Ordinanza ingiunzione o revoca n. 534 del 25/09/2025

Vimar S.p.A.: uso illecito di un account e-mail aziendale intestato al lavoratore e mancata informativa al dipendente

Il Garante per la protezione dei dati personali ha definito il reclamo proposto da un lavoratore nei confronti di Vimar S.p.A., relativo all’attivazione di un account di posta elettronica aziendale recante il suo nome e cognome, mai comunicato all’interessato e, di fatto, utilizzato da più soggetti per esigenze interne di magazzino e logistica. Il provvedimento conclude per l’illiceità del trattamento e dispone una sanzione amministrativa pecuniaria, oltre a misure correttive in materia di informativa.

Origine del procedimento e istruttoria

Il procedimento è stato avviato a seguito di reclamo ex art. 77 GDPR presentato il 25 maggio 2023 e regolarizzato il 17 luglio 2023. Il reclamante aveva denunciato:

• l’attivazione di un account a suo nome senza previa informativa;
• la sua presunta accessibilità a chiunque, mediante credenziali esposte;
• l’utilizzo dell’account da parte di soggetti terzi, a sua insaputa.

A seguito della richiesta di informazioni ex art. 157 Codice privacy, la Società ha riferito che l’account era stato creato il 19 ottobre 2019 per finalità organizzative e produttive, in un contesto in cui, secondo quanto dichiarato, l’offerta Microsoft non consentiva caselle non nominative. Ha inoltre sostenuto che la casella fosse stata usata per comunicazioni di reparto e che fosse stata disattivata il 23 febbraio 2023, dopo essersi accorta che il dipendente interessato non ne era a conoscenza.

Fatti accertati

All’esito dell’istruttoria, il Garante ha accertato che la Società aveva creato un indirizzo di posta aziendale intestato al reclamante, rendendolo però un account condiviso da una molteplicità di soggetti, inclusi dipendenti della Società e collaboratori della società appaltatrice dei servizi logistici. L’account è rimasto attivo per oltre tre anni ed è stato utilizzato per esigenze organizzative e produttive della struttura.

L’Autorità ha sottolineato che, pur essendo formalmente individualizzato, l’indirizzo non era destinato all’uso del reclamante ma di terzi, con conseguente trattamento di dati personali del lavoratore non conforme alla disciplina applicabile.

Violazioni del GDPR accertate

Il Garante ha ritenuto integrata la violazione dei seguenti articoli del GDPR:

• art. 5, par. 1, lett. a): liceità, correttezza e trasparenza;
• art. 5, par. 1, lett. b): limitazione delle finalità;
• art. 5, par. 1, lett. c): minimizzazione dei dati;
• art. 5, par. 1, lett. d): esattezza;
• art. 6: assenza di idonea condizione di liceità;
• art. 13: mancata informativa all’interessato.

Secondo l’Autorità, l’account non fu creato per essere usato dal reclamante nell’ambito del rapporto di lavoro, ma venne impiegato da terzi estranei al rapporto medesimo. Ciò ha determinato un trattamento privo di base giuridica idonea, scorretto nei confronti del dipendente, non proporzionato rispetto alle finalità dichiarate e non conforme al principio di esattezza, poiché un dato personale riconducibile al reclamante è stato associato a un uso da parte di altri soggetti.

Valutazioni sul principio di correttezza e sull’informativa

Il Garante ha richiamato il fatto che, nel rapporto di lavoro, il trattamento dei dati deve svolgersi secondo buona fede e correttezza. Nel caso concreto, la mancata comunicazione dell’esistenza dell’account al lavoratore è stata ritenuta incompatibile con tali principi.

L’Autorità ha inoltre osservato che né il regolamento aziendale né l’informativa prodotti in atti potevano essere considerati idonei ad assolvere l’obbligo informativo con riferimento alla fattispecie esaminata, poiché descrivevano trattamenti non corrispondenti alla condotta concretamente posta in essere. Il Garante ha anche segnalato che alcune previsioni del regolamento aziendale relative alla posta elettronica e all’accesso agli archivi di posta non apparivano allineate ai principi di minimizzazione e liceità.

Archiviazione parziale su privacy by design e sicurezza

Con riferimento alle contestazioni iniziali relative agli artt. 25 e 32 GDPR, il Garante ha ritenuto che gli elementi forniti dalla Società facessero emergere una situazione diversa da quella contestata sotto i profili già accertati. Per tale ragione, ha disposto l’archiviazione limitatamente alla violazione di tali articoli, ritenendo che i rilievi di non conformità fossero assorbiti e correttamente ricondotti alle altre violazioni accertate.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 83 GDPR e ha determinato la sanzione in euro 15.000. Nella quantificazione ha valorizzato:

• la gravità della violazione, che ha inciso su principi generali del trattamento e sul diritto all’informativa;
• la durata della condotta, protrattasi dal 19 ottobre 2019 al 23 febbraio 2023;
• il numero di soggetti coinvolti nell’utilizzo dell’account;
• il grado di responsabilità della Società;
• la cooperazione prestata nel corso dell’istruttoria;
• la disattivazione dell’account avvenuta il 23 febbraio 2023;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2024.

L’Autorità ha richiamato anche la necessità che la sanzione sia effettiva, proporzionata e dissuasiva, ai sensi dell’art. 83, par. 1, GDPR.

Provvedimenti correttivi e pubblicazione

Ai sensi dell’art. 58, par. 2, lett. d) GDPR, il Garante ha ordinato alla Società di predisporre documenti contenenti informazioni sui trattamenti relativi agli account di posta elettronica aziendale, in modo conforme alla disciplina di protezione dei dati personali.

È stata inoltre disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito Internet del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione nel registro interno del Garante.

La Società è stata ingiunta al pagamento della sanzione entro 30 giorni dalla notifica, con facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine previsto per l’opposizione. Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.