Ordinanza ingiunzione o revoca n. 63 del 13/02/2025

D.e.c. soc. coop. - trattamento illecito dell'account email aziendale di una ex dipendente

Il Garante per la protezione dei dati personali ha definito il reclamo presentato da una ex lavoratrice nei confronti di D.e.c. soc. coop., relativo alla mancata immediata disattivazione dell'account email individualizzato assegnato in costanza di rapporto di lavoro. Dopo la cessazione del rapporto, la società aveva mantenuto attiva la ricezione della posta tramite reindirizzamento verso altro indirizzo interno per diversi mesi, sostenendo esigenze di continuità dei rapporti con clienti, fornitori e soci e il recupero di comunicazioni e informazioni asseritamente riservate.

Origine del reclamo e attività istruttoria

La reclamante aveva cessato il rapporto di lavoro il 29 settembre 2022 e aveva chiesto la disattivazione dell'account nei giorni 7 e 11 novembre 2022. La società aveva risposto che la casella era già disattivata per le operazioni in uscita e che la posta in arrivo era stata temporaneamente reindirizzata verso altro indirizzo per evitare la perdita di contatti di interesse aziendale. Nel corso dell'istruttoria, la società ha precisato che la lavoratrice avrebbe utilizzato in modo irregolare l'account per inviare all'esterno informazioni riservate e che, dopo la cessazione del rapporto, la casella era rimasta attiva solo per recuperare la posta in arrivo; la disattivazione definitiva sarebbe intervenuta ad aprile 2023.

Valutazione del trattamento effettuato dopo la cessazione del rapporto

L'Autorità ha accertato che la società, dopo la cessazione del rapporto di lavoro, ha mantenuto attivo per circa sette mesi l'account individualizzato, consentendo l'accesso ai messaggi in arrivo tramite reindirizzamento. Tale modalità è stata giudicata non adeguata e non proporzionata rispetto alle finalità dichiarate. Il Garante ha rilevato che la società aveva comunque già predisposto canali diversi per i contatti con clienti e collaboratori e che, per i rapporti con i soci, non risultava giustificato l'uso protratto della casella della ex dipendente. È stato inoltre osservato che non emergeva un nesso tra l'email inviata ai soci prima della cessazione del rapporto e la necessità di mantenere attivo quell'account.

Violazioni contestate

Il Garante ha ritenuto illecito il trattamento per violazione di:

• art. 5, par. 1, lett. a), GDPR, per difetto di correttezza e trasparenza;
• art. 5, par. 1, lett. c), GDPR, per violazione del principio di minimizzazione;
• art. 13 GDPR, per mancata previa informativa all'interessata circa la gestione dell'account dopo la cessazione del rapporto.

Il regolamento aziendale prodotto dalla società, datato 2 agosto 2016, non disciplinava in modo specifico la gestione della posta elettronica dopo la cessazione del rapporto di lavoro.

Principi e precedenti richiamati

Il provvedimento richiama le Linee guida del Garante per posta elettronica e Internet del 1 marzo 2007, secondo cui la corrispondenza su un account aziendale individualizzato consente di conoscere informazioni personali dell'interessato. L'Autorità ha inoltre richiamato propri precedenti nei quali, in casi analoghi, è stata considerata conforme ai principi di necessità e minimizzazione la rimozione dell'account dopo la cessazione del rapporto, con disattivazione della casella e adozione di sistemi automatici per informare i terzi e indirizzarli verso canali alternativi.

Sanzione e criteri di quantificazione

Il Garante ha escluso che la violazione potesse essere qualificata come minore e ha valutato la gravità come media, considerando in particolare:

• la natura della violazione, incidente sui principi generali del trattamento;
• la durata, pari a circa sette mesi;
• il grado di responsabilità della società;
• la cooperazione con l'Autorità;
• il fatto che la violazione abbia riguardato una sola interessata;
• l'avvenuta cancellazione della casella email oggetto di reclamo;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2023.

In applicazione dell'art. 83 GDPR, è stata irrogata a D.e.c. soc. coop. una sanzione amministrativa pecuniaria di euro 20.000. Il Garante ha inoltre disposto la pubblicazione dell'ordinanza ingiunzione sul proprio sito e l'annotazione delle violazioni nel registro interno dell'Autorità.

Dispositivo

L'Autorità ha dichiarato l'illiceità del trattamento effettuato da D.e.c. soc. coop. e ha ordinato il pagamento della sanzione entro 30 giorni dalla notifica del provvedimento, con avvertenza circa la possibilità di definizione agevolata nei limiti previsti dalla legge. È stata infine prevista la pubblicazione del provvedimento e l'indicazione delle modalità di opposizione davanti all'autorità giudiziaria ordinaria.