Ordinanza ingiunzione o revoca n. 427 del 17/07/2025

Smart R.E. S.r.l. – sanzione per mancata cancellazione di una casella e-mail aziendale individualizzata

Il provvedimento riguarda Smart R.E. S.r.l., titolare del trattamento, ed è stato adottato a seguito di un reclamo della ex collaboratrice che chiedeva la cancellazione di un indirizzo di posta elettronica aziendale assegnato durante il rapporto di lavoro e ancora attivo dopo la cessazione della collaborazione.

Origine del reclamo e attività istruttoria

La reclamante ha riferito di avere scoperto che la casella e-mail a lei assegnata era rimasta attiva e che i messaggi inviati a quell’indirizzo venivano reindirizzati a un altro account riconducibile alla società. Dopo le richieste del 14 e 15 aprile 2023 di procedere alla cancellazione, la società aveva risposto che non avrebbe provveduto immediatamente alla disattivazione.

Nel corso dell’istruttoria la società ha sostenuto che l’account era stato mantenuto attivo per assicurare l’assistenza ai clienti e la ricezione di documenti rilevanti, che l’indirizzo non sarebbe stato direttamente identificativo perché formato solo dal cognome e dal dominio aziendale, e che l’account sarebbe stato prima rinominato il 16 aprile 2023 e poi cancellato il 23 ottobre 2023. Ha anche richiamato una policy interna che prevedeva l’uso esclusivamente professionale della casella.

Quadro normativo richiamato

Il Garante ha richiamato:

• l’art. 5, par. 1, lett. c) GDPR, sul principio di minimizzazione;
• l’art. 12 GDPR, sulle modalità e i termini di riscontro alle richieste degli interessati;
• l’art. 17 GDPR, sul diritto alla cancellazione;
• l’art. 58, par. 2, lett. i) GDPR, per i poteri correttivi;
• l’art. 83 GDPR per la sanzione amministrativa pecuniaria;
• l’art. 166 del Codice privacy.

È stato inoltre richiamato l’art. 168 del Codice in relazione alla falsità nelle dichiarazioni rese al Garante, pur senza che il provvedimento faccia seguire una specifica contestazione in tal senso.

Valutazione del Garante sulla casella e-mail e sull’identificabilità

L’Autorità ha ritenuto che l’indirizzo fosse riconducibile alla reclamante anche se composto soltanto dal cognome, perché la valutazione dell’identificabilità va compiuta nel contesto concreto del trattamento. Nel caso di specie, le ridotte dimensioni dell’agenzia e il contenuto delle comunicazioni con i clienti rendevano il dato riferibile all’interessata.

Il Garante ha evidenziato che l’account e-mail individualizzato, anche se utilizzato per finalità professionali, continua a veicolare informazioni personali e, dopo la cessazione del rapporto, deve essere rimosso secondo modalità conformi ai principi di necessità e minimizzazione. È stato richiamato l’orientamento già espresso nelle Linee guida su posta elettronica e Internet e in precedenti provvedimenti, secondo cui il titolare dovrebbe disattivare la casella e predisporre sistemi automatici per informare i terzi e fornire indirizzi alternativi.

Violazioni accertate

Il Garante ha accertato la violazione di:

• art. 17 GDPR, perché la società non ha cancellato senza ingiustificato ritardo i dati/il profilo e-mail della reclamante;
• art. 12 GDPR, perché non ha dato un riscontro adeguato e tempestivo alla richiesta di cancellazione;
• art. 5, par. 1, lett. c) GDPR, perché il mantenimento attivo e il reindirizzamento della casella per un periodo prolungato sono stati ritenuti non necessari e sproporzionati rispetto alla finalità dichiarata.

La società non ha potuto invocare utilmente eventuali limitazioni ai diritti dell’interessata ex art. 2-undecies del Codice, che non risultavano applicabili nel caso concreto.

Esito del procedimento e sanzione

Ritenuto illecito il trattamento, il Garante ha applicato una sanzione amministrativa pecuniaria di 8.000 euro, determinata tenendo conto:

• della natura della violazione, rientrante tra quelle più gravi di cui all’art. 83, par. 5 GDPR;
• della durata, pari a circa dodici mesi;
• del coinvolgimento di una sola interessata;
• del grado di responsabilità della società;
• della cooperazione prestata nel corso del procedimento, con la successiva cancellazione dell’indirizzo e-mail.

È stata disposta la pubblicazione del provvedimento sul sito del Garante. La società è stata ingiunta a pagare la sanzione entro 30 giorni dalla notifica, con facoltà di definizione agevolata nei limiti previsti dalla legge.