Prescrizioni del Garante n. 482 del 03/07/2026

Ammonimento a UGL Terziario per trattamento illecito di un account email e mancato riscontro a richiesta di accesso

Il Garante per la protezione dei dati personali ha esaminato il reclamo presentato da un ex dirigente sindacale nei confronti di UGL Terziario, relativo alla gestione di un account di posta elettronica individualizzato assegnato per l’espletamento dell’incarico sindacale e alla mancata risposta adeguata a un’istanza di accesso ai dati. Il procedimento si è concluso con un ammonimento nei confronti di UGL Terziario e con l’archiviazione della contestazione nei confronti di UGL Terziario Roma e Lazio.

Origine del reclamo e attività istruttoria

Il reclamante aveva denunciato: la persistenza dell’account dopo la cessazione della carica, l’accesso da parte di terzi, l’assenza di informativa e l’impossibilità di ottenere un riscontro soddisfacente alla richiesta di accesso. L’Ufficio ha acquisito informazioni ai sensi dell’art. 157 del Codice privacy e ha poi notificato l’avvio del procedimento per i provvedimenti correttivi ai sensi dell’art. 166, comma 5, del Codice, contestando violazioni degli artt. 5, par. 1, lett. b), c) ed e), 12, 13 e 15 GDPR.

Qualificazione soggettiva e imputazione delle condotte

Nel corso dell’istruttoria UGL ha sostenuto che UGL Terziario Roma e Lazio fosse una struttura operativa territoriale priva di autonoma soggettività, in un quadro di stretta promiscuità organizzativa con la Federazione nazionale. Il Garante ha preso atto che, nella fattispecie concreta, le condotte erano da imputare a UGL Terziario e non a un autonomo soggetto contitolare; per tale ragione ha adottato il provvedimento solo nei confronti di UGL Terziario e ha archiviato la contestazione verso UGL Terziario Roma e Lazio.

Trattamento dell’account di posta elettronica individualizzato

L’account “XX” era stato assegnato al reclamante per lo svolgimento dell’attività di dirigente sindacale. Dopo la cessazione del rapporto di collaborazione, avvenuta il 28 febbraio 2022, l’account è rimasto attivo fino alla cancellazione definitiva del 3 ottobre 2023. In tale periodo vi sono stati accessi da parte dell’amministratore di sistema, giustificati dal Sindacato con l’esigenza di recuperare documentazione sindacale mai depositata.

Il Garante ha ritenuto che tale gestione fosse contraria ai principi di:

• limitazione delle finalità, per l’assenza di una finalità specifica, esplicita e legittima che giustificasse la persistente attività dell’account;
• minimizzazione dei dati, poiché la finalità addotta avrebbe potuto essere perseguita con strumenti meno invasivi, in particolare mediante un sistema di gestione documentale;
• limitazione della conservazione, poiché l’account è stato mantenuto attivo per un tempo significativo oltre la cessazione dell’incarico.

L’Autorità ha richiamato le Linee guida del Garante per posta elettronica e Internet del 1° marzo 2007 e precedenti provvedimenti nei quali è stato affermato che, dopo la cessazione del rapporto, il titolare deve rimuovere l’account, previa disattivazione e adozione di sistemi automatici di risposta e di reindirizzamento. È stato inoltre osservato che tali principi sono applicabili anche ai rapporti ricollegati all’ambito sindacale, assimilabili, sotto il profilo della protezione dei dati, a un rapporto di lavoro.

Mancata informativa sul trattamento

Con riferimento all’account di posta elettronica individualizzato, il Garante ha rilevato anche la violazione dell’art. 13 GDPR. L’informativa non risultava essere stata resa dal soggetto che, rispetto a quel trattamento, era titolare: UGL Terziario. Non è stata ritenuta sufficiente l’affermazione secondo cui l’onere informativo sarebbe spettato al datore di lavoro del reclamante.

Riscontro all’istanza di accesso e violazione degli artt. 12 e 15 GDPR

Il reclamante aveva presentato un’istanza di accesso ai dati il 12 dicembre 2022. Il riscontro inviato il 19 dicembre 2022 è stato considerato insufficiente e inidoneo. In particolare, il Garante ha rilevato che, in caso di diniego o mancato accoglimento, il titolare avrebbe dovuto informare l’interessato della possibilità di proporre reclamo all’Autorità di controllo e ricorso giurisdizionale, ai sensi dell’art. 12, par. 4, GDPR.

Inoltre, non è stato consentito un pieno accesso ai dati richiesti ai sensi dell’art. 15 GDPR. Il Garante ha quindi accertato la violazione sia dell’art. 12 sia dell’art. 15 GDPR.

Valutazione finale, attenuanti e provvedimento adottato

Il Garante ha dichiarato l’illiceità del trattamento effettuato da UGL Terziario, ritenendo però che ricorressero elementi tali da qualificare l’infrazione come violazione minore ai sensi dell’art. 83, par. 2, e del Considerando 148 GDPR. Sono stati valorizzati:

• l’assenza di precedenti specifici;
• il carattere episodico della violazione;
• il numero esiguo di interessati coinvolti, pari a uno;
• la cooperazione con l’Autorità;
• la natura sindacale dell’ente e la sua funzione di rappresentanza di interessi collettivi.

In conseguenza di ciò, ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 del Codice privacy, è stato disposto un ammonimento a carico di UGL Terziario per avere trattato i dati in violazione degli artt. 5, 12, 13 e 15 GDPR. Non è stata applicata una sanzione pecuniaria.

Norme richiamate nel provvedimento

Le principali disposizioni richiamate sono state:

• art. 5, par. 1, lett. b), c) ed e) GDPR;
• art. 12 GDPR;
• art. 13 GDPR;
• art. 15 GDPR;
• art. 26 GDPR, richiamato nelle difese sulla contitolarità;
• art. 57, par. 1, lett. f) GDPR;
• art. 58, par. 2, lett. b) GDPR;
• art. 77 GDPR;
• artt. 142 e ss. e 143 del Codice privacy;
• art. 157 del Codice privacy;
• art. 166, comma 5, del Codice privacy;
• art. 168 del Codice privacy, richiamato quanto alle falsità nel procedimento.

Implicazioni operative

Il provvedimento ribadisce che, anche in contesti organizzativi complessi e non strettamente aziendali, l’uso di account individualizzati non può protrarsi oltre il necessario e deve essere gestito con strumenti organizzativi coerenti con i principi del GDPR. Inoltre, conferma che il riscontro alle istanze di accesso deve essere completo, tempestivo e corredato delle indicazioni sui rimedi esperibili in caso di diniego o di mancato accoglimento.