Piaggio ukarana kwotą 460 tys. euro: 112 służbowych wiadomości e-mail i kopie zapasowe przechowywane pięć lat po ustaniu zatrudnienia

Stan faktyczny

Postępowanie zostało wszczęte na skutek skarg dwóch byłych pracowników Piaggio & C. Spa. W trakcie stosunku pracy spółka uzyskała dostęp do ich służbowych skrzynek pocztowych i pozyskała łącznie 112 wiadomości, deklarując jako cel weryfikację rzekomych nieprawidłowości.

Najbardziej zaważył szczegół chronologiczny. W niektórych przypadkach pozyskane wiadomości pochodziły sprzed około dwóch lat przed powstaniem podejrzenia po stronie spółki. Nie było to zatem ukierunkowane sprawdzenie konkretnego zdarzenia, lecz wsteczne przeszukanie archiwum, które już istniało i zostało zbudowane wcześniej, niezależnie od jakiegokolwiek podejrzenia.

Archiwum to było wynikiem dwóch decyzji o okresie przechowywania: kopii zapasowych danych pocztowych przez cały okres trwania stosunku pracy i do pięciu lat po jego ustaniu oraz przechowywania powiązanych logów przez sześć miesięcy. Organ uznał oba terminy za nadmierne.

Dlaczego staje się to kontrolą na odległość

Rozumowanie organu odpowiada utrwalonej linii dotyczącej narzędzi pracy: gdy zbieranie i przechowywanie mają charakter systematyczny i długotrwały, przetwarzanie staje się zdatne do odtworzenia aktywności pracownika. Od tego momentu nie liczy się już zamiar pracodawcy, lecz obiektywna zdolność systemu. A ta zdolność wymaga gwarancji przewidzianych we włoskim statucie pracowniczym, których w tej sprawie nie zastosowano.

Dlatego granica między narzędziem pracy a narzędziem kontroli nie przebiega na papierze, lecz w konfiguracji technicznej. Klient poczty jest narzędziem pracy; ten sam klient z nieograniczonym przechowywaniem kopii zapasowych i logami trzymanymi miesiącami staje się systemem kontroli, choć nikt nigdy takiej decyzji nie podjął.

Pozostałe naruszenia

• Nadmierne okresy przechowywania zarówno służbowych wiadomości, jak i logów dostępu, z naruszeniem zasady ograniczenia przechowywania.
• Braki w informacji przekazywanej pracownikom o celach i podstawach prawnych przetwarzania: informacja nie wyjaśniała należycie, co jest przechowywane, przez jaki czas i na jakich warunkach jest dostępne.
• Brak odpowiedzi na wnioski byłych pracowników o realizację praw, w szczególności dotyczące potwierdzenia dezaktywacji kont.

Organ uznał przetwarzanie danych osobowych ze służbowej poczty elektronicznej za niezgodne z prawem, zakazał spółce Piaggio dostępu do danych zebranych i przechowywanych w jej systemach oraz nałożył administracyjną karę pieniężną w wysokości 460 tys. euro.

Wnioski dla obsługujących wielu klientów

Zarządzanie służbową pocztą elektroniczną jest prawdopodobnie najbardziej zaniedbanym obowiązkiem spośród tych o wysokim ryzyku kary, ponieważ leży na styku dwóch funkcji: dział IT decyduje o technicznym okresie przechowywania, kadry piszą informację dla pracowników, a te dwie rzeczy prawie nigdy nie są ze sobą zestawiane. Rejestr czynności przetwarzania jest właściwym miejscem, żeby to ujawnić, ponieważ wymusza wpisanie okresu przechowywania obok celu. Jeżeli w rejestrze nie ma czynności „poczta elektroniczna pracowników” albo jest z ogólnikowym terminem, ten klient ma ten sam problem co Piaggio, tylko w mniejszej skali.