Ordinanza ingiunzione o revoca n. 93 del 23/03/2023

La Risorsa Umana.it s.r.l. - trattamento illecito della posta elettronica aziendale e nomine generiche a responsabile del trattamento

Il provvedimento riguarda La Risorsa Umana.it s.r.l. ed è stato adottato all’esito di un reclamo presentato da un consulente che contestava la gestione e il controllo della propria posta elettronica aziendale, nonché i rapporti di trattamento con la controllata Form-App s.r.l.

Origine del procedimento e attività istruttoria

Il reclamo, presentato ai sensi dell’art. 77 GDPR, denunciava che la corrispondenza scambiata tramite l’account aziendale assegnato al reclamante fosse quotidianamente monitorata dalla direzione, senza adeguata informativa ai dipendenti e collaboratori. Nel corso dell’istruttoria la società ha sostenuto, in sintesi, che l’account era stato attribuito per esigenze operative, che la direzione non effettuava controlli ma aveva facoltà di accesso agli account condivisi, e che la gestione privacy era stata progressivamente formalizzata con documentazione interna, elenchi di autorizzati e regolamenti aziendali.

Trattamenti esaminati

Il Garante ha ricostruito che il reclamante disponeva di un account di posta elettronica individualizzato nell’ambito di un rapporto professionale, e che nella pratica la direzione aziendale interveniva frequentemente nelle conversazioni, accedendo alla catena delle e-mail e inserendosi nei flussi comunicativi con commenti, indicazioni e valutazioni. I messaggi riguardavano sia account individualizzati sia account non individualizzati, talvolta anche relativi alla controllata Form-App s.r.l. e a soggetti terzi.

Violazione dell’obbligo di informativa e dei principi di correttezza e trasparenza

L’Autorità ha rilevato la violazione dell’art. 13 GDPR e, in connessione, dell’art. 5, par. 1, lett. a) GDPR. Non risultava infatti che il reclamante fosse stato informato in modo chiaro e adeguato della concreta modalità di trattamento costituita dalla visibilità delle e-mail da parte della direzione. I documenti informativi prodotti dalla società erano successivi ai fatti contestati o, comunque, non contenevano indicazioni sulla gestione degli account di posta elettronica. Anche l’asserita informativa orale è stata esclusa come modalità sufficiente, poiché l’art. 12, par. 1, GDPR richiede ordinariamente informazioni scritte o elettroniche.

Violazione del principio di minimizzazione

Il Garante ha ritenuto che la gestione della posta elettronica non fosse conforme all’art. 5, par. 1, lett. c) GDPR. Pur riconoscendo l’esigenza di continuità e coordinamento dei flussi informativi, l’Autorità ha osservato che la società aveva adottato modalità di controllo e intervento eccedenti, con apprensione sistematica del contenuto delle comunicazioni e diffusione delle valutazioni della direzione ad altri interlocutori. In questo modo il trattamento risultava non limitato a quanto necessario per la finalità organizzativa, ma idoneo a ledere la riservatezza e la dignità professionale di dipendenti e collaboratori.

Violazione dell’art. 28 GDPR

Un ulteriore profilo di illecito ha riguardato le reciproche designazioni tra La Risorsa Umana.it s.r.l. e Form-App s.r.l. quali responsabili del trattamento. Il Garante ha rilevato che gli atti erano estremamente generici, limitati alla formula relativa alla “gestione dei sistemi di elaborazione elettronica” o, in altri casi, a richiami vaghi all’ambito dell’incarico, senza specificazione dei trattamenti affidati, delle istruzioni operative, della durata, della natura e finalità del trattamento, dei tipi di dati e delle categorie di interessati. Tali designazioni non sono state ritenute conformi all’art. 28, par. 3 GDPR.

Contestazione archiviata

È stata invece archiviata la contestazione relativa all’art. 6 GDPR. Il Garante ha preso atto della documentazione prodotta dalla società, ritenendo che, per il profilo specifico esaminato, non sussistessero i presupposti per mantenere tale contestazione.

Sanzione, criteri di quantificazione e pubblicazione

La violazione è stata ritenuta non minore. Nella determinazione della sanzione, il Garante ha considerato la natura delle violazioni, la condotta negligente della società, la cooperazione con l’Autorità, il carattere colposo della condotta e l’assenza di precedenti, oltre alle condizioni economiche del contravventore. È stata quindi irrogata una sanzione amministrativa pecuniaria di 40.000 euro ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, con pagamento entro 30 giorni dalla notifica. È stata altresì disposta la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy e dell’art. 16 del regolamento del Garante n. 1/2019.