Ordinanza ingiunzione o revoca n. 278 del 17/04/2026

Framos Italia s.r.l. in liquidazione: gestione illecita delle e-mail aziendali e mancato riscontro alla richiesta di cancellazione

Il Garante per la protezione dei dati personali accerta che Framos Italia s.r.l. in liquidazione ha trattato in modo non conforme al GDPR i dati relativi agli account di posta elettronica aziendale assegnati a un ex dipendente. Il procedimento trae origine da un reclamo dell’interessato, che lamenta la persistente attivazione delle caselle e la mancata risposta alla richiesta di cancellazione.

Fatti e origine del reclamo

L’ex dipendente riferisce che, dopo la cessazione del rapporto di lavoro avvenuta il 30/06/2023, gli è stato impedito l’accesso agli account di posta aziendale individualizzati, che tuttavia risultavano ancora attivi e in grado di ricevere messaggi. L’interessato presenta quindi un’istanza di cancellazione ai sensi dell’art. 17 GDPR, chiedendo anche la rimozione della documentazione conservata in backup. La richiesta, notificata via PEC alla società, non riceve riscontro nei termini previsti dall’art. 12, par. 3, GDPR.

L’Ufficio avvia una richiesta di informazioni ex art. 157 del Codice privacy e chiede chiarimenti sulla persistenza degli account. La società dichiara che le caselle sono state mantenute attive per agevolare la transizione dopo l’uscita del dipendente, informare i clienti e recuperare eventuali informazioni utili all’attività aziendale, invocando l’art. 6, par. 1, lett. f), GDPR. Aggiunge che un addetto IT ha operato sulle caselle solo per impostare risposte automatiche e che gli indirizzi sono stati poi disattivati e cancellati.

Avvio del procedimento sanzionatorio

Ricevuti ulteriori chiarimenti, il Garante avvia il procedimento per l’adozione di provvedimenti correttivi e sanzionatori ai sensi dell’art. 166, comma 5, del Codice, contestando le violazioni degli artt. 12, par. 3, 17, 5, par. 1, lett. a), c), e), 6, 13 e 29 GDPR. La società deposita memorie difensive, sostenendo in sintesi che il reclamante era in malattia, che sussisteva un rischio per l’attività aziendale e che le e-mail erano mantenute anche per esigenze difensive, oltre a descrivere una procedura interna per la gestione degli account degli ex dipendenti.

Valutazioni del Garante sulla richiesta di cancellazione

L’Autorità osserva che il titolare avrebbe dovuto riscontrare la richiesta dell’interessato entro un mese e, in caso di diniego, indicare tempestivamente le ragioni dell’inottemperanza e la possibilità di reclamo e ricorso. Il Garante ritiene non applicabile l’art. 17, par. 3, lett. e), GDPR, perché non risulta un contenzioso giudiziario pendente né un rischio concreto e attuale tale da giustificare il mantenimento degli account per finalità di difesa.

Poiché la disattivazione definitiva delle caselle avviene solo circa sei mesi dopo la richiesta dell’interessato, il Garante conferma la violazione degli artt. 12 e 17 GDPR.

Valutazioni sulla liceità del trattamento e sui principi generali

Il Garante accerta che gli account aziendali sono stati mantenuti attivi per un periodo di circa sei mesi dalla cessazione del rapporto di lavoro al 21/12/2023. La società afferma che ciò fosse necessario per la transizione, per informare terzi e per il recupero di informazioni aziendali, richiamando il legittimo interesse.

L’Autorità rileva però che, al momento dei fatti, non era stato predisposto un adeguato test di bilanciamento ex art. 6, par. 1, lett. f), GDPR; il documento prodotto successivamente risulta tardivo e comunque riferito a un periodo di conservazione di tre mesi, non a sei. Da ciò deriva la violazione dell’art. 6 GDPR.

Il Garante ritiene inoltre che il prolungato mantenimento delle caselle sia contrario ai principi di correttezza e trasparenza, nonché di minimizzazione e limitazione della conservazione ex art. 5, par. 1, lett. a), c) ed e), GDPR. Richiama anche il proprio orientamento secondo cui le esigenze di conservazione documentale dell’azienda devono essere soddisfatte tramite sistemi di gestione documentale idonei, non tramite la semplice persistenza delle caselle di posta, che non garantiscono caratteristiche adeguate di autenticità, integrità, affidabilità, leggibilità e reperibilità.

Informativa ai dipendenti e controlli a distanza

Il Garante rileva che il reclamante non era stato adeguatamente informato, come gli altri dipendenti, delle procedure relative all’uso degli strumenti informatici e alla disattivazione delle e-mail aziendali al termine del rapporto. Il documento prodotto dalla società risulta adottato successivamente ai fatti e non pienamente implementato in Italia.

Viene quindi confermata la violazione dell’art. 13 GDPR, anche perché l’informativa allegata non descrive in modo chiaro ed esaustivo le operazioni di trattamento effettuate sui dati dei dipendenti, inclusa la gestione degli account di posta elettronica.

L’Autorità richiama infine la disciplina sui controlli a distanza di cui alla legge n. 300/1970, raccomandando che le policy aziendali tengano conto anche di tale normativa, poiché la conservazione e l’eventuale consultazione della posta elettronica possono incidere sull’attività lavorativa dei dipendenti.

Istruzioni al personale IT e art. 29 GDPR

Quanto al personale IT, la società afferma che un dipendente incaricato si è limitato a impostare la risposta automatica e a disattivare l’account secondo indicazioni del reparto HR. Tuttavia, la documentazione prodotta non contiene istruzioni specifiche e formalizzate sulle modalità di gestione degli strumenti informatici assegnati ai dipendenti.

Il Garante ritiene quindi violato l’art. 29 GDPR, in quanto chi agisce sotto l’autorità del titolare può trattare dati personali solo se istruito in tal senso. L’assenza di adeguate istruzioni operative integra una non conformità anche rispetto alla necessità di definire con precisione operazioni, categorie di dati, modalità e finalità del trattamento.

Provvedimenti correttivi

Ai sensi dell’art. 58, par. 2, GDPR, l’Autorità ordina alla società di:

• predisporre un’informativa ex art. 13 GDPR idonea a rappresentare agli interessati tutte le operazioni di trattamento, le finalità, le modalità, i tempi di conservazione e i relativi presupposti di legittimità;
• fornire istruzioni specifiche ai soggetti addetti alle funzioni IT che intervengono sugli strumenti informatici dei dipendenti, tenendo conto delle raccomandazioni del Garante e della disciplina sui controlli a distanza.

Sanzione amministrativa pecuniaria

Il Garante ritiene che le violazioni non possano essere considerate minori, in ragione della pluralità delle disposizioni violate e della natura dei trattamenti. Ai fini della quantificazione ex art. 83 GDPR considera:

• la natura, gravità e durata della violazione, con particolare riferimento al ritardo di 6 mesi nel riscontro all’istanza di cancellazione;
• la persistenza delle irregolarità al momento della decisione;
• l’assenza di precedenti violazioni;
• la procedura di liquidazione della società.

Tenuto conto dei criteri di effettività, proporzionalità e dissuasività, il Garante irroga una sanzione amministrativa pecuniaria di euro 5.000,00.

Dispositivo finale e impugnazione

Il provvedimento rileva l’illiceità del trattamento effettuato da Framos Italia s.r.l. in liquidazione per violazione degli artt. 5, par. 1, lett. a), c), e), 6, 13, 12, 17 e 29 GDPR. La società è ingiunta a pagare la sanzione entro 30 giorni dalla notifica e a conformarsi entro 60 giorni alle prescrizioni impartite, fornendo un riscontro motivato ai sensi dell’art. 157 del Codice.

L’Autorità dispone inoltre la pubblicazione dell’ordinanza ingiunzione e del provvedimento sul proprio sito internet e l’annotazione delle violazioni nel registro interno. È infine indicata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria nei termini di legge.