Il provvedimento
Il Garante per la protezione dei dati personali, con il provvedimento n. 243 del 29 aprile 2025, ha sanzionato Regione Lombardia per trattamento illecito di dati personali. Le violazioni riscontrate riguardano:
- Conservazione prolungata dei log di posta elettronica (90 giorni);
- Tracciamento sistematico della navigazione web dei dipendenti tramite firewall aziendale;
- Mancata nomina ai sensi dell’art. 28 GDPR per i dati trattati nel sistema di ticketing tecnico OTRS, anche se dismesso.
Novità e conferme normative
Log e-mail: retention massima di 21 giorni
Come ribadito nel Documento di indirizzo del Garante del 6 giugno 2024, la conservazione dei metadati di posta elettronica oltre i 21 giorni è lecita solo se preceduta da:
- stipula di accordo sindacale, oppure
- autorizzazione dell’Ispettorato Nazionale del Lavoro (INL).
Log di navigazione web: necessaria intesa sindacale
Qualsiasi forma di tracciamento accessibile o riconducibile al singolo dipendente necessita di accordo sindacale, in conformità all’art. 4, co. 1 della Legge 300/70 (Statuto dei Lavoratori).
Sistema OTRS e nomina art. 28
Il Garante ha ritenuto illecita la conservazione per 8 anni dei ticket di assistenza contenenti dati personali in assenza di un accordo contrattuale valido con i fornitori.
Anche i sistemi dismessi devono essere coperti da nomine ai sensi dell’art. 28, fino alla cancellazione effettiva dei dati.
Azioni consigliate
- Verifica la retention dei log di posta e navigazione web, in particolare se utilizzi Microsoft 365 o Google Workspace, dove i log sono spesso conservati per 90 giorni o più.
- Controlla i sistemi di proxy, firewall o SIEM che generano log associabili agli utenti.
- Esamina tutti i contratti IT per assicurarti che ogni trattamento – anche pregresso o residuo – sia coperto da un Accordo ai sensi dell’art. 28 del GDPR, regolarmente sottoscritto.
- Se utilizzi sistemi che non permettono la configurazione dei log a 21 giorni, è necessario:
- stipulare un Accordo sindacale con le RSU;
- in mancanza di rappresentanze, richiedere l’autorizzazione all’INL competente, previa esecuzione di una DPIA preventiva.
Le questioni affrontate dal Garante sono complesse e spesso di difficile gestione operativa.
Siamo a disposizione per confronti o approfondimenti volti a individuare la soluzione più adeguata alle eventuali non conformità.
