L’Autorità per la privacy che negli ultimi anni ha chiesto alle imprese italiane di limitare al minimo indispensabile la raccolta dei dati dei dipendenti si trova ora al centro di una vicenda che mette in discussione il suo stesso modello di rigore.

La ricostruzione giornalistica pubblicata da Il Fatto Quotidiano ha riportato l’esistenza di un documento interno del Garante per la protezione dei dati personali, indirizzato al direttore del Dipartimento tecnologie digitali e sicurezza informatica dell’Autorità (DTDSI), che avrebbe disposto l’acquisizione (“con effetto immediato”) e la conservazione di un insieme estremamente ampio di dati interni, ovverossia l’intero patrimonio digitale prodotto dai dipendenti: caselle e-mail complete, log di accesso ai sistemi, attività VPN, contenuti di cartelle condivise, file condivisi e tracciati di utilizzo delle risorse digitali, archivi interni.

Una richiesta ampia e indifferenziata, che secondo la ricostruzione giornalistica avrebbe comportato la raccolta di centinaia di terabyte di informazioni, equivalenti a un monitoraggio generalizzato dell’attività lavorativa.

L’ordine, datato 4 novembre, avrebbe previsto un’esportazione retrospettiva e la copia persistente su supporti fisici, con l’indicazione di evitare qualunque sovrascrittura.

La successiva risposta formale del dirigente competente, riportata dalla stampa, segnalava l’incompatibilità dell’operazione con i principi di necessità e proporzionalità, con la disciplina sulla segretezza delle comunicazioni e con gli orientamenti della stessa Autorità in materia di controlli sui lavoratori.

La vicenda ha condotto alle dimissioni del Segretario generale, a momenti di tensione interna (contestazioni durante l’assemblea dei lavoratori, come riportano le fonti) e a successive precisazioni da parte del Collegio.

Quanto accaduto (che si inserisce in un momento particolarmente delicato per l’Autorità) merita soprattutto un’analisi che vada oltre il singolo episodio e solleva l’esigenza di interrogarsi sulla capacità delle istituzioni regolatrici di applicare a sé stesse gli stessi standard che impongono agli altri, soprattutto quando tali standard presuppongono sacrifici organizzativi rilevanti.

Inoltre, la contrapposizione tra i due funzionari, uno orientato alla sospensione dei principi cardine dell’Autorità, l’altro impegnato a difenderli, ha aperto una riflessione necessaria sulla coerenza istituzionale, sulla cultura interna dei garanti e sulla solidità del quadro etico che dovrebbe guidarne l’azione.

Dalla minimizzazione dei dati alla tutela dei lavoratori

Negli ultimi anni il Garante ha intensificato il proprio impegno nella protezione dei dati dei lavoratori, soprattutto in relazione ai sistemi digitali che generano in modo automatico grandi quantità di dati e metadati.

Il provvedimento del 6 giugno 2024 ne è un emblema: ha fissato, infatti, un limite orientativo di ventuno giorni per la conservazione dei metadati della posta elettronica (orari, destinatari, dimensioni, parametri di routing) imponendo l’obbligo di accordo sindacale o autorizzazione dell’Ispettorato del Lavoro per eventuali estensioni più ampie.

La ragione è chiara: i metadati non sono elementi neutri in quanto consentono di ricostruire abitudini, ritmi e relazioni professionali, diventando indicatori comportamentali potenzialmente idonei a generare forme di sorveglianza invisibile.

Limitare la conservazione è un modo per ridurre la possibilità che il potere informativo del datore si trasformi in una forma di controllo non dichiarato.

Il principio sottostante è condiviso anche a livello europeo. Le Guidelines 3/2019 dell’European Data Protection Board sull’uso dei dispositivi video evidenziano come la disponibilità tecnica del dato non legittimi di per sé un trattamento, soprattutto in contesti segnati da asimmetrie di potere.

Un’impostazione analoga emerge dagli interventi della CNIL francese in materia di lavoro digitale, raccolti nella pagina tematica dedicata alla sorveglianza dei dipendenti.

Conferma ulteriore arriva dal rapporto Eurofound “Employee monitoring: a moving target for regulation” , che descrive come nell’Unione europea la tecnologia stia rendendo necessario un ripensamento delle modalità di raccolta e conservazione dei dati generati nei luoghi di lavoro.

Una sospensione dei principi dell’Autorità?

All’interno di questa cornice, l’ordine del Segretario generale rappresenta un elemento di forte discontinuità. La richiesta di acquisire in forma massiva ed indifferenziata e-mail, log e archivi interni produce, nella ricostruzione giornalistica, un trattamento potenzialmente sproporzionato e incompatibile con i fondamenti normativi che l’Autorità applica ai soggetti regolati.

L’impatto più rilevante riguarda la dimensione simbolica del ruolo dell’Autorità indipendente. Il Garante è un presidio istituzionale di diritti fondamentali: la percezione di coerenza tra ciò che prescrive e ciò che fa è parte essenziale della sua legittimazione pubblica.

Quando una figura apicale sembra discostarsi dai principi cardine dell’istituzione, l’effetto non si limita agli equilibri interni, bensì si estende alla credibilità dell’intero impianto regolatorio, soprattutto nei confronti di un tessuto produttivo chiamato a rivedere profondamente le proprie pratiche interne per adeguarsi a provvedimenti drastici e ad alto impatto operativo come quello sui metadati.

L’anomalia tecnica della richiesta e il significato istituzionale

La ricostruzione giornalistica attribuisce al documento firmato dal Segretario generale anche un elemento singolare che merita attenzione sia tecnica che culturale.

L’ordine avrebbe infatti previsto che l’intera mole di dati fosse “trasposta” su “uno o più DVD”, con l’indicazione esplicita di evitare qualunque sovrascrittura.

Per avere un ordine di grandezza, la quantità di informazioni stimata sarebbe nell’ordine delle centinaia di terabyte. Considerando che un singolo DVD contiene, al massimo, 4,7 gigabyte. Significa che per trasporre 100 terabyte occorrerebbero dai 21.000 ai 22.000 DVD, a seconda della conversione utilizzata.

Il tempo materiale necessario per masterizzarli sarebbe immenso; la loro conservazione, logisticamente improponibile; la qualità e l’affidabilità del supporto, del tutto inadeguate a trattare dati istituzionali di quella criticità.

Questa sproporzione non costituisce soltanto un’anomalia tecnica. Rivela una distanza evidente tra il livello apicale dell’Autorità e la conoscenza della struttura e della scala dei sistemi digitali contemporanei. L’uso del DVD (un supporto ormai superato da anni persino negli ambienti domestici) sembra sintomatico di un approccio non aggiornato alla gestione dei dati; ciò appare tanto più grave, se si pensa che sarebbe stato posto in essere da parte di un soggetto che, per mandato istituzionale, è chiamato a governare l’evoluzione tecnologica e valutarne l’impatto sui diritti fondamentali.

L’anacronismo della richiesta, come riportata, suggerisce che il vertice amministrativo non avesse piena consapevolezza della natura dei dati che stava ordinando di acquisire, né della complessità dell’ecosistema digitale su cui si fonda l’attività quotidiana dell’Autorità.

Non si tratta, quindi, di un semplice errore operativo: l’episodio evidenzia una carenza nel presidio tecnico necessario a valutare la compatibilità tra atti amministrativi e realtà digitale.

In questa situazione, il ruolo del dirigente DTDSI emerge con particolare rilevanza: la sua opposizione, oltre a radicarsi nei principi giuridici, ha evitato che un atto tecnicamente improponibile si traducesse in una prassi contraria alla missione stessa dell’Autorità. La dinamica interna dimostra che l’equilibrio tra potere e responsabilità, nelle istituzioni indipendenti, dipende anche dalla capacità dei funzionari di compensare eventuali mancanze del livello apicale.

Risposta del direttore DTDSI: richiamo alla legalità e alla funzione

Il rifiuto motivato del dirigente tecnico, così come trapelato, rappresenta un esempio di integrità professionale in un contesto istituzionale complesso e stratificato.

Nella nota trapelata, con cui il dirigente avrebbe respinto l’ordine, si richiama non soltanto l’articolo 15 della Costituzione (segretezza della corrispondenza) e l’articolo 4 dello Statuto dei lavoratori, ma anche le disposizioni del Codice della privacy e i provvedimenti emanati negli anni dall’Autorità in materia di controlli digitali sul personale.

Questo insieme di riferimenti indica una consapevolezza piena della natura del trattamento richiesto e della sua incompatibilità con i presupposti di necessità, proporzionalità e minimizzazione che costituiscono l’architettura normativa della protezione dei dati.

Nel suo intervento, il dirigente avrebbe svolto un ruolo di garanzia interna, non limitandosi a un rilievo formale, ma riconducendo l’azione amministrativa entro un perimetro coerente con il mandato istituzionale dell’Autorità.

L’atto di opporsi, quando inserito in una dinamica gerarchica, manifesta una forma di responsabilità che trascende il profilo tecnico: richiama il dovere di preservare l’integrità dell’istituzione attraverso l’applicazione rigorosa delle norme che essa stessa esige dai soggetti regolati.

Questa vicenda mostra come la cultura della protezione dei dati debba essere misurata in base alla qualità dei provvedimenti emanati (che, nel sistema italiano, restano solidi e ben fondati), ma debba emergere anche nelle prassi interne e nella capacità dei funzionari di tradurre in azione quotidiana i principi che regolano il trattamento dei dati personali.

La tutela dei diritti fondamentali, soprattutto in materia di lavoro digitale, dipende dalla capacità dei soggetti tecnici di mantenere fermo l’impianto normativo anche nelle situazioni di pressione interna o di disallineamento tra livello politico-amministrativo e livello specialistico.

La reazione del dirigente conferma un aspetto strutturale delle autorità indipendenti: l’efficacia della loro azione è garantita sia dall’esistenza di norme ben scritte che dalla presenza di professionalità capaci di riconoscere, argomentare e applicare i limiti che la legge impone, anche quando farlo significa opporsi a ordini provenienti da posizioni apicali.

In questo senso, il comportamento del dirigente DTDSI assume un valore istituzionale estremamente rilevante: mostra infatti che, nei punti più critici, la difesa dei diritti può dipendere dalla solidità delle competenze interne e dalla loro capacità di mantenere fede ai principi che l’Autorità è chiamata a proteggere.

Il confronto internazionale: trasparenza, procedure e coerenza istituzionale

Le autorità indipendenti operano in un equilibrio delicato tra potere e responsabilità.

A livello internazionale, le autorità (anche non privacy) quando trattano dati sensibili o strategici si dotano, negli ordinamenti più maturi, di sistemi di controllo interni autonomi rispetto alla linea gerarchica.

Un esempio recente proviene dall’Australia, dove la National Anti-Corruption Commission ha rivisitato le proprie procedure dopo che un’indagine interna aveva rilevato criticità nella gestione di segnalazioni riguardanti personale di vertice in quanto non avrebbe applicato le proprie stesse regole nella gestione di una segnalazione riguardante un membro di vertice.

Secondo quanto emerso, l’Autorità non aveva trasmesso il caso all’organo esterno competente, come previsto dalle procedure, gestendolo invece internamente in violazione dei protocolli che essa stessa impone agli enti che vigila. La vicenda ha reso necessario un intervento correttivo e una revisione approfondita delle procedure, a conferma del fatto che la credibilità delle autorità indipendenti dipende anche dalla capacità di applicare a sé i medesimi standard che richiedono agli altri.

Pur riguardando un ambito non collegato alla privacy, questo caso mostra come la trasparenza sulle dinamiche interne di un’autorità contribuisca a ristabilire condizioni di fiducia e a chiarire i confini operativi tra funzioni ispettive e poteri organizzativi.

In Francia, la CNIL pubblica regolarmente decisioni e linee guida sui sistemi di controllo dei lavoratori, rendendo trasparenti ad esempio i criteri con cui valuta le tecnologie di sorveglianza. La visibilità delle decisioni rafforza la fiducia delle imprese nelle prescrizioni e rende più leggibile il principio di proporzionalità applicato dall’Autorità.

In Danimarca, la Datatilsynet pubblica annualmente relazioni che descrivono anche aspetti organizzativi interni.

La trasparenza strutturale contribuisce a consolidare la percezione di un’autorità che applica a sé stessa standard coerenti con quelli richiesti agli altri.

La percezione delle imprese: lo scarto tra governati e governanti

Le imprese, chiamate ad adeguarsi in tempi rapidi a provvedimenti tecnicamente complessi e spesso onerosi, operano quotidianamente nella consapevolezza che ogni imprecisione nella gestione dei dati possa generare rischi significativi.

È proprio in questo contesto che assume rilievo il divario tra la cura richiesta ai soggetti regolati e la leggerezza con cui, in questa vicenda, un livello apicale dell’Autorità sembra aver formulato un ordine privo del necessario radicamento tecnico e giuridico.

La distanza tra governanti e governati, quando emerge in questi termini, indebolisce il senso profondo della regolazione, che si fonda sull’esempio e sulla capacità dell’istituzione di dimostrare nei propri processi interni il rigore che pretende dall’esterno.

Il provvedimento del Garante sui metadati ha rappresentato per le imprese uno scoglio operativo importante, in quanto richiede interventi complessi quali revisione dei sistemi, aggiornamento delle architetture cloud, valutazioni d’impatto e ridefinizione delle politiche interne.

La percezione della coerenza dell’Autorità incide direttamente sulla disponibilità delle organizzazioni ad adottare le misure imposte come strumenti effettivi di tutela.

Il valore del dissenso nelle autorità indipendenti

La dicotomia tra i due funzionari offre una chiave di lettura preziosa. Da un lato emerge un comportamento che rischia di incrinare la cultura istituzionale dell’Autorità; dall’altro si manifesta la capacità di un dirigente di preservare i principi fondativi della protezione dei dati.

Questa dinamica interna non deve leggersi come un episodio marginale: rappresenta un caso di studio sulla funzione delle autorità indipendenti in un contesto tecnologico che produce un’enorme quantità di dati potenzialmente idonei al monitoraggio.

Con riferimento alla protezione dei dati nel rapporto di lavoro, questa si fonda sulla capacità delle istituzioni di mantenere coerenza tra norme e comportamenti. Il provvedimento sui metadati ha imposto limiti rigorosi per preservare la dignità dei lavoratori nell’ecosistema digitale.

Dall’altra parte la vicenda interna al Garante (in momento di alta tensione) ha mostrato come la tenuta del sistema dipenda anche dall’integrità di chi opera all’interno delle autorità stesse.

La contrapposizione tra l’atto del Segretario generale e il rifiuto motivato del dirigente DTDSI evidenzia che la cultura della protezione dei diritti si misura sia attraverso il contenuto dei provvedimenti che attraverso la capacità di interpretare e applicare con rigore i principi che li sostengono.

La credibilità della tutela, in questo contesto, nasce dalle persone che la esercitano.

Quando la professionalità tecnica e l’etica istituzionale guidano le scelte, anche in opposizione all’autorità gerarchica, i diritti fondamentali ne escono rafforzati.