Con la newsletter del 30 maggio 2025, il Garante privacy ha dato notizia della pubblicazione del provvedimento emesso il 29 aprile contro la Regione Lombardia per alcune violazioni incentrate soprattutto sulla non corretta applicazione delle norme del codice privacy che richiamano gli articoli 4 e 8 dello Statuto dei lavoratori, in relazione all’uso della tecnologia per finalità di cybersecurity.

Fatti

L’autorità aveva avviato un’attività ispettiva d’ufficio nei confronti della Regione Lombardia per verificare l’osservanza delle norme in materia di protezione dei dati personali nell’ambito lavorativo, inclusa la modalità di “lavoro agile”.

Dagli accertamenti è emerso che la Regione Lombardia utilizzava strumenti informatici secondo un proprio regolamento, come segue.

• Navigazione Internet: La navigazione era libera ad eccezione di una “black list”. Tutti i log di navigazione, inclusi i tentativi falliti di accesso, venivano conservati per 12 mesi sui server del proprio responsabile del trattamento, incaricato della gestione dell’infrastruttura tecnologica e della navigazione sicura. La Regione poteva risalire alla navigazione di una macchina specifica tramite la ricongiunzione di informazioni separate (utente e IP) in caso di richieste motivate dell’autorità giudiziaria o anomalie di traffico. Non era stato stipulato un accordo sindacale ai sensi dell’articolo 4 comma 1 della Legge 300/1970.
• Posta Elettronica (Microsoft 365): Il servizio era gestito da identico gestore. I log del servizio di posta elettronica (metadati) venivano raccolti dal responsabile del trattamento e conservati per 90 giorni per assistenza tecnica, senza accesso diretto da parte dei dipendenti. Per la posta elettronica, Microsoft consentiva la raccolta di metadati per 7 giorni direttamente sul server Exchange e mediante un report CSV con meno informazioni per 90 giorni, parametro temporale impostato da Microsoft e non riducibile.
• Servizio di Assistenza Tecnica: Il servizio prevedeva un numero telefonico dedicato e un portale. I ticket di assistenza venivano gestiti tramite una piattaforma, con conservazione dei dati per 78 mesi (6 anni + 6 mesi). Il personale della società fornitrice e alcuni dipendenti della Regione avevano accesso al sistema, con visibilità differenziata. I dati del sistema di ticketing, in una fase successiva, sarebbero stati conservati per 12 mesi con dati identificativi, poi anonimizzati per finalità amministrative.
• Separazione dei dati: La Regione ha evidenziato come l’organizzazione dei servizi di sicurezza preventiva è concepita in modo che nessun gestore poteva risalire autonomamente all’identificazione dell’utente. Infatti, il gestore proxy conservava i log di navigazione associati al solo l’IP della macchina; il gestore rete associava IP e MAC ADDRESS e il gestore della postazione di lavoro (PdL) associava MAC ADDRESS e nome utente. Gli allarmi di sicurezza erano analizzati in modo automatico e anonimo., e solo in caso di alto rischio si procedeva all’individuazione della postazione infetta.

Continua…