Ordinanza ingiunzione o revoca n. 188 del 27/03/2025

Comune di Polino: gestione illecita della casella e-mail di un’ex dipendente e mancata trasparenza

Il Garante ha esaminato il reclamo di un’ex dipendente del Comune di Polino relativo alla permanenza attiva della casella di posta elettronica individuale dopo la cessazione del rapporto di lavoro e al suo reindirizzamento verso una casella condivisa dell’ente. Il procedimento trae origine dall’attività istruttoria svolta a seguito del reclamo ex art. 77 GDPR.

Fatti e svolgimento del procedimento

La reclamante ha segnalato che, nonostante la cessazione del rapporto di lavoro al 30 dicembre 2019, la casella assegnatale dal Comune risultava mantenuta attiva con inoltro automatico dei messaggi alla casella segreteria@comune.polino.tr.it. Il Comune ha giustificato la scelta con la necessità di reperire documentazione e informazioni indispensabili per la gestione di procedimenti amministrativi urgenti, anche in relazione a interlocuzioni con il MEF, la BDAP e la Corte dei conti, rappresentando di trovarsi in una situazione di forte criticità organizzativa e finanziaria.

Trattamenti esaminati

Dall’istruttoria è emerso che, al momento della cessazione del rapporto, il Comune ha:

• trasferito tutti i messaggi in entrata e in uscita della casella individuale della reclamante alla casella segreteria@comune.polino.tr.it;
• disattivato la casella individuale;
• creato un alias con il medesimo nome della casella personale, ma collegato alla casella condivisa.

Il risultato è stato che i messaggi inviati dai terzi all’indirizzo apparentemente riferito alla reclamante venivano in realtà recapitati a un indirizzo accessibile da più soggetti dell’organizzazione comunale.

Violazioni accertate

Il Garante ha ritenuto che tale condotta integrasse un trattamento di dati personali non conforme ai principi di liceità, correttezza e trasparenza e privo di base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 GDPR. Ha inoltre qualificato l’operazione come una comunicazione di dati personali a personale interno abilitato alla casella condivisa, in contrasto con il principio di trasparenza.

L’Autorità ha anche rilevato la violazione degli obblighi informativi, poiché:

• la reclamante non era stata informata della migrazione dei messaggi e della creazione dell’alias;
• i mittenti non erano stati informati che i messaggi indirizzati alla casella individuale sarebbero confluiti su una casella condivisa;
• la pretesa informazione orale fornita alla reclamante non poteva sostituire l’informativa scritta richiesta dagli artt. 12, 13 e 14 GDPR, né risultava che gli interessati avessero richiesto una comunicazione orale.

Valutazione delle difese del Comune

Il Garante non ha accolto l’argomento difensivo secondo cui l’accesso alla casella fosse necessario per garantire la continuità amministrativa. L’Autorità ha osservato che, secondo la disciplina di settore sul protocollo informatico e sulla gestione dei flussi documentali, l’ente avrebbe dovuto acquisire la documentazione d’interesse tramite i propri sistemi istituzionali, senza accedere all’account di posta individuale della dipendente.

È stato altresì ribadito che la posta elettronica, per sua natura, non garantisce le caratteristiche necessarie di autenticità, integrità, affidabilità, leggibilità e reperibilità dei documenti, e che il datore di lavoro deve comunque proteggere la riservatezza dei messaggi di corrispondenza, anche nel contesto pubblico.

Riferimenti normativi e orientamenti richiamati

Il provvedimento richiama:

• artt. 5, 6, 12, 13, 14 e 83 GDPR;
• artt. 2-ter, 2-sexies, 88, 113, 166 e 168 del Codice privacy;
• Linee guida del Garante del 1° marzo 2007 su posta elettronica e Internet;
• Documento di indirizzo del 6 giugno 2024 sui programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo;
• precedenti provvedimenti del Garante su cessazione del rapporto di lavoro e gestione delle caselle e-mail;
• art. 11-bis del d.P.C.M. 16 aprile 2013, n. 62.

Sanzione e criteri di quantificazione

Poiché le violazioni sono state ricondotte a un’unica condotta, il Garante ha applicato l’art. 83, par. 3 GDPR, considerando il tetto sanzionatorio dell’art. 83, par. 5 GDPR. Nella quantificazione ha valorizzato:

• la gravità della lesione della legittima aspettativa di riservatezza di reclamante e terzi;
• il carattere isolato della violazione, riferita a un solo ex lavoratore;
• la natura colposa della condotta, legata a un’erronea lettura del quadro giuridico;
• l’assenza di dati particolari o relativi a condanne penali;
• la dimensione molto ridotta del Comune;
• l’assenza di precedenti;
• la buona cooperazione dell’ente.

L’importo della sanzione è stato determinato in euro 2.500,00.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dal Comune di Polino per violazione degli artt. 5, par. 1, lett. a), 6, 12, 13 e 14 GDPR;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 2.500,00;
• richiamato la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, Codice privacy;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e la pubblicazione del provvedimento sul sito istituzionale dell’Autorità;
• previsto l’annotazione nel registro interno delle violazioni e delle misure adottate.