Ordinanza ingiunzione o revoca n. 153 del 13/03/2025

Encore Thermoengineering s.r.l.: trattamento illecito di account di posta elettronica individualizzati e reindirizzamento automatico della corrispondenza @thermoeng.it

Il provvedimento riguarda Encore Thermoengineering s.r.l., divenuta titolare del dominio e dei server di posta della fallita XX a seguito della cessione di ramo d’azienda. L’istruttoria nasce da reclami di ex dipendenti che contestavano la persistente disponibilità e consultazione delle loro caselle di posta individualizzate, nonché la mancata cancellazione dei dati e un sistema di reindirizzamento automatico delle e-mail destinate al dominio storico.

Origine del procedimento e istruttoria

I reclami sono stati presentati il 03/11/2021, il 12/11/2021 e il 17/11/2021 ai sensi dell’art. 77 GDPR. Le reclamanti hanno rappresentato di aver chiesto alla società conferma del trattamento, copia della corrispondenza in transito e cancellazione dei dati relativi ai propri account di posta elettronica, senza ottenere un riscontro ritenuto idoneo.

L’Ufficio ha svolto richieste di informazioni ai sensi dell’art. 157 del Codice privacy, alle quali la società ha risposto più volte. Dalle dichiarazioni emergono due elementi centrali: da un lato, la conservazione su server e backup del materiale di posta elettronica riferito al dominio @thermoeng.it, comprensivo di caselle anche individualizzate; dall’altro, l’attivazione dal 26/03/2021 di un account dedicato, infoete@encorecombustion.com, verso il quale vengono reindirizzati i messaggi indirizzati al dominio ceduto.

Trattamenti oggetto di esame

Il Garante ha distinto due trattamenti principali:

• la conservazione, senza limiti temporali, dei dati contenuti nel server e nel backup, inclusi messaggi di posta elettronica del dominio @thermoeng.it e account individualizzati riferibili a ex dipendenti della società fallita;
• il reindirizzamento automatico della corrispondenza destinata al dominio @thermoeng.it verso l’account infoete@encorecombustion.com, con successiva selezione dei messaggi ritenuti pertinenti all’attività aziendale e cancellazione di quelli non professionali.

La società ha affermato che tale modalità sarebbe necessaria per recuperare rapporti commerciali con i clienti della fallita XX e per reperire informazioni utili alla continuità dell’attività.

Valutazioni sulla liceità del trattamento

L’Autorità ha qualificato Encore Thermoengineering s.r.l. come titolare del trattamento ai sensi dell’art. 4, n. 7, GDPR, in quanto soggetto che determina finalità e mezzi del trattamento dei dati contenuti negli archivi acquisiti.

Il Garante ha rilevato che la conservazione illimitata dei messaggi e dei backup, unitamente alla possibilità di consultazione da parte degli amministratori e del responsabile IT, viola:

• l’art. 5, par. 1, lett. a), GDPR, per carenza di correttezza e liceità;
• l’art. 5, par. 1, lett. c), GDPR, per difetto di minimizzazione;
• l’art. 5, par. 1, lett. e), GDPR, per violazione del principio di limitazione della conservazione;
• l’art. 6 GDPR, per assenza di un idoneo presupposto di liceità.

È stato inoltre osservato che i sistemi di posta elettronica non sono strumenti idonei, di per sé, a garantire le caratteristiche di autenticità, integrità, affidabilità, leggibilità e reperibilità richieste dalla gestione documentale. Per la conservazione della documentazione necessaria alla continuità aziendale, il Garante richiama la necessità di sistemi di archiviazione e gestione documentale appropriati.

Reindirizzamento automatico della posta e minimizzazione

Per il sistema di reindirizzamento automatico, l’Autorità ha ritenuto che la società sia in grado di visionare tutta la corrispondenza in arrivo e di selezionare manualmente i messaggi non professionali, con un trattamento più ampio del necessario rispetto alla finalità dichiarata di mantenere i contatti commerciali.

Secondo il Garante, la finalità di recupero dei rapporti con la clientela poteva essere perseguita con soluzioni meno intrusive e più rispettose dei principi di protezione dei dati, come la disattivazione degli account e l’attivazione di messaggi automatici con indicazioni alternative. Il sistema mantenuto dalla società è stato quindi ritenuto contrario al principio di minimizzazione dei dati.

Mancato riscontro alle istanze di cancellazione

Il provvedimento accerta anche la violazione dell’art. 17 GDPR. Le reclamanti avevano chiesto la cancellazione dei dati relativi alle proprie caselle di posta elettronica individualizzate, ma la società ha continuato a detenere tali contenuti su server e backup, potendone ancora accedere.

Il Garante ha quindi ritenuto che non sia stato fornito un riscontro idoneo alle istanze di esercizio dei diritti e che la cancellazione non sia stata effettuata senza ingiustificato ritardo. Resta salva, secondo il provvedimento, la conservazione per la sola finalità di tutela dei diritti in sede giudiziaria, nei limiti dell’art. 160-bis del Codice privacy.

Provvedimenti correttivi e ordine di cancellazione

Ai sensi dell’art. 58, par. 2, GDPR, il Garante ha disposto:

• la cancellazione dei dati relativi agli account di posta elettronica di tipo individualizzato conservati sul server e sul backup, salvo conservazione limitata alla tutela giudiziaria;
• l’ingiunzione a conformare, entro 60 giorni dal ricevimento del provvedimento, il trattamento effettuato mediante reindirizzamento automatico della posta ai principi del GDPR;
• l’obbligo di fornire entro lo stesso termine un riscontro adeguatamente motivato ai sensi dell’art. 157 del Codice.

Sanzione amministrativa pecuniaria

La violazione è stata ritenuta non minore, anche in ragione della natura dei diritti coinvolti, della gravità e della durata del trattamento illecito. Nella quantificazione della sanzione il Garante ha considerato, ai sensi dell’art. 83, par. 2, GDPR:

• la natura, gravità e durata delle violazioni;
• la condotta collaborativa della società;
• l’assenza di precedenti violazioni;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2023.

Applicando l’art. 83, par. 3, GDPR, è stata irrogata a Encore Thermoengineering s.r.l. una sanzione amministrativa pecuniaria di euro 20.000,00.

Ulteriori disposizioni

Il Garante ha inoltre disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet dell’Autorità;
• la pubblicazione del provvedimento sul sito internet del Garante;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stata infine indicata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro i termini di legge.