Ordinanza ingiunzione o revoca n. 40 del 24/01/2024

MP1 s.r.l. – mancato riscontro alla richiesta di cancellazione e uso non proporzionato di un account e-mail

Il Garante per la protezione dei dati personali ha concluso un procedimento avviato a seguito del reclamo di un ex collaboratore nei confronti di MP1 s.r.l., relativo alla gestione di un account di posta elettronica individualizzato assegnato nell’ambito del rapporto professionale. Il provvedimento accerta un trattamento illecito connesso sia alla mancata risposta all’istanza di cancellazione sia al protratto reindirizzamento della casella dopo la cessazione del rapporto.

Fatti e origine del reclamo

Il reclamante aveva segnalato di aver utilizzato l’indirizzo e-mail aziendale fino al 31 dicembre 2020, pur essendo cessata la collaborazione il 27 luglio 2020. Dopo aver diffidato la società a chiudere l’indirizzo, aveva presentato una formale richiesta di esercizio dei diritti ex artt. 15-22 GDPR, chiedendo opposizione, limitazione e cancellazione dei dati trattati tramite quell’account. La società non aveva dato riscontro all’istanza.

Nel corso dell’istruttoria, MP1 s.r.l. ha sostenuto di aver già informato l’interessato della gestione transitoria dell’account e di aver poi disattivato l’utenza nel luglio 2021. Ha inoltre affermato che il reindirizzamento della posta verso altra casella aziendale fosse l’unica soluzione tecnica per gestire gli ordini e mantenere i rapporti con i clienti.

Trattamenti esaminati

Il Garante ha esaminato due profili principali:

• il mancato riscontro alla richiesta di cancellazione dell’indirizzo e-mail e dei dati ad esso riferiti;
• il reindirizzamento dell’account individualizzato verso un’altra casella aziendale, accessibile al legale rappresentante e al personale commerciale.

L’Autorità ha ritenuto che il reindirizzamento costituisse a tutti gli effetti trattamento di dati personali, poiché consentiva l’accesso a informazioni contenute nella corrispondenza ricevuta sulla casella originaria.

Violazione degli artt. 12 e 17 GDPR

Il provvedimento evidenzia che il titolare avrebbe dovuto fornire una risposta all’interessato entro un mese dalla richiesta, ai sensi dell’art. 12 GDPR. Il mero fatto che la cancellazione sia avvenuta in modo informale e in data non certa non è stato considerato sufficiente a integrare il diritto esercitato.

Il Garante ha inoltre rilevato che, anche nell’ipotesi in cui la società avesse ritenuto di non poter dare seguito alla richiesta per la necessità di accertare, esercitare o difendere un diritto in sede giudiziaria ai sensi dell’art. 17, par. 3, lett. e), avrebbe comunque dovuto informare l’interessato dei motivi dell’inottemperanza e dei rimedi esperibili, come richiesto dall’art. 12, par. 4, GDPR.

Violazione del principio di minimizzazione

La protrazione del reindirizzamento per un periodo non inferiore a sette mesi è stata giudicata contraria al principio di minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR. Secondo il Garante, la finalità dichiarata di gestire gli ordini in corso e mantenere i contatti con i clienti poteva essere raggiunta con misure meno invasive, in linea con precedenti orientamenti dell’Autorità in materia di posta elettronica aziendale.

È stato inoltre osservato che la soluzione adottata non tutelava adeguatamente l’aspettativa di riservatezza dei terzi mittenti, i quali continuavano a inviare comunicazioni a una casella riferita al reclamante, mentre il contenuto era accessibile alla società.

Valutazioni conclusive del Garante

L’Autorità ha ritenuto il trattamento illecito per violazione degli artt. 5, par. 1, lett. c), 12 e 17 GDPR. Ha escluso che la violazione potesse considerarsi minore, valorizzando la natura delle disposizioni violate, la gravità dell’incidenza sull’esercizio dei diritti dell’interessato e la durata del comportamento contestato.

Il Garante ha anche precisato che non gli compete l’accertamento di eventuali danni subiti dall’interessato, richiamando gli artt. 82 GDPR e 152 del Codice privacy.

Sanzione, criteri di quantificazione e pubblicazione

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, è stata irrogata a MP1 s.r.l. una sanzione amministrativa pecuniaria pari a euro 15.000. Nella quantificazione sono stati considerati:

• la natura, gravità e durata delle violazioni;
• il grado di responsabilità del titolare;
• la cooperazione prestata nel corso del procedimento;
• il fatto che la violazione abbia riguardato solo il reclamante;
• l’avvenuta cancellazione della casella e-mail;
• le condizioni economiche della società;
• il confronto con sanzioni irrogate in casi analoghi.

Il provvedimento dispone anche la pubblicazione sul sito web del Garante. È stata inoltre richiamata la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.