Ordinanza ingiunzione o revoca n. 68 del 09/03/2023

Consorzio Concessioni Reti Gas S.c.a.r.l. - trattamento illecito dell’account e-mail di un tirocinante

Il Garante ha esaminato il trattamento connesso all’account di posta elettronica individualizzato assegnato a un tirocinante del Consorzio, dopo l’interruzione del rapporto. Il procedimento è stato avviato a seguito di reclamo dell’interessato e si è concluso con l’accertamento dell’illiceità del trattamento, l’archiviazione parziale di alcune contestazioni e l’irrogazione di una sanzione amministrativa pecuniaria.

Origine del procedimento e attività istruttoria

Il reclamo, presentato ai sensi dell’art. 77 GDPR e regolarizzato in seguito, lamentava tre profili principali:

• impossibilità di accedere all’account e-mail dopo la cessazione del tirocinio;
• persistenza dell’attività dell’account dopo la cessazione del rapporto;
• mancanza di informativa sul trattamento dei dati relativi all’account.

Il Consorzio ha sostenuto di aver gestito l’account per un periodo limitato dopo la cessazione del tirocinio, di avervi acceduto solo per reperire comunicazioni di interesse aziendale e di aver impartito verbalmente al tirocinante istruzioni sull’uso della casella. Ha inoltre richiamato esigenze organizzative, di riservatezza e di tutela in vista di eventuali contenziosi.

Trattamenti esaminati

All’esito dell’istruttoria è risultato che il Consorzio, dopo la cessazione del tirocinio avvenuta l’11 febbraio 2020, ha mantenuto attivo l’account individualizzato del reclamante fino al 6 aprile 2020 e ha consultato le comunicazioni pervenute. Il Garante ha rilevato che non è stato attivato alcun sistema di risposta automatica e non sono emerse evidenze di un’informativa preventiva adeguata sul trattamento svolto tramite quell’account.

L’Autorità ha sottolineato che la casella di posta elettronica individualizzata consente di conoscere informazioni personali dell’interessato e che, anche nel contesto di un tirocinio, l’accesso alle comunicazioni dopo la cessazione del rapporto deve essere valutato in modo rigoroso e con strumenti meno invasivi.

Violazioni accertate

Il Garante ha ritenuto violati:

• l’art. 5, par. 1, lett. a) GDPR, per difetto di correttezza, in ragione della mancata informazione preventiva e documentata sulle modalità di utilizzo dell’account;
• l’art. 5, par. 1, lett. c) GDPR, per violazione del principio di minimizzazione, poiché il Consorzio ha acceduto direttamente alle comunicazioni invece di adottare misure meno invasive;
• l’art. 12 GDPR, per la mancanza di adeguate modalità di fornitura delle informazioni;
• l’art. 13 GDPR, per l’assenza di prova di un’informativa preventiva completa.

Secondo il Garante, le informazioni sulle regole di funzionamento dell’account avrebbero dovuto essere fornite per iscritto e in modo trasparente, tanto più considerando l’obbligo imposto al tirocinante di inviare in copia il tutor o altri responsabili del Consorzio.

Profili archiviati

Sono stati invece archiviati:

• il profilo relativo all’art. 5, par. 1, lett. e) GDPR, relativo alla limitazione della conservazione;
• il profilo relativo all’art. 12 GDPR con riferimento all’art. 15 GDPR.

Il Garante ha infatti ritenuto che, sui punti specifici contestati, gli elementi difensivi forniti dal Consorzio fossero sufficienti a superare i rilievi.

Valutazioni del Garante sul bilanciamento degli interessi

L’Autorità ha richiamato precedenti provvedimenti in materia di caselle di posta elettronica aziendali e ha ribadito che, dopo la cessazione del rapporto, la soluzione conforme ai principi di protezione dei dati consiste normalmente nella disattivazione dell’account e nell’attivazione di sistemi automatici che informino i terzi e forniscano recapiti alternativi, senza accesso diretto al contenuto delle comunicazioni.

Ha inoltre osservato che le esigenze organizzative del titolare, compresa la continuità dell’attività e la tutela in giudizio, non legittimano di per sé un accesso pieno e diretto alle e-mail quando possano essere adottate misure meno intrusive.

Sanzione e criteri di quantificazione

Ritenendo il trattamento illecito e non qualificabile come violazione minore, il Garante ha applicato l’art. 58, par. 2, lett. i) GDPR e l’art. 83 GDPR.

Nella determinazione della sanzione ha considerato:

• la natura e gravità della violazione, con coinvolgimento di principi generali del trattamento;
• la colpa del Consorzio;
• la pluralità delle disposizioni violate;
• la cooperazione con l’Autorità;
• il fatto che il trattamento riguardasse un solo interessato;
• le condizioni economiche del contravventore e i precedenti in casi analoghi.

L’importo irrogato è stato di euro 2.000.

Dispositivo finale

Il Garante ha:

• dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a) e c), 12 e 13 GDPR;
• archiviato parzialmente la contestazione limitatamente all’art. 5, par. 1, lett. e) GDPR e all’art. 12 in relazione all’art. 15 GDPR;
• ordinato il pagamento della sanzione di euro 2.000 entro 30 giorni dalla notifica;
• disposto la pubblicazione del provvedimento sul sito istituzionale.

È stata inoltre richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria e la facoltà di definizione agevolata nei termini di legge.