Decisione KVKK sulla posta aziendale: cosa fare

Secondo il comunicato dell'autorità, reclami e segnalazioni hanno mostrato che il controllo della posta aziendale e dei canali di comunicazione da parte dei datori di lavoro incontrava accuse di illegittimità. L'esame del collegio ha accertato che gli account venivano sorvegliati, si accedeva al contenuto dei messaggi, si esaminavano i dati di traffico e di log, si applicavano filtri e controlli di routine, e che i dati venivano usati nei procedimenti disciplinari e per porre fine ai contratti di lavoro.

Lo stesso accertamento aggiunge che i dipendenti non erano stati informati in modo sufficiente, chiaro e concreto. La nostra lettura: la decisione guarda a una prassi diffusa e non a un singolo caso. Il problema è meno il controllo in sé che il fatto che il dipendente non sappia cosa accade.

La decisione non vede nell'account di posta aziendale soltanto un mezzo di comunicazione. Lo tratta come una fonte di dati che contiene la rete di contatti del dipendente, il suo modo di lavorare e il contenuto dei suoi messaggi. Descrive il controllo come un trattamento di dati personali che richiede un giusto equilibrio tra il potere direttivo del datore di lavoro e la riservatezza, la protezione dei dati e la libertà di comunicazione del dipendente.

C'è poi una differenza tra accesso tecnico e accesso giuridico. Avere accesso tecnico a un dispositivo o a una rete non dà il diritto di entrare liberamente nella posta personale, nella messaggistica istantanea e negli account social del dipendente. La nostra lettura: ciò che il pannello di amministrazione le consente non è la stessa cosa di ciò che la legge le consente.

Il collegio rende obbligatoria l'informazione preventiva e ricorda che la nozione di informazione nella giurisprudenza della Corte costituzionale non coincide con l'informativa (aydınlatma) prevista dalla legge KVKK. Un'informativa fatta a regola d'arte, che indichi in modo chiaro e concreto finalità, ambito e metodo, può soddisfare questa condizione. Una dichiarazione generica del tipo «la posta aziendale può essere controllata» non è ritenuta sufficiente.

Secondo il comunicato, l'informativa deve indicare in modo chiaro e concreto i punti seguenti. Si osserva inoltre che, per la dipendenza propria del rapporto di lavoro, il consenso esplicito non può essere considerato in ogni caso la base prioritaria; anche quando esistono un consenso o un'altra condizione di trattamento, non c'è controllo illimitato.

• La base giuridica
• Finalità e ambito del controllo
• Il metodo del controllo
• In quali casi si può accedere ai contenuti
• Il periodo di conservazione e i diritti dell'interessato

Secondo la decisione, occorre distinguere tra uso lavorativo e uso privato, e le regole dell'uso privato devono essere chiare, comprensibili e conoscibili. Anche dove l'uso privato è vietato, il controllo resta limitato dalla proporzionalità; dove i due usi non si possono separare, il potere di controllo è più ristretto. La lettura dei contenuti dovrebbe essere in linea di principio legata a un sospetto concreto o a un episodio specifico, perseguire uno scopo legittimo e limitarsi ad esso; va evitato un esame dei contenuti generale, continuo e senza confini.

Ci si aspetta anche un approccio graduale: se è possibile un metodo meno invasivo, non si deve ricorrere a quello più pesante. Va tenuto presente che i messaggi possono contenere dati particolari e dati di terzi che si trovano dall'altra parte della corrispondenza. La nostra lettura: se un ordine come prima i registri e poi, se serve, i contenuti viene messo per iscritto, sia il dipendente sia il responsabile sanno cosa aspettarsi.

• Colleghi il controllo a un episodio o a un sospetto concreto
• Provi prima il metodo meno invasivo
• Non conservi i dati più a lungo del necessario
• Limiti l'accesso a poche persone con incarichi assegnati e tenga un registro degli accessi

Il collegio chiede che, al termine del rapporto di lavoro, la base giuridica del trattamento dell'account e dei suoi dati sia valutata di nuovo, e afferma che la fine del rapporto non significa che i dati restino accessibili a tempo indeterminato. La nostra lettura: l'abitudine di pensare che la persona se ne è andata, quindi la casella resta a noi è ormai un presupposto difficile da difendere.

In pratica, per una piccola azienda che usa Google Workspace, Microsoft 365 o la posta di cPanel, questo significa un flusso scritto di uscita. Colleghi a questo flusso i registri di audit del pannello di amministrazione, l'accesso basato sui ruoli e le regole di conservazione. Quando rivede la sua infrastruttura di posta, il nostro strumento di controllo DNS della posta può esaminare anche i record di posta del suo dominio, e il nostro articolo del blog sulla scelta di un servizio di posta aziendale aiuta a scegliere il fornitore.

• Stabilisca per iscritto cosa avviene dell'account di chi se ne va
• Mantenga la risposta automatica e l'inoltro limitati al loro scopo
• Fissi in anticipo il periodo di conservazione ed elimini alla scadenza
• Segua le azioni degli amministratori nel registro di audit

L'errore più comune è inserire nel contratto una clausola di una riga secondo cui la posta può essere controllata e considerare chiusa la questione; la decisione non ammette una comunicazione generica di questo tipo. Il secondo è ritenere una firma di consenso una base che copre tutto. Il terzo è attivare una registrazione ampia e permanente senza mai guardarla; anche i dati conservati possono diventare un peso.

In un'attività portata avanti dal solo titolare, senza dipendenti, questa decisione non cambia il suo lavoro quotidiano. Ma se impiega anche una sola persona, questo quadro può valere per lei; la sua portata la stabilisce il suo avvocato.

• Accontentarsi di una clausola generica di controllo di una riga
• Considerare il consenso la base di un controllo illimitato
• Impostare un esame dei contenuti generale e continuo
• Lasciare a tempo indeterminato aperta la casella di chi se ne è andato