Il Garante Privacy ha comminato alla Regione Lazio una sanzione di 100mila euro per aver controllato i metadati della posta elettronica dei dipendenti senza adeguate tutele per la riservatezza e in violazione delle norme che limitano il controllo a distanza. Oltre alla sanzione amministrativa, l'Autorità ha disposto la cancellazione dei metadati illecitamente raccolti e il divieto di ogni ulteriore operazione di trattamento dei medesimi.

Il caso in esame trae origine dalla segnalazione di un sindacato che aveva lamentato un monitoraggio posto in essere dall'Amministrazione sulla posta elettronica del personale in servizio presso gli uffici dell'Avvocatura regionale. La Regione giustificava l'avvio di tale verifica con il sospetto di una possibile rivelazione a terzi di informazioni protette dal segreto d'ufficio. Oggetto del monitoraggio, i metadati relativi ad orari, destinatari, oggetto delle comunicazioni, peso degli allegati.
Nel corso del procedimento, il Garante ha accertato che l'Ente pubblico aveva potuto effettuare il monitoraggio del personale sfruttando i dati conservati per generiche finalità di sicurezza informatica per 180 giorni, in assenza di idonei presupposti giuridici violando così i principi di protezione dei dati e delle norme sul controllo a distanza. Inoltre, il trattamento di dati personali posto in essere ha consentito al datore di lavoro di entrare in possesso di informazioni relative anche alla sfera privata dei dipendenti, a partire dalle loro opinioni, contatti e fatti non attinenti all'attività lavorativa.

Nel provvedimento, l'Autorità ha chiarito che la generalizzata raccolta e l'estesa conservazione dei metadati della posta elettronica non sono strumentali allo «svolgimento della prestazione» del dipendente, ai sensi dello Statuto dei lavoratori.