Ordinanza ingiunzione o revoca n. 306 del 29/04/2026

Consiglio Nazionale dei Periti Industriali e dei Periti Industriali Laureati: alias email e accesso alla corrispondenza del cessato consigliere

Il Garante ha esaminato il trattamento dei messaggi di posta elettronica riferiti alla casella individuale di un ex consigliere del CNPI, convogliati per mezzo di un alias verso una casella collettiva dell’ente dopo la cessazione dell’incarico. Il procedimento trae origine da un reclamo ex art. 77 GDPR ed è stato definito con ordinanza ingiunzione e dichiarazione di illiceità del trattamento.

Origine del reclamo e fatti contestati

Il reclamante, già consigliere del CNPI, ha rappresentato che, cessato il mandato, la sua casella di posta istituzionale non sarebbe stata semplicemente disattivata, ma sarebbe stata mantenuta attiva tramite un alias che inoltrava automaticamente i messaggi alla casella collettiva "cnpi@cnpi.it". Tale casella era accessibile a personale dipendente e consiglieri dell’ente.

Esiti dell’istruttoria

Nel corso dell’istruttoria il CNPI ha dichiarato che la prassi dell’alias era in uso dal 2014 al momento della decadenza degli assegnatari delle caselle istituzionali, allo scopo di garantire continuità all’attività istituzionale fino all’insediamento del nuovo consiglio. Ha inoltre riferito che i messaggi confluiti nella casella collettiva nel periodo considerato erano 1.476 e che la casella collettiva era l’indirizzo primario degli uffici amministrativi e di segreteria.

L’accesso alla casella collettiva era consentito a:

• 7 dipendenti, con possibilità di leggere, rispondere, inoltrare e protocollare le comunicazioni;
• 11 consiglieri, con possibilità di consultare i messaggi in entrata e in uscita.

Valutazione sulla liceità del trattamento

Il Garante ha ritenuto che, creando l’alias e dirottando i messaggi indirizzati alla casella individuale verso una casella accessibile a più soggetti, il CNPI avesse trattato dati personali del reclamante e di terzi senza idonea base giuridica.

L’Autorità ha qualificato la condotta anche come una comunicazione di dati personali, ai sensi dell’art. 2-ter, comma 4, lett. a), del Codice, verso una platea ampia di soggetti interni all’ente, sempre in assenza di base giuridica. È stato escluso che la continuità dell’attività istituzionale potesse giustificare la soluzione adottata, poiché sarebbe stato sufficiente disattivare la casella individuale e attivare un messaggio automatico di avviso ai mittenti con indicazione di contatti alternativi.

Violazioni in materia di trasparenza e informativa

Il Garante ha rilevato anche la violazione del principio di trasparenza. Il reclamante non era stato informato della creazione dell’alias e non risulta che il CNPI abbia adottato misure per informare i mittenti del fatto che i messaggi indirizzati alla casella personale, dopo la cessazione dell’incarico, sarebbero pervenuti alla casella collettiva e sarebbero stati accessibili a una pluralità di soggetti.

Sono stati pertanto richiamati gli artt. 5, par. 1, lett. a), 12, 13 e 14 GDPR, oltre all’art. 6 GDPR per la mancanza di base giuridica.

Principi e precedenti richiamati

Nel motivare la decisione, il Garante ha richiamato:

• le linee guida del 1° marzo 2007 su posta elettronica e internet nel rapporto di lavoro;
• il documento di indirizzo del 6 giugno 2024 sui programmi e servizi informatici di gestione della posta elettronica e trattamento dei metadati;
• i più recenti precedenti in materia di cessazione della casella individuale e attivazione di sistemi automatici di avviso ai mittenti.

L’Autorità ha ribadito che, nel contesto lavorativo e in ambiti assimilabili, i messaggi di posta elettronica sono assistiti da una legittima aspettativa di riservatezza e che ogni operazione sul servizio email deve rispettare i principi di necessità, correttezza, pertinenza e non eccedenza.

Sanzione e criteri di quantificazione

Il Garante ha ritenuto applicabile l’art. 83, par. 3, GDPR, poiché le violazioni derivavano da un’unica condotta. La sanzione è stata determinata in euro 3.000, con valutazione di gravità media, tenendo conto in particolare di:

• lesione dell’aspettativa di riservatezza del reclamante e dei terzi;
• reiterazione della prassi interna, non trattandosi di episodio isolato;
• natura colposa della condotta;
• assenza di trattamento di categorie particolari di dati;
• buona cooperazione del CNPI con l’Autorità;
• assenza di precedenti violazioni pertinenti.

Misure adottate e disposizioni finali

Poiché la casella alias era già stata disattivata, il Garante ha escluso la necessità di ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sono stati quindi disposti:

• la dichiarazione di illiceità del trattamento;
• l’ordinanza ingiunzione con pagamento di euro 3.000;
• la possibilità di definizione agevolata pagando entro 30 giorni la metà della sanzione;
• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni nel registro interno dell’Autorità.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.