Ordinanza ingiunzione o revoca n. 808 del 18/12/2025

Anticimex s.r.l.: accesso alla posta elettronica aziendale e mancato riscontro a un’istanza ex art. 15 GDPR

Il provvedimento riguarda Anticimex s.r.l., nei confronti della quale un ex dipendente aveva proposto reclamo lamentando il mancato riscontro a una richiesta di accesso ai dati personali e l’uso della propria casella di posta elettronica aziendale dopo la cessazione del rapporto di lavoro. Il Garante ha esaminato sia la gestione dell’istanza dell’interessato sia le modalità di conservazione e consultazione della corrispondenza aziendale, anche alla luce di un contenzioso lavoristico tra le parti.

Origine del procedimento e svolgimento istruttorio

L’istruttoria è stata avviata a seguito del reclamo presentato il 22 marzo 2023. L’interessato aveva chiesto, ai sensi dell’art. 15 GDPR, copia dei dati contenuti nel proprio fascicolo personale, inclusi gli orari di accesso al CRM, la corrispondenza della casella aziendale, gli estratti conto di carte aziendali e dati relativi ai contratti conclusi e ai pagamenti. La Società non aveva risposto entro il termine di cui all’art. 12, par. 3, GDPR.

Nel corso del procedimento la Società ha fornito varie integrazioni, sostenendo inizialmente di non poter dare alcuni riscontri e poi trasmettendo parte della documentazione richiesta, tra cui dati relativi alle provvigioni, ai premi e alla corrispondenza degli ultimi cinque anni presente sull’account di posta elettronica. Successivamente, su richiesta dell’Ufficio, ha chiarito che l’accesso alla casella era stato effettuato tramite attività di digital forensic e che l’account era stato mantenuto attivo per reperire prove in un giudizio promosso dinanzi al Tribunale di Pisa.

Dati richiesti e riscontro dell’interessato

Il Garante ha distinto tra dati personali dell’interessato e informazioni che non rientrano nell’ambito dell’art. 15 GDPR. In particolare, ha ritenuto che i dati relativi all’esecuzione di contratti commerciali conclusi dall’azienda, alle date di incasso e ad altri elementi meramente strumentali all’esercizio di diritti di credito non fossero qualificabili come dati personali dell’interessato. Per contro, ha rilevato che la corrispondenza presente sull’account, i premi maturati e il net gain annuale costituivano dati personali accessibili.

Il Garante ha tuttavia evidenziato che il riscontro è stato reso solo dopo l’intervento dell’Autorità, circa quattro mesi dopo la richiesta originaria, con conseguente violazione degli artt. 12, par. 3, e 15 GDPR. Ha inoltre osservato che, in caso di inottemperanza, il titolare avrebbe dovuto informare l’interessato dei motivi del mancato riscontro ai sensi dell’art. 12, par. 4, GDPR.

Trattamento della posta elettronica e controlli a distanza

Il nucleo centrale del provvedimento riguarda l’uso dell’account di posta elettronica assegnato al lavoratore. La Società ha ammesso di aver mantenuto attivo l’account dopo la cessazione del rapporto e di aver consultato sistematicamente la corrispondenza per circa 15 mesi, allo scopo di raccogliere elementi utili a dimostrare la violazione del patto di non concorrenza. Il Garante ha sottolineato che tale attività ha comportato un monitoraggio costante di tutte le e-mail transitate sulla casella, in deroga alle regole aziendali che prevedevano la disattivazione dell’account e la cancellazione della corrispondenza alla cessazione del rapporto.

L’Autorità ha ritenuto che il trattamento fosse contrario ai principi di:

• minimizzazione dei dati, art. 5, par. 1, lett. c), GDPR;
• limitazione della finalità, art. 5, par. 1, lett. b), GDPR;
• limitazione della conservazione, art. 5, par. 1, lett. e), GDPR.

Ha inoltre richiamato l’art. 160-bis del Codice privacy, precisando che la validità e utilizzabilità in giudizio degli atti fondati su trattamenti illeciti restano disciplinate dalle norme processuali.

Violazioni della disciplina lavoristica e dell’informativa

Oltre ai principi generali del GDPR, il Garante ha ravvisato la violazione dell’art. 88 GDPR e dell’art. 114 del Codice privacy, in relazione all’art. 4 dello Statuto dei lavoratori. La Società, infatti, attraverso il mantenimento dell’account e l’accesso ai messaggi, ha di fatto svolto un controllo sull’attività del lavoratore e sui contenuti della corrispondenza, senza rispettare le condizioni previste per gli strumenti dai quali derivi anche la possibilità di controllo a distanza.

L’Autorità ha rilevato anche l’inidoneità dell’informativa resa ai dipendenti ai sensi dell’art. 13 GDPR: i documenti informativi richiamati dalla Società descrivevano in modo generico la conservazione dei dati e l’eventuale consultazione di e-mail e dispositivi aziendali, ma non indicavano in modo adeguato tempi di conservazione, presupposti di liceità, modalità di eventuali verifiche e specifiche finalità dei controlli. È stato chiarito che un’informativa non può rendere lecito un trattamento che sia in sé illecito.

Valutazioni del Garante e sanzione

Il Garante ha concluso che il trattamento effettuato da Anticimex s.r.l. era illecito per violazione degli artt. 5, 12, 13, 15 e 88 GDPR e dell’art. 114 del Codice privacy. Ha considerato la violazione non minore, tenendo conto della natura delle condotte, della durata, del grado di responsabilità e del fatto che il riscontro all’interessato era stato fornito solo dopo l’avvio dell’istruttoria.

Ai fini della quantificazione della sanzione ex art. 83 GDPR, sono stati considerati:

• la gravità delle violazioni, incidenti sui diritti dell’interessato e sulla disciplina del lavoro;
• la durata del trattamento illecito;
• la condotta negligente della Società;
• l’assenza di precedenti violazioni;
• le condizioni economiche del contravventore.

La sanzione amministrativa pecuniaria è stata determinata in euro 40.000.

Provvedimenti correttivi e adempimenti imposti

Oltre alla sanzione, il Garante ha esercitato i poteri di cui all’art. 58, par. 2, GDPR e ha:

• dichiarato l’illiceità del trattamento;
• disposto il divieto di accedere al contenuto della posta elettronica dei dipendenti;
• fatto salvo, per il solo account dell’ex dipendente, quanto strettamente necessario alla tutela dei diritti in sede giudiziaria e nei limiti dell’art. 160-bis del Codice;
• ingiunto alla Società di conformare entro 60 giorni i documenti informativi ai principi in materia di protezione dei dati personali e di fornire riscontro motivato;
• ordinato il pagamento della sanzione entro 30 giorni dalla notifica, con possibilità di definizione agevolata nei termini di legge.

Il provvedimento dispone anche la pubblicazione dell’ordinanza ingiunzione e del provvedimento sul sito istituzionale del Garante e l’annotazione nel registro interno dell’Autorità.