Prescrizioni del Garante n. 464 del 31/08/2023

Ammonimento ad Assicurazioni in Genova s.r.l. per gestione illecita della posta elettronica aziendale

Il provvedimento riguarda Assicurazioni in Genova s.r.l. e trae origine dalla segnalazione di un ex collaboratore che lamentava la mancata risposta alla richiesta di cancellazione dei propri dati e la gestione dell’account di posta elettronica aziendale a lui assegnato. L’Autorità ha esaminato in particolare il trattamento dei dati veicolati tramite la casella e-mail individualizzata, nonché l’adeguatezza dell’informativa e del riscontro fornito all’interessato.

Origine della segnalazione e richieste formulate dall’interessato

L’interessato, a seguito della cessazione del rapporto di collaborazione avvenuta il 7 novembre 2020, aveva chiesto la cancellazione dell’account di posta elettronica aziendale e di ogni archiviazione o copia ad esso riferita, oltre ad altre misure connesse, tra cui:

• rimozione immediata dell’account;
• eliminazione di archivi e copie;
• impedimento alla visualizzazione dei messaggi in arrivo;
• reindirizzamento automatico verso una nuova casella;
• rimozione di fotografie presenti sul sito aziendale o su siti social;
• formattazione dell’hard disk del computer assegnato.

Svolgimento dell’istruttoria

Con nota del 19 aprile 2021 l’Ufficio ha chiesto chiarimenti alla società, in particolare sulla persistente attività dell’account di posta elettronica. La società ha risposto il 18 maggio 2021 sostenendo, tra l’altro, che la casella fosse stata mantenuta attiva per non interrompere il servizio verso gli assicurati, che non esistessero archivi o backup e che la richiesta di reindirizzamento verso un indirizzo privato fosse ingiustificata.

Successivamente, con ulteriori richieste del 17 febbraio 2022 e del 19 settembre 2022, l’Ufficio ha chiesto di chiarire:

• se l’account fosse ancora attivo;
• se esistessero policy aziendali sull’uso degli strumenti di lavoro;
• se e come fosse stata resa l’informativa agli interessati.

La società ha dichiarato che l’account era stato disattivato su richiesta dell’interessato, pur senza poter indicare la data esatta di disattivazione, e ha affermato che, nella piccola realtà aziendale, le regole sull’uso dei mezzi di lavoro venivano spiegate in colloqui individuali. Ha inoltre prodotto dichiarazioni sottoscritte da due impiegate, da cui risultava che le e-mail aziendali erano destinate a soli scopi lavorativi.

Violazione dell’obbligo di riscontro alle istanze dell’interessato

Il Garante ha rilevato che la società non ha fornito riscontro nei termini all’istanza dell’interessato. Ai sensi dell’art. 12, par. 3 e 4, GDPR, il titolare deve rispondere senza ingiustificato ritardo e comunque entro un mese, informando l’interessato, in caso di mancato accoglimento, dei motivi dell’inottemperanza e della possibilità di proporre reclamo o ricorso.

Nel caso di specie, il riscontro è intervenuto solo dopo la segnalazione al Garante e l’avvio dell’istruttoria, in contrasto anche con l’art. 2-undecies, comma 3, del Codice.

Trattamento illecito mediante account di posta elettronica aziendale

L’Autorità ha ritenuto che la società abbia mantenuto attivo, dopo la cessazione del rapporto, un account di posta elettronica individualizzato, consentendo l’accesso alle comunicazioni ivi pervenute almeno fino al 21 novembre 2020, data della richiesta di cancellazione. Tale condotta è stata giudicata non conforme ai principi di cui all’art. 5, par. 1, lett. c), e) e f) GDPR, ossia:

• minimizzazione;
• limitazione della conservazione;
• integrità e riservatezza.

Secondo il Garante, la finalità di mantenere i contatti con la clientela avrebbe potuto essere perseguita in modo meno invasivo, ad esempio disattivando l’account e attivando sistemi automatici di risposta con indirizzi alternativi riferiti all’attività della società. Nel caso esaminato, invece, non risultava attivato alcun sistema automatico di reindirizzamento o avviso ai terzi.

L’Autorità ha richiamato le proprie Linee guida per posta elettronica e internet del 10 marzo 2007 e diversi precedenti in materia di posta elettronica aziendale, oltre alla giurisprudenza della Corte europea dei diritti dell’uomo sull’estensione della tutela della vita privata anche all’ambiente di lavoro.

Mancata informativa sulla gestione della posta elettronica

Il Garante ha accertato anche la violazione dell’art. 13 GDPR e dell’art. 12, par. 1, GDPR, poiché la società non ha dimostrato di aver fornito un’informativa adeguata sulle modalità di funzionamento e gestione della posta aziendale. In particolare, non è stato provato che l’interessato fosse stato informato in modo chiaro e preventivo:

• dell’uso dell’account;
• delle modalità di gestione durante e dopo la cessazione del rapporto;
• dei tempi e delle modalità di conservazione dei contenuti e dei log;
• delle eventuali operazioni di trattamento svolte per finalità di servizio.

L’Autorità ha ritenuto insufficiente la mera affermazione di colloqui individuali o la produzione di dichiarazioni rese da altre lavoratrici, anche perché successiva alle richieste istruttorie.

Esito complessivo e valutazione sanzionatoria

Il Garante ha concluso che i trattamenti posti in essere dalla società erano illeciti, ma ha qualificato il caso come violazione minore ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR. Ha quindi ritenuto sufficiente, in applicazione dell’art. 58, par. 2, lett. b), GDPR, l’adozione di un ammonimento.

Nella quantificazione della misura sono state considerate, in senso favorevole alla società:

• le ridotte dimensioni organizzative;
• l’assenza di precedenti pertinenti;
• la durata limitata della violazione, pari a circa due settimane;
• il fatto che il trattamento abbia riguardato un solo interessato;
• l’avvenuta cancellazione dell’account;
• una collaborazione ritenuta sufficientemente adeguata con l’Autorità;
• le condizioni economiche del titolare, valutate sulla base del bilancio 2021.

Dispositivo finale

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento nei termini indicati in motivazione;
• invitato Assicurazioni in Genova s.r.l. a una scrupolosa e costante osservanza della normativa privacy e delle indicazioni dell’Autorità in materia di posta elettronica dei dipendenti ed ex dipendenti;
• ammonito la società per le violazioni accertate;
• disposto la pubblicazione del provvedimento sul sito web del Garante.

È stata inoltre richiamata la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.