Ordinanza ingiunzione o revoca n. 754 del 18/12/2025

LTL S.p.A.: gestione dell’account email aziendale dopo la cessazione del rapporto e mancato riscontro a istanza di accesso

Il provvedimento riguarda LTL S.p.A., destinataria di un reclamo presentato dall’ex amministratore delegato in relazione alla gestione della sua casella di posta elettronica aziendale individualizzata dopo il licenziamento e al mancato riscontro a un’istanza di esercizio dei diritti privacy. L’Autorità ha esaminato anche la doglianza relativa al profilo Instagram associato alla sim aziendale, escludendo però profili di illecito su tale aspetto.

Origine del reclamo e svolgimento dell’istruttoria

Il reclamante aveva segnalato che, dopo la contestazione disciplinare e la sospensione cautelare, la Società aveva inibito l’accesso alla sua mail aziendale; successivamente, dopo il licenziamento del 02/08/2023, aveva continuato a ricevere corrispondenza sulla casella individualizzata. Il 22/09/2023 l’interessato aveva quindi inviato una richiesta di disattivazione dell’account, di inoltro della corrispondenza pervenuta e di attivazione di un messaggio automatico con l’indirizzo personale. La richiesta, notificata via PEC, non aveva ricevuto risposta nei termini dell’art. 12, par. 3, GDPR.

L’Ufficio ha svolto una richiesta di informazioni ai sensi dell’art. 157 del Codice, acquisendo le difese della Società e il regolamento interno sull’uso della strumentazione informatica aziendale e della rete internet, datato 02/01/2020.

Profili esclusi: accesso a Instagram e utilizzo della sim aziendale

Sul punto relativo all’accesso al profilo Instagram associato alla sim utilizzata dal reclamante, il Garante non ha ravvisato violazioni della disciplina privacy. Ha ritenuto che la titolarità della sim e del relativo numero fosse riconducibile alla Società in base al contratto con l’operatore telefonico e ha valorizzato anche il fatto che il cellulare aziendale fosse stato riconsegnato al reclamante il 24/07/2023 per consentirgli di rimuovere dati personali e scollegare eventuali account personali.

Mancato riscontro all’istanza di esercizio dei diritti

L’Autorità ha accertato la violazione degli artt. 12, par. 3, e 15 GDPR. La richiesta del 22/09/2023 era chiaramente formulata come esercizio dei diritti privacy, con richiamo espresso al Regolamento UE 2016/679 e ai diritti di accesso ai dati presenti sull’account aziendale. La Società non ha fornito alcun riscontro entro un mese, né ha informato l’interessato dei motivi dell’eventuale inottemperanza, come invece richiesto dall’art. 12, par. 4, GDPR.

Il Garante ha respinto l’argomento secondo cui la richiesta sarebbe stata confondibile con la controversia giuslavoristica in corso o trattabile solo in sede giudiziale. Ha richiamato le Linee guida EDPB 1/2022, affermando che il GDPR non impone requisiti formali per le richieste di accesso. Ha inoltre escluso che potesse applicarsi, nel caso concreto, il limite dell’art. 2-undecies del Codice, non essendo stato dimostrato un pregiudizio effettivo e concreto all’esercizio del diritto di difesa o alle investigazioni difensive.

Gestione della casella di posta dopo la cessazione del rapporto

La Società aveva mantenuto attivo l’account di posta elettronica individualizzato per circa due mesi dopo la cessazione del rapporto, inoltrando le mail a un altro account aziendale. Secondo la propria ricostruzione, ciò era avvenuto per assicurare la continuità del business e per esigenze difensive. Il regolamento interno prevedeva invece la sospensione delle credenziali entro 30 giorni e la cancellazione definitiva dell’account e del contenuto entro ulteriori 90 giorni, con possibilità di estensione per altri 90 giorni per i soggetti apicali.

Il Garante ha ritenuto che tale gestione non fosse conforme ai principi del GDPR. In particolare, ha osservato che, per esigenze di continuità aziendale, la soluzione corretta consiste nella disattivazione dell’account, nell’attivazione di sistemi automatici di risposta ai terzi e nella gestione documentale con strumenti idonei, non nella conservazione della posta elettronica come tale. La posta elettronica, infatti, per sua natura non garantisce adeguatamente autenticità, integrità, affidabilità, leggibilità e reperibilità della documentazione.

Violazione dei principi di liceità, minimizzazione e limitazione della conservazione

Il Garante ha dichiarato illecito il trattamento in quanto contrario all’art. 5, par. 1, lett. a), c) ed e), GDPR. L’accesso alla corrispondenza in arrivo sull’account del reclamante e la sua conservazione per un periodo superiore a quello previsto nel regolamento interno sono stati considerati non necessari e non proporzionati rispetto alle finalità dichiarate.

La Società aveva anche sostenuto di aver modificato il proprio regolamento interno, ma non ha prodotto la documentazione necessaria per consentire una verifica. L’Autorità ha quindi formulato una raccomandazione ai sensi dell’art. 57, par. 1, lett. d), GDPR affinché i nuovi regolamenti interni tengano conto dei principi di protezione dei dati e delle norme sui controlli a distanza di cui alla legge n. 300/1970.

Provvedimenti correttivi, sanzione e pubblicazione

Ai sensi dell’art. 58, par. 2, GDPR, il Garante ha ordinato a LTL S.p.A. di:

• fornire all’interessato le informazioni già richieste con l’istanza del 22/09/2023 entro 30 giorni dalla notifica del provvedimento;
• cancellare il contenuto della posta elettronica del reclamante, salvi i dati necessari per la tutela dei diritti in sede giudiziaria e quanto previsto dall’art. 160-bis del Codice;
• comunicare all’Autorità le iniziative adottate.

Sul piano sanzionatorio, l’Autorità ha applicato una sanzione amministrativa pecuniaria di euro 40.000, ai sensi dell’art. 83 GDPR e dell’art. 166 del Codice. Nella quantificazione ha considerato la natura e gravità della violazione, la sua durata, il grado di responsabilità della Società, l’assenza di precedenti e la situazione economica del contravventore, richiamando i criteri di cui all’art. 83, par. 1 e 2, GDPR. È stata inoltre disposta la pubblicazione del capo contenente l’ordinanza ingiunzione sul sito del Garante, nonché l’annotazione nel registro interno dell’Autorità.

Impugnazione e adempimenti successivi

Il provvedimento indica la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero. È stato inoltre richiesto alla Società di comunicare entro 30 giorni le iniziative intraprese per dare attuazione al provvedimento, con avvertenza che l’eventuale mancato riscontro può comportare l’applicazione della sanzione prevista dall’art. 83, par. 5, lett. e), GDPR.