Ordinanza ingiunzione o revoca n. 140 del 07/03/2024

Centro Riparazioni Piacentino S.p.A. - trattamento illecito degli account di posta elettronica di ex dipendenti

Il provvedimento riguarda il reclamo di due ex dipendenti nei confronti di Centro Riparazioni Piacentino S.p.A. per la gestione degli account di posta elettronica aziendale individualizzati dopo la cessazione del rapporto di lavoro. Il Garante ha accertato l'illiceità del trattamento e ha applicato una sanzione amministrativa pecuniaria, oltre a disporre misure ulteriori di riscontro e pubblicazione.

Origine del procedimento e contestazioni dei reclamanti

I reclamanti hanno segnalato che gli account aziendali a loro assegnati sarebbero rimasti attivi per diversi mesi dopo la fine del rapporto di lavoro, con possibilità di accesso ai messaggi ricevuti. Hanno inoltre lamentato che la cancellazione fosse intervenuta solo dopo un sollecito e senza adeguato riscontro, nonché l'impossibilità di esercitare il diritto di accesso al contenuto delle caselle, già cancellato, e l'assenza di un'idonea informativa sul trattamento dei dati relativi alla posta elettronica.

Istruttoria e difese della Società

Nel corso del procedimento la Società ha sostenuto che gli account non erano più attivi dal 16 novembre 2021 e che il mantenimento temporaneo era stato giustificato dall'esigenza di garantire la continuità operativa, recuperando reclami e richieste tecniche dei clienti e comunicazioni del Gruppo Iveco. Ha dichiarato che l'accesso sarebbe avvenuto solo da parte del legale rappresentante, selezionando le e-mail in base a mittente e oggetto mediante parole chiave, e che gli account erano poi stati cancellati. Ha anche richiamato la conoscenza pregressa del sistema da parte dei reclamanti e la loro pretesa consapevolezza delle modalità di trattamento.

Valutazioni giuridiche del Garante

Il Garante ha rilevato che il titolare del trattamento, ai sensi dell'art. 13 GDPR, deve informare preventivamente l'interessato sulle caratteristiche essenziali del trattamento, anche nel contesto lavorativo, in coerenza con i principi di trasparenza e correttezza di cui all'art. 5, par. 1, lett. a) GDPR. Ha ricordato che i dati trattati attraverso un account e-mail aziendale individualizzato, compresi gli elementi esteriori della corrispondenza e gli allegati, attengono a forme di comunicazione protette.

Illiceità del trattamento degli account post-cessazione

Secondo l'Autorità, dopo la cessazione del rapporto la Società avrebbe dovuto limitarsi a disattivare gli account e, se necessario per la continuità dell'attività, attivare un messaggio automatico di avviso ai terzi con indicazione di indirizzi alternativi, senza accedere ai contenuti delle caselle. L'accesso diretto agli account mantenuti attivi, pur se finalizzato a filtrare comunicazioni ritenute aziendali, è stato considerato una condotta non conforme ai principi di liceità, minimizzazione e limitazione della conservazione di cui all'art. 5, par. 1, lett. a), c) ed e) GDPR.

Violazione dell'obbligo di informativa

È stata inoltre accertata la violazione dell'art. 13 GDPR. L'informativa prodotta dalla Società, compresa quella allegata al modulo di consenso, non conteneva indicazioni idonee sul trattamento concretamente effettuato dopo la cessazione del rapporto di lavoro. Il Garante ha anche escluso che la pregressa posizione di uno dei reclamanti in azienda o una generica conoscenza delle prassi aziendali possano sostituire l'obbligo del titolare di fornire un'informativa chiara e completa.

Consenso nel rapporto di lavoro

Il provvedimento richiama le linee guida europee sul consenso, sottolineando che, nel contesto del rapporto di lavoro, per lo squilibrio di potere tra datore e lavoratore, il consenso difficilmente può dirsi liberamente prestato e non costituisce, di regola, base idonea per la maggior parte dei trattamenti effettuati sul luogo di lavoro.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha ritenuto che la violazione non fosse minore e ha applicato l'art. 83 GDPR, considerandone la natura e gravità, il grado di responsabilità della Società e la cooperazione prestata nel corso del procedimento, oltre alle condizioni economiche desumibili dal bilancio 2022 e ai precedenti analoghi. La sanzione amministrativa pecuniaria è stata quantificata in euro 20.000.

Dispositivo finale

Il provvedimento dichiara l'illiceità del trattamento effettuato da Centro Riparazioni Piacentino S.p.A. per la violazione degli artt. 5, par. 1, lett. a), c) ed e), e 13 GDPR. La Società è stata ingiunta al pagamento della sanzione entro 30 giorni, con facoltà di definizione agevolata nei limiti di legge. È stata disposta la pubblicazione del provvedimento sul sito del Garante e richiesto alla Società, entro 90 giorni, di comunicare le iniziative adottate per predisporre la disattivazione automatica degli account dei lavoratori cessati e per conformarsi all'art. 13 GDPR, con avviso delle conseguenze sanzionatorie in caso di mancato riscontro.