, nei casi in cui, ad esempio, il sistema agisca con modalità non percepibili dal lavoratore e in modo del tutto indipendente rispetto alla normale attività dello stesso oppure in presenza di sistemi che non sono solo funzionali alla prestazione ma consentono anche ulteriori elaborazioni da parte del datore di lavoro per il perseguimento di proprie finalità e specie nei casi in cui tali funzionalità non possano essere disabilitate dal dipendente (cfr., tra i numerosi provvedimenti in ambito pubblico, in particolare, provv. 29 aprile 2025, n. 243, doc. web n. 10134221; provv. 28 ottobre 2021, n. 384, doc. web n. 9722661 nonché INL, circolare n. 4 del 26 luglio 2017; provv. 13 maggio 2021, n. 190, doc. web n. 9669974; provv. 16 novembre 2017, n. 479, doc. web n. 7355533).

Tali caratteristiche ricorrono nel caso del trattamento dei metadati di posta elettronica, in particolare qualora gli stessi siano raccolti e conservati, in modo preventivo e generalizzato, anche per estesi periodi temporali, dai programmi e servizi informatici per la gestione della posta elettronica. Ciò in quanto tali operazioni di trattamento sono effettuate, per esigenze proprie del datore di lavoro, automaticamente e indipendentemente dalla percezione e dalla volontà del lavoratore; inoltre, i predetti metadati rimangono nella disponibilità esclusiva del datore di lavoro e, per suo conto, del fornitore del servizio, documentando il traffico anche dopo l’eventuale cancellazione del messaggio da parte del lavoratore, il quale, invece, mantiene la disponibilità dei messaggi che, in qualità di mittente o destinatario, scambia all’interno della casella di posta assegnatagli dal datore di lavoro, con la conseguenza che in tali casi sussiste il rischio di un indiretto controllo a distanza dell’attività dei lavoratori. Per tali ragioni, in tali casi non può essere generalmente invocata l’eccezione di cui al comma 2 dell’art. 4, trovando invece di regola applicazione il comma 1.

In tale quadro, infatti, affinché possa essere ritenuto applicabile il comma 2 dell’art. 4 della l. 20 maggio 1970, n. 300, l’attività di raccolta e conservazione dei soli metadati necessari ad assicurare il funzionamento delle infrastrutture del sistema della posta elettronica e il soddisfacimento delle più essenziali garanzie di sicurezza informatica, all’esito di valutazioni tecniche e nel rispetto del principio di responsabilizzazione, si ritiene che possa essere effettuata, di norma, per un periodo limitato a pochi giorni, comunque non superiore ai 21 giorni, salvo che il titolare, sempre nel perseguimento della predetta finalità riconducibile all’alveo del comma 2 dell’art. 4 della l. 20 maggio 1970, n. 300, comprovi adeguatamente la ricorrenza in concreto di particolari condizioni che ne rendano necessaria l’estensione in ragione delle specificità della propria realtà tecnica e organizzativa.

Qualora, tuttavia, anche entro i margini di tale ristretto arco temporale – come detto, di regola non superiore ai 21 giorni – il datore di lavoro, in qualità di titolare del trattamento, conservi tali metadati per finalità riconducibili, in concreto, anche al comma 1 dell’art. 4 della l. 20 maggio 1970, n. 300, lo stesso dovrà comunque ritenersi tenuto ad assicurare il rispetto delle garanzie procedurali ivi previste, ricorrendo in concreto lo specifico presupposto di natura teleologica che ne determina l’applicabilità. In tale scenario, infatti, il perseguimento di una o più finalità tra quelle previste dal citato comma 1 – quale criterio che, più di ogni altro, è destinato a orientare le valutazioni in ordine all’applicabilità di tale norma - risulta sufficiente a confermare in concreto la ricorrenza dell’obbligo di assicurare il rispetto delle garanzie procedurali ivi previste, escludendo per l’effetto l’eccezione di cui al comma 2. Ciò considerando, in particolare, il collegamento diretto ed univoco tra i predetti metadati e i singoli dipendenti e la possibilità, per il datore di lavoro, di incorrere in un controllo a distanza preterintenzionale dei dipendenti stessi, ancorché con riferimento ad una finestra temporale particolarmente contenuta.

Il periodo temporale individuato nel predetto Documento di indirizzo costituisce, infatti, un’indicazione a titolo orientativo di cui i titolari del trattamento possono tenere conto sempre a condizione che, nella conservazione dei metadati di posta elettronica per tale ristretto periodo di tempo, gli stessi perseguano finalità connesse alla mera esigenza di garantire il funzionamento delle infrastrutture del sistema di posta elettronica e del suo regolare utilizzo, comprese le più essenziali garanzie di sicurezza del servizio, quali finalità riconducibili al comma 2 dell’art. 4 della l. 20 maggio 1970, n. 300.

Ciò premesso, in via preliminare occorre anzitutto precisare che non può ritenersi rilevante la circostanza, rappresentata dal Comune in corso d’istruttoria (cfr. nota del XX), per cui lo stesso “non dispone di accesso diretto o autonomo ai log del server di posta elettronica” e può accedere ai metadati in questione solo previa “richiesta formale” all’azienda che eroga tale servizio in qualità di responsabile del trattamento ai sensi dell’art. 28 del Regolamento. Sebbene, infatti, la conservazione di tali metadati sia in concreto gestita da un soggetto esterno, quest’ultimo, operando comunque nell’interesse e per conto del Comune, agisce come responsabile del trattamento, rientrando siffatti dati nella sfera di titolarità del Comune, che costituisce il datore di lavoro degli interessati cui queste stesse informazioni si riferiscono, dovendosi ritenere quindi che lo stesso abbia comunque la disponibilità di siffatte informazioni, ancorché l’eventuale consultazione delle stesse avvenga con la cooperazione del responsabile del trattamento.

Sotto diverso profilo, nell’ambito dell’attività istruttoria, il Comune di Chivasso ha inizialmente dichiarato che i metadati relativi ai messaggi scambiati dai propri dipendenti tramite gli account individualmente assegnati fossero conservati per 21 giorni - oltre che per garantire il corretto funzionamento e la sicurezza del servizio di posta elettronica - anche, in particolare, per consentire “l’analisi degli incidenti di sicurezza”, in modo tale da “risalire alla causa di eventuali violazioni” e “proteggere le informazioni” (cfr. nota del XX).

In base alle predette dichiarazioni, risultava dunque che il trattamento venisse effettuato per finalità ulteriori rispetto alla mera esigenza di garantire il funzionamento delle infrastrutture del sistema di posta elettronica e il suo regolare utilizzo, comprese le più essenziali garanzie di sicurezza del servizio, configurandosi piuttosto come un trattamento funzionale alla sicurezza informatica del Comune e, dunque, alla tutela del proprio patrimonio informativo - finalità, come detto, afferenti all’alveo di cui al comma 1 del predetto art. 4.

In tale scenario, malgrado il dichiarato arco temporale di conservazione dei predetti metadati, pari a 21 giorni, comunque apprezzabile nell’ottica della “limitazione della conservazione” (art. 5, par. 1, lett. e), del Regolamento), la ricorrenza di siffatti presupposti di natura teleologica – ossia il perseguimento di finalità riconducibili al comma 1 del citato art. 4 della l. 20 maggio 1970, n. 300 - avrebbe determinato in capo al Comune l’applicazione dell’obbligo di attivare le garanzie procedurali ivi previste.

Con la presentazione delle proprie memorie difensive (cfr. nota del XX), il Comune ha tuttavia precisato che la formulazione impiegata nella descrizione della predetta finalità fosse “atecnica” nonché suscettibile di “genera[…re] un’impressione non corrispondente alla realtà del trattamento”. Il Comune ha infatti inteso chiarire che i metadati di posta elettronica sono effettivamente trattati dal Comune medesimo, nel quadro della propria specifica realtà tecnica ed organizzativa, non già per finalità connesse alla complessiva sicurezza informatica dell’Ente e, dunque, alla tutela del relativo patrimonio informativo, bensì esclusivamente per finalità “connesse al “funzionamento delle infrastrutture del sistema della posta elettronica” e al “soddisfacimento delle più essenziali garanzie di sicurezza informatica”, dunque anche per “rilevare anomalie e malfunzionamenti” del solo sistema in questione - quali finalità da ritenersi riconducibili alla dimensione teleologica di cui al comma 2 del citato art. 4.

Considerato, altresì, che, per altro verso, non risulta comprovato che il Comune abbia in concreto trattato i predetti metadati per finalità ulteriori rispetto a quelle da ultimo dichiarate, dunque per finalità riconducibili al comma 1 dell’art. 4 della l. 20 maggio 1970, n. 300, deve ritenersi che, sotto tale profilo, non ricorrano i presupposti per far valere specifiche responsabilità in capo al Comune (artt. 5, par. 1, lett. a), 6 e 88, par. 1, del Regolamento, nonché 114 del Codice), dovendosi per l’effetto procedere all’archiviazione di siffatti profili.

3.1. L’incompletezza dell’informativa agli interessati

Sotto altro ma connesso profilo, nel far presente che, in ogni caso, sul titolare incombono anche specifici obblighi informativi nei confronti degli interessati e che, con riferimento ai metadati di posta elettronica, come evidenziato anche nel menzionato Documento di indirizzo, “è essenziale che gli interessati siano resi pienamente consapevoli delle complessive caratteristiche del trattamento (specificando i tempi di conservazione dei dati, gli eventuali controlli, ecc.)” (v., in particolare, art. 13, par. 2, lett. a), del Regolamento), si rileva che, anteriormente all’inizio dell’istruttoria, il Comune non aveva reso esplicito ai lavoratori il termine di conservazione dei metadati in questione.

Ciò posto, pur prendendosi favorevolmente atto che, comunque, lo stesso ha successivamente adottato ulteriori accorgimenti nell’ottica di “rendere ancora più esplicita sulla piattaforma intranet aziendale l'informazione relativa al periodo di conservazione di 21 giorni dei metadati di posta elettronica”, dunque al fine di incrementare, in favore del personale dipendente, il livello di trasparenza in ordine a siffatti trattamenti (cfr. nota del XX; v. anche nota del XX), deve concludersi che, con riguardo al periodo anteriore all’adozione di tali misure, il trattamento in questione sia stato effettuato in assenza di informazioni complete relativamente ai tempi di conservazione dei metadati di posta elettronica, in violazione dell’art. 13 del Regolamento.

4. Conclusioni

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare tutti i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e, fatto salvo quanto indicato al paragrafo 3 del presente provvedimento, risultano insufficienti a consentire l’archiviazione, ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019, del profilo indicato al paragrafo 3.1 del presente provvedimento, non ricorrendo in relazione ad esso alcuno dei casi previsti dall’art. 11 ivi richiamato.

Si confermano, pertanto, nei termini sopra rappresentati, le valutazioni preliminari dell’Ufficio, rilevandosi l’illiceità del trattamento di dati personali effettuato dal Comune di Chivasso limitatamente al profilo relativo all’incompletezza delle informazioni rese al personale dipendente in ordine ai tempi di conservazione dei metadati di posta elettronica, anteriormente all’integrazione degli elementi informativi a beneficio dei dipendenti di cui il Comune medesimo ha poi dato atto in corso d’istruttoria (art. 13 del Regolamento).

Tanto premesso, occorre, tuttavia, tenere in considerazione taluni elementi, anche di contesto, emersi nel corso dell’istruttoria, che risultano indispensabili ai fini della valutazione in concreto dell’entità delle violazioni riscontrate e della lesività della complessiva condotta (v. cons. 148 del Regolamento).

In particolare, nel considerare che, in ogni caso, il Comune di Chivasso è un ente di ridotte dimensioni “con risorse limitate” (cfr. nota del XX), tenuto conto altresì che:

a beneficio del personale interessato, il Comune ha dichiarato di aver virtuosamente posto rimedio, già in corso d’istruttoria, alla carenza informativa sopra rilevata (cfr. art. 83, par. 2, lett. a) e c), del Regolamento);

la violazione presenta carattere colposo (cfr. art. 83, par. 2, lett. b), del Regolamento);

il Comune ha offerto una piena cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, aventi la medesima natura di quelle accertate in relazione ai fatti di reclamo (art. 83, par. 2, lett. e), del Regolamento);

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 e dell’art. 83, par. 2, del Regolamento, nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire il titolare del trattamento per la violazione della disposizione sopraindicata, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 e art. 83, par. 2, del Regolamento).

Considerato che la condotta ha ormai esaurito i suoi effetti, avendo il Comune dichiarato di aver esplicitato il termine di conservazione dei metadati di posta elettronica in favore del personale dipendente, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento posto in essere dal Comune di Chivasso, in persona del legale rappresentante pro-tempore, con sede legale in Piazza gen. Carlo Alberto Dalla Chiesa, 8 - 10034 Chivasso (TO), C.F. 82500150014, per violazione dell’art. 13 del Regolamento, nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce il predetto Comune, quale titolare del trattamento in questione, per aver violato l’art. 13 del Regolamento, come sopra descritto;  

c) ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, dispone la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

d) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 14 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori