Ordinanza ingiunzione o revoca n. 613 del 09/10/2025

Sicuritalia S.p.A. - trattamento illecito della posta elettronica aziendale e dei log Internet dei dipendenti

Il provvedimento riguarda Sicuritalia S.p.A. ed è stato adottato a seguito del reclamo di un ex dipendente che contestava l’accesso alla propria casella di posta elettronica aziendale dopo la cessazione del rapporto di lavoro. L’istruttoria ha inoltre riguardato la disciplina interna della Società sull’uso degli strumenti IT, con particolare attenzione alla conservazione della posta elettronica, dei file di backup e dei log della navigazione Internet e della posta.

Origine del reclamo e attività istruttoria

Il reclamante ha riferito che, il giorno della cessazione del rapporto, gli era stato sottoposto un modulo di riconsegna dei dispositivi aziendali contenente una richiesta di autorizzazione all’accesso alla casella e-mail dopo la fine del rapporto. Avendo negato il consenso, ha tuttavia appreso che l’accesso era stato comunque effettuato. Ha inoltre lamentato che la casella contenesse anche corrispondenza confidenziale e documenti personali.

La Società ha sostenuto che l’accesso fosse necessario per garantire continuità operativa nella gestione dei reclami affidati al dipendente e che fosse stato effettuato da un solo soggetto appositamente autorizzato, nei giorni immediatamente successivi alle dimissioni. Ha poi prodotto le diverse versioni della policy aziendale sull’uso degli strumenti IT, documentazione sulla presa visione da parte del dipendente e la dichiarazione del soggetto che aveva effettuato gli accessi.

Quadro normativo richiamato

Il Garante ha richiamato il GDPR, in particolare:

• art. 5, par. 1, lett. a), c) ed e), sui principi di liceità, correttezza, minimizzazione e limitazione della conservazione;
• art. 6 e art. 9, per le basi giuridiche dei trattamenti nel rapporto di lavoro;
• art. 88, relativo al trattamento dei dati nel contesto lavorativo.

Sono stati richiamati anche gli artt. 113 e 114 del Codice privacy, che rinviano rispettivamente al divieto di raccogliere e trattare informazioni non rilevanti ai fini della valutazione dell’attitudine professionale e alla disciplina dei controlli a distanza ex art. 4 l. n. 300/1970.

Trattamento della posta elettronica aziendale dopo la cessazione del rapporto

Il Garante ha accertato che, dopo la cessazione del rapporto, la casella e-mail individualizzata del reclamante era rimasta attiva per un periodo di circa due mesi e che la policy interna, nella versione applicabile ai fatti, prevedeva la disattivazione della casella ma anche la registrazione del contenuto in un file di backup e la possibilità per la Società di accedere liberamente a tale archivio, al PC e alla casella, per finalità di continuità dell’attività e di sicurezza del sistema informatico.

La procedura contenuta nel modulo di riconsegna dei dispositivi prevedeva invece un’autorizzazione dell’ex dipendente per l’accesso alla casella, ma la firma di consenso non era stata apposta. Nonostante ciò, la Società ha poi accesso comunque alla casella, affermando che si fosse verificato un disguido interno tra HR e IT.

Il Garante ha ritenuto che tale trattamento fosse illecito perché:

• l’accesso al contenuto delle e-mail non era proporzionato rispetto alle finalità dichiarate;
• la conservazione del contenuto e l’accesso generalizzato al backup erano eccessivi;
• il consenso dell’ex dipendente non poteva fungere da base giuridica idonea, soprattutto poiché l’accesso avrebbe potuto coinvolgere anche dati di altri dipendenti ancora in servizio che avevano corrisposto con l’ex lavoratore;
• la condotta non rispettava i principi di liceità, correttezza e minimizzazione.

L’Autorità ha richiamato la propria giurisprudenza e le linee guida sul trattamento della posta elettronica e Internet, ribadendo che, dopo la cessazione del rapporto, la soluzione corretta è la disattivazione dell’account con attivazione di una risposta automatica e senza accesso indiscriminato al contenuto.

Trattamenti disciplinati nelle versioni aggiornate della policy

Nel corso del procedimento la Società ha modificato la policy interna, prevedendo la disattivazione immediata della casella alla cessazione del rapporto e, solo se necessario per continuità aziendale, l’accesso previa autorizzazione dell’ex dipendente raccolta dopo le dimissioni.

Il Garante ha tuttavia ritenuto che anche questa versione non fosse ancora conforme, perché subordinava l’accesso al consenso del dimissionario, senza considerare:

• che il consenso in ambito lavorativo può non essere effettivamente libero;
• che l’accesso al contenuto delle e-mail può incidere anche sui dati di terzi e di altri dipendenti;
• che il consenso dell’ex dipendente non è idoneo a legittimare il trattamento di tali ulteriori dati.

Conservazione dei log della posta elettronica e della navigazione Internet

Il Garante ha poi esaminato la disciplina aziendale sulla conservazione dei log della posta elettronica e della navigazione Internet. Nelle versioni della policy applicabili fino al 28 febbraio 2025, la Società prevedeva una raccolta sistematica dei log, controlli periodici e la possibilità di accedere ai contenuti delle e-mail, ai file di log e ai dati di navigazione per diverse finalità: sicurezza, verifiche tecniche, esigenze organizzative e produttive, esercizio di diritti in giudizio, scopi difensivi e verifica del corretto utilizzo degli strumenti elettronici.

Secondo il Garante, tale assetto comportava una conservazione sistematica e generalizzata di dati dei lavoratori per tutta la durata del rapporto, con possibilità di controllo ex post non limitata a specifiche e tassative esigenze di sicurezza o organizzazione. Ciò è stato ritenuto incompatibile con:

• il principio di minimizzazione;
• il principio di limitazione della conservazione;
• la disciplina dei controlli a distanza di cui all’art. 4 l. 300/1970, richiamata dall’art. 114 del Codice.

È stato inoltre escluso che tali sistemi potessero essere considerati meri strumenti di lavoro sottratti alla disciplina di garanzia, poiché operano in modo autonomo rispetto alla prestazione lavorativa e consentono la raccolta e conservazione sistematica di dati.

Rilievi specifici sui log e sul termine di conservazione

Con la versione più recente del regolamento interno, la Società ha dichiarato di voler limitare i controlli ai file di log, riservando all’utente l’accesso al contenuto della posta elettronica, e ha indicato un termine di conservazione di sei mesi per i log di e-mail e navigazione Internet, giustificandolo con esigenze di sicurezza informatica e con la presenza di minacce come gli Advanced Persistent Threat.

Il Garante ha riconosciuto la cooperazione della Società e la soppressione del riferimento all’accesso al contenuto delle e-mail, ma ha ritenuto comunque non conforme la conservazione per sei mesi, sia per i log della posta elettronica sia per quelli della navigazione, perché:

• il termine è molto superiore a quello considerato congruo in via generale dall’Autorità per tali esigenze;
• non sono state fornite specifiche evidenze tecniche e organizzative che giustificassero l’estensione;
• la conservazione prolungata, soprattutto se finalizzata anche a verifiche sul comportamento dei dipendenti, richiede il previo rispetto delle garanzie previste per i controlli a distanza.

Valutazione finale dell’illiceità

Il Garante ha concluso che la Società aveva posto in essere un trattamento illecito consistente nella raccolta sistematica e nella possibilità di accesso ai contenuti della posta elettronica e ai log di posta e navigazione Internet, in violazione degli artt. 5, par. 1, lett. a), c) ed e), e 88 GDPR, nonché degli artt. 113 e 114 del Codice privacy.

La violazione è stata considerata non minore, alla luce:

• della natura delle disposizioni violate;
• della durata del trattamento;
• del numero elevato di interessati coinvolti;
• della natura dei dati e della vulnerabilità dei lavoratori;
• della condotta della Società, che aveva comunque effettuato accessi nonostante il mancato consenso del reclamante.

Sanzione, divieto e pubblicazione

Applicando l’art. 83 GDPR, il Garante ha irrogato a Sicuritalia S.p.A. una sanzione amministrativa pecuniaria di euro 500.000. Ha inoltre disposto, ai sensi dell’art. 58, par. 2, lett. f) GDPR, il divieto di accesso da parte della Società al contenuto dei dati raccolti e conservati sui sistemi aziendali relativi alla posta elettronica aziendale e alla navigazione Internet, nei termini descritti in motivazione.

È stata inoltre ordinata:

• la pubblicazione dell’ordinanza ingiunzione sul sito Internet del Garante;
• la pubblicazione del provvedimento sul sito Internet dell’Autorità;
• l’annotazione delle violazioni nel registro interno dell’Autorità.

Il pagamento deve avvenire entro 30 giorni dalla notifica, con facoltà di definizione agevolata nei limiti di legge. Opposizione esperibile davanti all’autorità giudiziaria ordinaria nei termini di cui all’art. 10 d.lgs. 150/2011.