Garante per la protezione dei dati personali (Garante) har utfärdat en sanktionsavgift på 460 000 euro mot en fordonstillverkare för systematisk lagring och granskning av anställdas e-postmeddelanden och loggar, samt för underlåtenhet att svara på begäranden om avaktivering av e-postkonton enligt dataskyddsförordningen (GDPR).
Bakgrund
Två tidigare anställda sades upp i mars 2023. Efter att anställningarna avslutats begärde de att bolaget skulle bekräfta att deras e-postkonton hade avaktiverats. Bolaget svarade inte inom den tidsfrist på en månad som följer av artikel 12.3 GDPR. De registrerade upprepade därför sina begäranden, men bolaget svarade inte heller då. De lämnade därefter in klagomål till Garante.
De registrerade lämnade också in ytterligare klagomål och hävdade att bolaget hade fått tillgång till deras tidigare e-postkorrespondens och använt meddelandena i de disciplinära förfarandena mot dem. Bolaget hade samlat in minst 18 e-postmeddelanden från den ena personens konto, daterade från november 2020 till januari 2022, samt 94 e-postmeddelanden från den andras konto, varav vissa daterade tillbaka till april 2020. Korrespondensen omfattade även meddelanden som hade utväxlats med privata e-postkonton och tredje parter.
Bolaget uppgav att det i november 2022 hade mottagit interna rapporter om möjligt allvarligt misskötsamt beteende och därför beslutat att genomföra en intern utredning. Bolaget beskrev kontrollen som en defensiv kontroll avsedd att verifiera misstankar om olagligt agerande och skydda bolagets tillgångar. Kontrollen var enligt bolaget begränsad till de anställdas e-postkonton och genomfördes med hjälp av fördefinierade filter och sökord efter en intresseavvägning och samråd med bolagets dataskyddsombud.
Bolaget hänvisade också till sin interna policy, enligt vilken meddelanden som skickades eller mottogs via e-postsystemet och rörde utförandet av arbetsuppgifter var och förblev bolagets egendom. Policyn angav även att kontona kunde vara föremål för övervakning.
När det gäller de obesvarade begärandena hävdade bolaget att de registrerade inte uttryckligen hade begärt radering av specifika personuppgifter eller hänvisat till GDPR. Bolaget uppgav att kontona hade avaktiverats den 16 februari 2023 och permanent raderats den 27 april 2023. Bolaget hävdade också att ingen hade fått tillgång till kontona efter avaktiveringen. De relevanta e-postmeddelandena behövde enligt bolaget bevaras eftersom det pågick rättsliga processer rörande uppsägningarna och bevarandet var nödvändigt för att skydda företagets rätt till försvar.
Bolaget uppgav vidare att det behöll säkerhetskopior av e-post under hela anställningsförhållandet och i ytterligare fem år efter att anställningen upphört, medan e-postloggar sparades i sex månader. Bolaget hävdade att dessa lagringstider var nödvändiga av informationssäkerhetsskäl, för verksamhetens kontinuitet, för att kunna hantera potentiella krav samt för att försvara företagets intressen inför domstolar eller offentliga myndigheter.
Efter att förfarandet inletts minskade bolaget lagringstiden för e-post till tre månader efter anställningens upphörande och lagringstiden för loggar till 21 dagar. Bolaget reviderade även sina interna policyer och införde ytterligare tekniska och organisatoriska åtgärder.
Myndighetens bedömning
Garante konstaterade inledningsvis att en individuell e-postadress och tillhörande korrespondens utgör personuppgifter. En begäran om bekräftelse på att ett sådant konto hade avaktiverats skulle därför hanteras som en begäran som rör behandlingen av de registrerades personuppgifter, även om de registrerade inte uttryckligen hänvisade till GDPR eller angav en specifik rättighet. Garante fann att pågående rättsliga processer i vissa fall kan motivera en begränsning av eller påverka utövandet av en registrerads rättigheter, men att bolaget ändå var skyldigt att hantera begäran inom tillämplig tidsfrist och, om begäran inte kunde tillmötesgås, informera de registrerade om skälen och om möjligheten att klaga till en tillsynsmyndighet eller väcka talan. Garante konstaterade en överträdelse av artikel 12.3 GDPR jämförd med artikel 17 GDPR.
Avseende den interna utredningen hänvisade Garante till praxis från Italiens högsta domstol, enligt vilken defensiva kontroller kan genomföras när det finns en välgrundad misstanke om olagligt agerande, under förutsättning att en lämplig balans upprätthålls mellan arbetsgivarens intressen och arbetstagarens värdighet och integritet, och att kontrollen avser uppgifter som härrör från tiden efter det att den konkreta misstanken uppstod. Garante konstaterade att misstanken i detta fall uppstod i november 2022, medan bolaget hade granskat korrespondens som gick tillbaka omkring två år i tiden. Kontrollen var därmed retroaktiv och omfattade uppgifter som hade samlats in och lagrats före den konkreta misstanken. Att bolaget hade använt sökord, filter och gjort en intresseavvägning förändrade inte denna bedömning.
Garante fann vidare att bolagets dokumenterade ändamål inte var tillräckligt specifika för att motivera en systematisk lagring av all korrespondens för samtliga anställda under hela anställningen och i ytterligare fem år. Behandlingen saknade ett lämpligt rättsligt stöd enligt artikel 6 GDPR och bolaget hade inte visat att den omfattande behandlingen var nödvändig för specifika och på förhand fastställda ändamål. Garante konstaterade överträdelser av principen om ändamålsbegränsning i 5.1 (b) GDPR, principen om uppgiftsminimering i 5.1 (c) GDPR och principen om lagringsminimering i 5.1 (e) GDPR.
Garante avvisade bolagets ståndpunkt att anställda inte borde kunna förvänta sig konfidentialitet beträffande kommunikation och filer i bolagets system. Myndigheten konstaterade att både innehållet i e-postmeddelanden och uppgifter om kommunikationen, såsom metadata, omfattas av skyddet för korrespondens och kommunikation enligt rätten till privatliv. Anställda har därmed en legitim förväntan på konfidentialitet även på arbetsplatsen.
Garante konstaterade vidare att system och program som används för att systematiskt samla in, lagra och behandla uppgifter från e-postanvändningen inte är nödvändiga för själva användningen av e-post som arbetsverktyg. Sådana system kan fungera oberoende av den anställdes normala e-postanvändning och kan göra det möjligt för arbetsgivaren att rekonstruera den anställdes aktiviteter. Myndigheten drog slutsatsen att den systematiska insamlingen och lagringen samt den efterföljande användningen av e-postinnehåll och metadata gjorde det möjligt att rekonstruera och övervaka de anställdas aktiviteter utan de skyddsåtgärder som krävs enligt italiensk arbetsrätt. Garante konstaterade därför överträdelser av principen om öppenhet i 5.1 (a) GDPR samt artikel 88 GDPR jämförd med artikel 114 i den italienska dataskyddslagstiftningen.
Garante fann även att bolagets policy var olaglig i den mån den tillät att en tidigare anställds e-postadress förblev aktiv i upp till 30 dagar efter anställningens upphörande och att inkommande meddelanden eller innehållet i postlådan kunde vidarebefordras till en annan anställd på grundval av allmänt formulerade verksamhetsbehov, även under förutsättning att den tidigare anställdes samtycke hade lämnats.
Slutligen konstaterade Garante att bolaget inte hade visat hur och när de registrerade hade informerats om behandlingen. Bolagets policyer angav inte tillräckligt tydligt ändamålen med behandlingen eller det rättsliga stödet för lagringen av e-post och loggar. Inte heller den reviderade policyn förklarade de specifika ändamålen med behandlingen på ett tillräckligt tydligt sätt. Garante konstaterade därför överträdelser av principen om öppenhet i 5.1 (a) GDPR och informationsskyldigheten i artikel 13 GDPR.
Garante ålade bolaget en sanktionsavgift på 460 000 euro och förbjöd bolaget att få tillgång till innehållet i de uppgifter som hade samlats in och lagrats olagligen i bolagets system.
Praktiska konsekvenser
Beslutet klargör att en arbetsgivares systematiska lagring av anställdas e-postmeddelanden och loggar inte utan vidare kan motiveras med generella hänvisningar till informationssäkerhet, verksamhetskontinuitet eller möjliga framtida tvister. Ändamålen måste vara specifika och på förhand bestämda, och lagringstiderna måste vara direkt kopplade till dessa ändamål. En policy som tillåter lagring av all e-postkorrespondens under hela anställningen och i ytterligare fem år uppfyller inte kraven på ändamålsbegränsning, uppgiftsminimering och lagringsminimering enligt artikel 5 GDPR.
Beslutet preciserar också gränserna för defensiva kontroller i arbetslivet. Att genomföra en riktad granskning av e-postkorrespondens som går tillbaka två år i tiden, baserat på en misstanke som uppstått kort dessförinnan, är inte förenligt med de krav som följer av italiensk praxis och GDPR. Uppgifter som samlats in och lagrats systematiskt innan en konkret misstanke uppstod kan inte användas som underlag för en defensiv kontroll, oavsett att granskningen genomförts med sökord och filter.
Beslutet understryker slutligen att en begäran om avaktivering av ett e-postkonto ska behandlas som en begäran som rör behandlingen av personuppgifter, även om den registrerade inte uttryckligen hänvisar till GDPR. Att inte svara inom en månad utgör en överträdelse av artikel 12.3 GDPR, oavsett om pågående rättsliga förfaranden anförs som skäl.
TechLaw följer utvecklingen och publicerar löpande inlägg om tillsynsärenden, rättsutveckling och andra aktuella frågor på dataskyddsområdet. Läs mer om hur vi bistår våra klienter inom dataskydd och integritet.
Källa: Garante.
