Ordinanza ingiunzione o revoca n. 8 del 11/01/2023

Ordinanza ingiunzione nei confronti di Reweb s.r.l. per trattamento illecito dell’account e-mail assegnato alla reclamante

Il Garante ha adottato un’ordinanza ingiunzione nei confronti di Reweb s.r.l. a seguito di reclamo presentato dalla reclamante, relativo alla gestione di un account di posta elettronica aziendale a lei assegnato nel contesto di trattative precontrattuali e di una collaborazione non formalizzata. L’Autorità ha ritenuto illecito il trattamento connesso alla permanenza attiva della casella, alla visione della corrispondenza e al reindirizzamento delle e-mail verso altro indirizzo, nonché all’inadeguata gestione della richiesta di disattivazione/cancellazione.

Origine del procedimento e attività istruttoria

La vicenda nasce dal reclamo presentato il 25 febbraio 2019 e regolarizzato il 17 aprile 2019. La reclamante lamentava che, cessato il rapporto di collaborazione, l’account di posta elettronica aziendale fosse rimasto attivo e fosse stato oggetto di accessi. Nel corso dell’istruttoria la Società ha sostenuto che l’account fosse stato creato per gestire i contatti acquisiti alla fiera SAVE e che la sua conservazione fosse giustificata sia dall’interesse a non perdere contatti commerciali, sia dalla necessità di tutelarsi in un giudizio per responsabilità precontrattuale promosso nei confronti di IT Distribuzione Soc. Coop.

La Società ha inoltre rappresentato che la casella era stata disattivata solo a fine febbraio 2019 e che, nel periodo intermedio, i messaggi erano stati inoltrati al direttore commerciale; ha anche dichiarato di aver informato alcuni contatti della cessazione della collaborazione della reclamante. Nel corso del procedimento sono stati acquisiti ulteriori chiarimenti, memorie difensive e documentazione, compresa corrispondenza e atti del contenzioso civile pendente.

Trattamenti esaminati

L’Autorità ha concentrato l’esame su tre profili principali:

• l’assegnazione alla reclamante di un account di posta elettronica con estensione aziendale e la mancata previa informazione sul relativo trattamento;
• la conservazione, consultazione e produzione in giudizio dei messaggi presenti nella casella;
• l’impostazione di un sistema di inoltro delle comunicazioni in entrata verso un diverso account aziendale.

Il Garante ha rilevato che la Società ha mantenuto attivo l’account dopo la cessazione della collaborazione, ha preso visione delle e-mail inviate e ricevute durante il rapporto e ha di fatto utilizzato quei contenuti come base documentale nel contenzioso con la controparte commerciale.

Valutazioni sul principio di liceità, correttezza, trasparenza e minimizzazione

Secondo il Garante, il trattamento non era assistito da un idoneo criterio di legittimazione. Né l’esigenza di proseguire i contatti commerciali con i lead raccolti né l’interesse a difendere un diritto in giudizio sono stati ritenuti, nel caso concreto, sufficienti a giustificare l’accesso alle e-mail e l’inoltro automatico delle comunicazioni.

L’Autorità ha richiamato i principi di cui agli artt. 5, par. 1, lett. a) e c), e 6 GDPR, evidenziando che l’obiettivo commerciale avrebbe potuto essere perseguito con strumenti meno invasivi, in particolare mediante un messaggio di risposta automatico o la comunicazione di recapiti alternativi, senza prendere visione del contenuto della casella individualizzata. È stato inoltre sottolineato che la corrispondenza elettronica è soggetta a specifiche garanzie di riservatezza, anche di rango costituzionale.

Informativa preventiva e disciplina dell’account di posta elettronica

Il Garante ha ritenuto non dimostrato l’adempimento dell’obbligo informativo di cui agli artt. 12 e 13 GDPR. La Società aveva prodotto un regolamento per l’uso della posta elettronica aziendale e una guida alla sicurezza, ma non ha provato di averli effettivamente consegnati alla reclamante né che essi contenessero un’informazione chiara e specifica sulle attività di trattamento svolte in relazione agli account aziendali.

L’Autorità ha osservato che la mera affissione in bacheca di documenti interni non è sufficiente a dimostrare la trasparenza richiesta dal Regolamento, soprattutto in una fase precontrattuale in cui la reclamante non era ancora formalmente dipendente o collaboratrice con rapporto definito.

Riscontro alla richiesta di cancellazione e art. 12 GDPR

Un ulteriore profilo di illegittimità è stato individuato nel riscontro fornito alla richiesta di disattivazione/cancellazione della casella. La Società si era limitata a comunicare che l’account sarebbe rimasto attivo per un certo periodo per verificare eventuali contatti commerciali, senza indicare in modo chiaro i motivi del mancato accoglimento della richiesta né informare l’interessata della possibilità di proporre reclamo al Garante o ricorso giurisdizionale, come imposto dall’art. 12, par. 4, GDPR.

Il Garante ha anche escluso che potesse rilevare, in senso giustificativo, l’argomento relativo alla forma informale della prima richiesta, richiamando l’orientamento secondo cui il GDPR non impone forme particolari per l’esercizio dei diritti. Ha aggiunto che, anche ove la Società avesse inteso limitare il diritto alla cancellazione ai sensi dell’art. 2-undecies del Codice privacy per esigenze di difesa in giudizio, avrebbe dovuto comunicare una decisione motivata all’interessata.

Esclusione dei profili ex artt. 88 GDPR e 113-114 Codice privacy

Pur avendo contestato inizialmente anche gli artt. 88 GDPR e 113-114 del Codice, il Garante ha archiviato il procedimento limitatamente a tali violazioni. Ciò perché, alla luce delle risultanze istruttorie, il rapporto tra le parti è stato qualificato come collaborazione non ancora formalizzata e inserita in trattative precontrattuali, con conseguente insussistenza dei presupposti per adottare provvedimenti su quello specifico profilo contestato.

Sanzione, criteri di quantificazione e pubblicazione

Ritenute integrati i presupposti dell’illecito trattamento, l’Autorità ha applicato la sanzione amministrativa pecuniaria di euro 5.000 ai sensi dell’art. 83 GDPR, richiamando il principio di effettività, proporzionalità e dissuasività. Nella quantificazione sono stati considerati:

• la natura, gravità e durata della violazione, che ha inciso su principi generali del trattamento e sui diritti dell’interessata;
• il grado di responsabilità della Società;
• la cooperazione prestata nel corso del procedimento;
• il fatto che il trattamento abbia riguardato un solo interessato;
• le condizioni economiche del contravventore e gli importi irrogati in casi analoghi.

Il Garante ha inoltre disposto la pubblicazione del provvedimento sul proprio sito web. L’ingiunzione prevede il pagamento entro 30 giorni dalla notifica, con la facoltà di definizione agevolata nei limiti di legge. È stata infine richiamata la possibilità di opposizione avanti l’autorità giudiziaria ordinaria nei termini di legge.