Ordinanza ingiunzione o revoca n. 8 del 16/01/2025

Sicurnet Liguria s.r.l. - gestione illecita dell'account e-mail aziendale di un ex dipendente e mancato riscontro alle istanze di accesso e cancellazione

Il provvedimento trae origine da un reclamo presentato dall’ex dipendente di Sicurnet Liguria s.r.l., relativo alla mancata risposta alle richieste di cancellazione dell’account di posta elettronica aziendale a lui assegnato e di accesso alle comunicazioni eventualmente pervenute dopo la cessazione del rapporto di lavoro. L’Autorità ha esaminato anche la condotta della società nel mantenere attivo l’account e nell’inoltrare le e-mail in entrata verso un altro indirizzo monitorato.

Origine del procedimento e attività istruttoria

L’interessato aveva trasmesso alla società, il 7 e il 9 giugno 2022, un’istanza di cancellazione dell’account e una richiesta di ricevere eventuali messaggi pervenuti dal 1° ottobre 2021 non strettamente collegati alla precedente attività lavorativa. La società ha fornito un riscontro solo l’8 giugno 2023, dopo invito ad aderire del Garante e successiva richiesta di informazioni, sostenendo che l’account fosse stato disattivato da tempo e che il mantenimento fosse stato necessario per gestire la clientela e trasferire le comunicazioni a un diverso indirizzo.

Nel corso del procedimento la società ha anche affermato che l’indirizzo era stato predisposto per finalità aziendali, che l’ex dipendente lo aveva usato solo per scopi d’impresa e che il regolamento aziendale non conteneva una disciplina specifica sugli account e sulla loro chiusura alla cessazione del rapporto. L’interessato ha contestato che, a distanza di circa nove mesi dalla cessazione del rapporto, nessuna risposta fosse stata fornita e che i mittenti non ricevessero adeguate comunicazioni di aggiornamento.

Trattamento esaminato

Il Garante ha qualificato come trattamento l’attività svolta sull’account di posta elettronica aziendale individualizzato assegnato al reclamante durante il rapporto di lavoro. In particolare, ha rilevato che la società, dopo la cessazione del rapporto, ha mantenuto attivo l’account per un periodo significativo, ha attivato una funzione di inoltro automatico delle e-mail in entrata a un altro indirizzo costantemente monitorato e ha così avuto accesso alle comunicazioni ricevute.

L’Autorità ha precisato che lo scambio di corrispondenza elettronica su un account aziendale individualizzato integra un trattamento di dati personali, anche quando la corrispondenza sia connessa all’attività lavorativa, e che il contenuto dei messaggi, i dati esteriori e gli allegati sono coperti da garanzie di segretezza.

Violazione dei diritti dell’interessato

Il Garante ha accertato la violazione degli artt. 12, 15 e 17 GDPR. La società non ha fornito alcun riscontro all’istanza di esercizio dei diritti, né ha comunicato all’interessato un eventuale diniego motivato o le ragioni della mancata ottemperanza, come richiesto dall’art. 12, par. 4, GDPR.

L’Autorità ha richiamato le linee guida EDPB sul diritto di accesso, secondo cui il rifiuto, totale o parziale, deve essere motivato con riferimento a circostanze concrete e deve contenere l’indicazione della possibilità di proporre reclamo all’autorità di controllo e ricorso giurisdizionale. La condotta della società è stata quindi ritenuta in contrasto con gli obblighi di risposta e di agevolazione dell’esercizio dei diritti.

Violazione dei principi di correttezza, finalità, minimizzazione e conservazione

La persistenza dell’account attivo e l’inoltro delle e-mail in entrata sono stati ritenuti incompatibili con i principi di cui all’art. 5, par. 1, lett. b), c) ed e), GDPR. Il Garante ha osservato che la finalità dichiarata dalla società, cioè la gestione dei rapporti con la clientela e il trasferimento delle comunicazioni, poteva essere realizzata con misure meno invasive e conformi alla disciplina privacy.

Secondo l’Autorità, la società non si è limitata a trattare dati adeguati, pertinenti e necessari, ma ha mantenuto per un tempo considerevole l’accesso a una casella individualizzata, trattando dati personali dell’assegnatario oltre il necessario e senza una specifica, esplicita e legittima finalità. Ne è derivata anche la violazione del principio di limitazione della conservazione, poiché l’account è stato mantenuto attivo dalla cessazione del rapporto almeno fino alle istanze del giugno 2022, senza indicazione certa della successiva cancellazione.

Il Garante ha inoltre escluso che potesse assumere rilievo scriminante un asserito consenso del lavoratore, evidenziando sia l’assenza di prova di un consenso formalmente acquisito, sia l’inidoneità del consenso nel contesto del rapporto di lavoro, caratterizzato da uno squilibrio di potere.

Mancata informativa e violazione del principio di trasparenza

È stata accertata anche la violazione dell’art. 13 GDPR, in combinato con l’art. 5, par. 1, lett. a), GDPR. Il regolamento aziendale non conteneva alcuna disciplina sull’uso della posta elettronica e sulla chiusura degli account, né la società aveva fornito un’informativa preventiva adeguata sulle caratteristiche essenziali del trattamento.

Il Garante ha ritenuto insufficiente il fatto che alcune informazioni siano state fornite solo nell’ambito del procedimento amministrativo, dopo il reclamo e l’avvio dell’istruttoria. L’informativa, infatti, deve essere resa nel momento in cui i dati sono ottenuti e deve descrivere compiutamente il trattamento, in modo chiaro e preventivo.

Valutazione conclusiva e sanzione

L’Autorità ha concluso per l’illiceità del trattamento effettuato da Sicurnet Liguria s.r.l. in violazione degli artt. 5, par. 1, lett. a), b), c), e), 12, 13, 15 e 17 GDPR. La violazione non è stata considerata minore, tenuto conto della natura e gravità della condotta, della durata del trattamento illecito e del fatto che ha riguardato i principi generali del regolamento e i diritti dell’interessato.

Ai fini della quantificazione della sanzione, il Garante ha valorizzato la gravità della violazione, la durata, il numero di interessati coinvolti pari a uno, il grado di responsabilità della società e le condizioni economiche risultanti dall’ultimo bilancio disponibile. È stata quindi irrogata una sanzione amministrativa pecuniaria di euro 8.000.

Misure accessorie e rimedi

Il Garante ha ordinato il pagamento della sanzione entro trenta giorni dalla notifica, con la possibilità di definire la controversia mediante pagamento in misura ridotta nei termini previsti dalla normativa. Ha inoltre disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Avverso il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria nei termini di legge.