Ordinanza ingiunzione o revoca n. 554 del 23/07/2026

Account e-mail di ex dipendenti e informativa privacy: sanzione a Top Secret Investigazioni e Sicurezza s.r.l.

Il provvedimento riguarda il reclamo presentato da due ex dipendenti nei confronti di Top Secret Investigazioni e Sicurezza s.r.l. per il mantenimento dei rispettivi account e-mail aziendali individualizzati dopo la cessazione del rapporto di lavoro, con reindirizzamento della corrispondenza verso altro account aziendale, nonché per l’assenza di un’informativa adeguata sul trattamento dei dati personali.

Reclamo e attività istruttoria

Il reclamo è stato presentato il 14 aprile 2022 e successivamente regolarizzato. I reclamanti hanno prodotto messaggi e-mail dai quali risultava che, anche dopo la cessazione del rapporto, gli indirizzi individualizzati continuavano a generare comunicazioni automatiche o a ricevere messaggi successivamente inoltrati.

Il Garante ha richiesto informazioni alla Società ai sensi dell’art. 157 del Codice. La Società ha sostenuto che gli account fossero meri “segnaposti”, non vere caselle attive, e che il provider li avesse cancellati il 28 febbraio 2020. Ha inoltre affermato che il messaggio automatico contenesse, per errore, un riferimento al reindirizzamento, mentre tecnicamente sarebbe stato attivo soltanto un autoresponder.

I reclamanti hanno contestato tale ricostruzione, affermando che gli account erano rimasti attivi almeno fino al 2021. L’Ufficio ha quindi avviato il procedimento sanzionatorio con atto dell’11 marzo 2024, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, nonché dei principi di liceità, minimizzazione e limitazione della conservazione di cui all’art. 5, par. 1, lett. a), c) ed e), GDPR.

Trattamento degli account dopo la cessazione del rapporto

La cessazione dei rapporti di lavoro risaliva al 7 febbraio 2020. Nonostante ciò, la Società aveva mantenuto attivi gli account individualizzati e aveva predisposto il reindirizzamento della corrispondenza verso altro account aziendale.

Il Garante ha valorizzato, in particolare, due evidenze documentali:

• una comunicazione del 3 marzo 2020, nella quale si faceva riferimento al reindirizzamento provvisorio di un messaggio proveniente dal vecchio account;
• una comunicazione dell’8 ottobre 2020, inviata in risposta a una richiesta indirizzata all’account individualizzato di uno degli ex dipendenti, con la quale si informava il mittente che il dipendente non faceva più parte dell’organico e si offriva un preventivo per le esigenze rappresentate.

Secondo il Garante, la relazione tecnica prodotta dalla Società nel febbraio 2023 descriveva una situazione successiva e non coincidente con quella effettivamente esistente nell’ottobre 2020. La documentazione acquisita dimostrava infatti che, in quel periodo, almeno uno degli account aveva ricevuto una comunicazione successivamente inoltrata all’indirizzo aziendale.

Il trattamento si è quindi protratto per circa otto mesi dalla cessazione dei rapporti di lavoro.

Violazione degli artt. 5, par. 1, lett. a), c) ed e), GDPR

Il mantenimento degli account individualizzati e l’inoltro della corrispondenza sono stati ritenuti incompatibili con i principi generali del trattamento:

• liceità, correttezza e trasparenza, ai sensi dell’art. 5, par. 1, lett. a), GDPR;
• minimizzazione dei dati, ai sensi dell’art. 5, par. 1, lett. c), GDPR;
• limitazione della conservazione, ai sensi dell’art. 5, par. 1, lett. e), GDPR.

La Società non ha fornito chiarimenti sufficienti circa le finalità perseguite e il presupposto di legittimità del reindirizzamento. Il Garante ha escluso che l’eventuale consenso dei lavoratori potesse legittimare il trattamento. Nel contesto lavorativo, caratterizzato dall’asimmetria tra datore di lavoro e dipendente, il consenso non costituisce di regola un valido presupposto di liceità, come evidenziato dal considerando 43 e dagli artt. 4, punto 11, 7, paragrafi 3 e 4, GDPR, nonché dal Parere 2/2017 del Gruppo di lavoro “Articolo 29” e dalle Linee guida sul consenso WP259.

Inoltre, i verbali di conciliazione sindacale non contenevano un consenso degli interessati, ma prevedevano un obbligo della Società di disattivare gli account entro il 29 febbraio 2020, mediante un messaggio automatico che indirizzasse i mittenti verso altro soggetto o account non riconducibile agli ex dipendenti.

Modalità conformi per la gestione della posta degli ex dipendenti

Il Garante ha richiamato il proprio orientamento secondo cui, per garantire la continuità dell’attività aziendale, il titolare può procedere, dopo la cessazione del rapporto, alla rimozione dell’account, previa disattivazione, e contestualmente attivare un sistema automatico destinato a informare i mittenti e a fornire indirizzi alternativi riferiti all’attività aziendale.

Tale sistema deve essere configurato in modo da impedire la visualizzazione dei messaggi in arrivo durante il periodo di funzionamento dell’automatismo. Sono stati richiamati il provvedimento n. 754 del 18 dicembre 2025 e il provvedimento n. 53 del 1° febbraio 2018, oltre ai principi già affermati dall’Autorità in materia di posta elettronica e internet.

Policy aziendale e riservatezza della corrispondenza

La Società ha prodotto un nuovo regolamento aziendale sull’utilizzo dei sistemi e degli strumenti informatici. Tuttavia, il Garante ha rilevato criticità nell’art. 18, secondo cui l’azienda si riservava di mantenere attiva in ricezione la casella dell’ex dipendente per un periodo ritenuto congruo e presumeva che la documentazione presente nel profilo dell’utente fosse corrispondenza e documentazione lavorativa, anziché personale.

Il Garante ha invitato la Società, ai sensi dell’art. 57, par. 1, lett. d), GDPR, a rivedere le policy interne alla luce dei principi di protezione dei dati e delle disposizioni sui controlli a distanza di cui alla legge n. 300/1970.

È stato ricordato che il contenuto dei messaggi e i dati esteriori delle comunicazioni rientrano nella nozione di corrispondenza e sono assistiti da garanzie di segretezza tutelate anche dagli artt. 2 e 15 della Costituzione. Ne deriva una legittima aspettativa di riservatezza dell’interessato, anche con riferimento alla posta contenuta negli account aziendali.

Violazione dell’obbligo di informativa

Le informative sottoscritte dai due lavoratori all’atto dell’assunzione, rispettivamente nel 2010 e nel 2011, erano anteriori all’entrata in vigore del GDPR e non risultavano aggiornate. Inoltre, avevano contenuto generale e non descrivevano in modo adeguato le operazioni relative alla gestione della posta elettronica, al reindirizzamento dei messaggi e alla conservazione del contenuto degli account dopo la cessazione del rapporto.

Il regolamento aziendale vigente all’epoca dei fatti non conteneva previsioni utili sulla gestione della posta elettronica e sulla conservazione dei relativi contenuti. Le designazioni relative ai ruoli di responsabili e custodi delle password non sono state ritenute pertinenti rispetto all’obbligo informativo oggetto di contestazione.

Il Garante ha quindi accertato la violazione dell’art. 13 GDPR, in collegamento con il principio di correttezza di cui all’art. 5, par. 1, lett. a), GDPR. La Società aveva predisposto, nel corso del procedimento, un nuovo modello di informativa e un nuovo regolamento interno, datato 1° settembre 2024, ma tali interventi non hanno eliminato la violazione già commessa e, comunque, le policy devono descrivere operazioni di trattamento conformi alla disciplina applicabile.

Eccezione sul termine di 120 giorni

La Società ha chiesto l’archiviazione sostenendo che fosse decorso il termine di 120 giorni previsto dal regolamento del Garante per la definizione dei procedimenti sanzionatori, richiamando la sentenza della Corte di cassazione n. 18583/2025.

Il Garante ha respinto l’eccezione. L’art. 166, comma 5, del Codice prevede l’avvio del procedimento quando, sulla base degli elementi acquisiti nella fase investigativa, l’Ufficio ritiene configurabile una violazione. Il regolamento del Garante n. 2/2019 stabilisce che la comunicazione delle presunte violazioni deve essere effettuata entro 120 giorni dall’accertamento per i residenti in Italia, o entro 360 giorni per i residenti all’estero.

Richiamando anche la Corte costituzionale n. 151/2021 e la sentenza della Cassazione n. 22791/2026, il Garante ha chiarito che:

• la fase investigativa o preistruttoria non è soggetta a un termine perentorio per la sua conclusione;
• il termine di 120 giorni decorre dal definitivo accertamento della violazione, non dalla semplice acquisizione della notizia;
• il termine riguarda la notificazione della contestazione e costituisce un termine endoprocedimentale, non il termine finale per l’adozione della sanzione.

Nel caso concreto, il termine è stato ritenuto rispettato perché il dies a quo è stato individuato nel momento in cui l’Autorità aveva compiutamente valutato gli elementi istruttori e aveva ritenuto configurabili le violazioni.

Dichiarazione di illiceità e sanzione

Il Garante ha dichiarato illecito il trattamento effettuato dalla Società per la violazione degli artt. 5, par. 1, lett. a), c) ed e), e 13 GDPR.

La violazione non è stata considerata “minore”, poiché riguardava sia principi generali del trattamento sia l’obbligo di informativa. Ai fini della sanzione sono stati considerati:

• la natura e la gravità delle violazioni;
• il coinvolgimento degli strumenti elettronici nell’ambito del rapporto di lavoro;
• la durata di circa otto mesi del reindirizzamento della corrispondenza;
• il numero limitato di interessati coinvolti;
• l’assenza di precedenti violazioni in materia di protezione dei dati personali;
• l’adozione successiva di un nuovo modello di informativa e di un nuovo regolamento aziendale, pur con persistenti criticità;
• il volume d’affari della Società, desunto dal bilancio di esercizio 2024.

Il Garante ha applicato l’art. 83, par. 3, GDPR, secondo cui, in caso di violazione di più disposizioni nell’ambito dello stesso trattamento o di trattamenti collegati, l’importo complessivo non può superare il massimo previsto per la violazione più grave. La sanzione è stata determinata nel rispetto dei requisiti di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR.

Misure e termini

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice, il Garante ha ordinato alla Società il pagamento di 6.500 euro.

Il pagamento deve essere effettuato entro 30 giorni dalla notifica del provvedimento, con applicazione, in caso di mancato pagamento, degli atti esecutivi previsti dall’art. 27 della legge n. 689/1981. Ai sensi dell’art. 166, comma 8, del Codice, resta salva la possibilità di definire la controversia mediante il pagamento della metà della sanzione entro il termine previsto per la proposizione del ricorso.

Sono state inoltre disposte:

• la pubblicazione dell’ordinanza ingiunzione e del provvedimento sul sito internet del Garante, ai sensi dell’art. 166, comma 7, del Codice e delle disposizioni regolamentari richiamate;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

Tutela giurisdizionale

Il provvedimento può essere impugnato davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011. Il ricorso deve essere depositato presso il tribunale ordinario competente entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.