Ordinanza ingiunzione o revoca n. 796 del 20/10/2026

Ritardo nell’accesso ai dati e gestione della posta elettronica dei lavoratori

Il provvedimento del 20 ottobre 2026 riguarda Techpartner s.r.l. e due profili: il ritardo nel riscontro a un’istanza di accesso ai dati personali e le regole aziendali per la gestione degli account e-mail dei dipendenti e collaboratori. Il procedimento ha avuto origine da un reclamo presentato l’11 ottobre 2023.

Reclamo e svolgimento dell’istruttoria

Il reclamante aveva presentato il 31 luglio 2023 una richiesta di accesso ai propri dati personali trattati dalla Società dal 2013, chiedendo anche conferma dei trattamenti in corso e documentazione completa. La richiesta affrontava ulteriori questioni lavorative, ma richiamava espressamente la disciplina privacy e il diritto di accesso.

Con nota del 22 marzo 2024 il Garante ha chiesto alla Società chiarimenti e di dare seguito all’istanza. La Società ha riferito di aver inviato una risposta al legale il 4 agosto 2023, dichiarandosi disponibile a consentire l’accesso, ma di aver incontrato difficoltà nel reperire documenti anteriori al 2020, trasferiti in occasione di una fusione. La documentazione è stata infine trasmessa all’interessato il 17 aprile 2024, dopo l’avvio dell’istruttoria. In una successiva nota del 1° ottobre 2024 la Società ha trasmesso, tra l’altro, la documentazione relativa alla risposta del 4 agosto 2023, le designazioni e istruzioni impartite al personale e il registro dei trattamenti.

Con atto del 30 gennaio 2025, notificato ai sensi dell’art. 166, comma 5, del Codice privacy, l’Ufficio ha avviato il procedimento sanzionatorio e correttivo. Le contestazioni riguardavano gli artt. 12, par. 3, e 15 GDPR e i principi dell’art. 5, par. 1, lett. a), c) ed e), GDPR, in relazione alla posta elettronica dei lavoratori. La Società aveva depositato memorie difensive il 20 gennaio 2025. Non sono state riscontrate violazioni in relazione alla videosorveglianza e alla lamentata comunicazione a terzi di informazioni sulla convocazione a una visita medica di idoneità.

Violazione del diritto di accesso

Il Garante ha ritenuto che la richiesta fosse chiaramente un’istanza di accesso ai sensi dell’art. 15 GDPR: la presenza di altre questioni lavorative non ne modificava la natura, né il Regolamento impone particolari requisiti di forma. È stato richiamato il punto 3.1.2, par. 52, delle Linee guida EDPB 1/2022 sui diritti degli interessati – diritto di accesso.

La Società non ha rispettato il termine di un mese previsto dall’art. 12, par. 3, GDPR. La difficoltà di reperire documenti trasferiti in occasione della fusione non giustificava il ritardo: la norma consente, quando necessario per la complessità o il numero delle richieste, una proroga fino a due mesi, ma il titolare deve informare l’interessato entro il termine iniziale della proroga e dei relativi motivi. Il riscontro è arrivato circa nove mesi dopo la richiesta e solo a seguito dell’istruttoria dell’Autorità. Sono state quindi accertate le violazioni degli artt. 12, par. 3, e 15 GDPR.

Trattamento della posta elettronica aziendale

Il regolamento interno della Società disciplinava l’uso degli strumenti informatici e prevedeva, dopo la cessazione del rapporto, il mantenimento dell’account individualizzato per un periodo di tre o sei mesi, con possibilità di consultare i messaggi per assicurare la continuità aziendale. La Società ha dichiarato che, nella prassi, disattivava l’account e attivava una risposta automatica con un indirizzo alternativo; ha inoltre sostenuto di conservare soltanto e-mail professionali per il tempo necessario. Ha riferito che il lavoratore cessato era invitato a cancellare i messaggi privati e che, in caso di assenza improvvisa, l’accesso al PC richiedeva una motivazione e l’autorizzazione del responsabile. Ha anche dichiarato di aver ridotto a tre mesi il periodo di disattivazione, senza produrre la nuova policy annunciata.

Il Garante ha precisato che l’assenza di reclami o segnalazioni da parte dei dipendenti non impedisce i controlli d’ufficio. Ha richiamato l’art. 57, par. 1, lett. v), GDPR e l’art. 21 del regolamento del Garante n. 1/2019, secondo cui l’Autorità può avviare un’istruttoria preliminare anche senza reclamo, segnalazione o notifica di violazione; è stata citata anche Cass. civ., sez. II, ord. n. 40635 del 17 dicembre 2021.

Il contenuto dei messaggi e i dati esteriori delle comunicazioni — inclusi log, mittenti e destinatari, indirizzi IP, orari, dimensioni, allegati e oggetti — sono assistiti dalle garanzie di segretezza della corrispondenza di cui agli artt. 2 e 15 Cost. e da una legittima aspettativa di riservatezza anche nel contesto lavorativo. Il Garante ha richiamato il proprio provvedimento n. 13 del 1° marzo 2007, recante le Linee guida per posta elettronica e internet, nonché i provvedimenti n. 613 del 9 ottobre 2025, n. 153 del 13 marzo 2025, n. 263 del 22 giugno 2023, n. 53 del 1° febbraio 2018 e n. 214 del 29 ottobre 2020.

La continuità aziendale non può essere assicurata conservando e consultando le caselle di posta individuali. I documenti necessari all’attività devono essere archiviati in sistemi di gestione documentale idonei a garantirne autenticità, integrità, affidabilità, leggibilità e reperibilità. Dopo la cessazione del rapporto è invece conforme ai principi privacy disattivare e rimuovere l’account, attivare una risposta automatica che informi i mittenti e indichi recapiti professionali alternativi, e impedire al datore di lavoro di visualizzare i messaggi in arrivo durante il funzionamento della risposta automatica.

Anche l’accesso alla posta in caso di assenze improvvise o prolungate non è conforme se consente al datore di lavoro di consultare direttamente i messaggi. Secondo le Linee guida del 2007, il lavoratore deve poter designare un fiduciario incaricato di verificare la posta e inoltrare al titolare soltanto i messaggi rilevanti per l’attività, quando ricorrano esigenze improrogabili. Il Garante ha pertanto confermato la violazione dei principi di liceità, minimizzazione e limitazione della conservazione di cui all’art. 5, par. 1, lett. a), c) ed e), GDPR.

Contestazioni archiviate

Il Garante ha disposto l’archiviazione della contestazione relativa agli artt. 5, par. 1, lett. a), e 88 GDPR e all’art. 114 del Codice privacy. Le contestazioni iniziali sulla videosorveglianza e sulla comunicazione a terzi di dati personali non hanno dato luogo ad accertamenti di violazione.

Misura correttiva

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, la Società deve conformare i disciplinari aziendali sull’utilizzo degli strumenti informatici alla disciplina in materia di protezione dei dati, con riguardo agli account e-mail dei dipendenti e collaboratori sia durante il rapporto sia dopo la sua interruzione. L’adeguamento deve avvenire entro 60 giorni dalla notifica del provvedimento, secondo le indicazioni della motivazione.

Sanzione e criteri di quantificazione

Il Garante ha considerato due condotte distinte e, non ricorrendo l’art. 83, par. 3, GDPR, ha determinato la sanzione sommando gli importi riferiti alle singole violazioni. Per entrambe ha valutato la gravità di livello medio secondo le Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie, adottate il 24 maggio 2023, punto 60, e ha tenuto conto dei principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR.

Per il ritardo nell’accesso, la violazione è stata valutata di media entità, colposa e relativa a dati comuni. Il riscontro è arrivato dopo nove mesi e dopo l’avvio dell’istruttoria. Sono stati considerati l’assenza di precedenti pertinenti, la piena cooperazione della Società, l’origine del procedimento dal reclamo dell’interessato e le condizioni economiche risultanti dal bilancio 2025, caratterizzato da una perdita di esercizio. La sanzione per la violazione degli artt. 12, par. 3, e 15 GDPR è stata fissata in 9.500 euro.

Per il trattamento della posta elettronica, la condotta è stata ritenuta colposa e riferita al contenuto delle comunicazioni. Ai fini della quantificazione sono stati considerati la dichiarata modifica delle policy, non documentata, l’assenza di precedenti pertinenti, un grado ordinario di cooperazione e le condizioni economiche risultanti dal bilancio 2025, anch’esso caratterizzato da una perdita di esercizio. La sanzione per la violazione dell’art. 5, par. 1, lett. a), c) ed e), GDPR è stata fissata in 16.000 euro. L’importo complessivo è quindi pari a 25.500 euro.

Dispositivo, pagamento e impugnazione

Il Garante ha dichiarato illecito il trattamento, prescritto l’adeguamento entro 60 giorni e ordinato il pagamento di 25.500 euro. In caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, il pagamento deve essere effettuato entro 30 giorni dalla notifica, secondo le modalità indicate nell’allegato; in mancanza possono essere avviati gli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981. Resta possibile definire la controversia pagando la metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150.

È stata disposta la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul sito del Garante, ai sensi dell’art. 154-bis, comma 3, e dell’art. 166, comma 7, del Codice e del regolamento n. 1/2019. Le violazioni e le misure sono inoltre annotate nel registro interno dell’Autorità ai sensi dell’art. 17 del medesimo regolamento. È ammessa opposizione davanti al tribunale ordinario competente entro 30 giorni dalla comunicazione, elevati a 60 giorni per chi risiede all’estero, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011.