Ordinanza ingiunzione o revoca n. 127 del 13/04/2023

SWG S.p.A. - controlli su casella email e dispositivi aziendali senza adeguata informativa

Il provvedimento riguarda SWG S.p.A., quale titolare del trattamento, in relazione a verifiche effettuate sui dispositivi e sulle utenze aziendali assegnate a un collaboratore, culminate nel blocco della casella di posta elettronica e della SIM aziendali. L’istruttoria trae origine da un reclamo presentato ai sensi dell’art. 77 GDPR e si conclude con un’ordinanza-ingiunzione e la declaratoria di illiceità del trattamento.

Origine del reclamo e attività istruttoria

Il reclamante ha lamentato di non aver potuto accedere alla propria casella email aziendale individualizzata dopo la modifica delle credenziali e la disattivazione del telefono aziendale, sostenendo che tali strumenti contenessero anche dati personali e dati particolari. La società ha ricostruito i fatti come conseguenza di una verifica tecnica svolta in vista della migrazione della sede, durante la quale l’amministratore di sistema avrebbe rilevato accessi anomali e un download massivo di file dalla rete aziendale.

Nel corso del procedimento la società ha prodotto memorie e documentazione interna, tra cui:

• il regolamento sull’uso degli strumenti informatici, denominato DN02;
• la procedura "Gestione della privacy e della data security";
• documentazione relativa a designazione, formazione e successivi aggiornamenti organizzativi;
• una relazione tecnica derivante da copia forense del notebook assegnato al reclamante.

Ricostruzione dei fatti rilevanti

Secondo quanto accertato dal Garante, in data 10 luglio 2020 l’amministratore di sistema, nell’ambito delle attività di migrazione e verifica dei sistemi, ha rilevato che in data 3 luglio 2020 era stato aperto in lettura un numero anomalo di file. Gli ulteriori controlli hanno consentito di associare l’attività all’utenza del reclamante e di concludere che si trattasse di una copiatura massiva di dati dalle cartelle condivise.

A seguito di tali verifiche:

• l’utenza è stata sospesa cautelarmente;
• la società è stata informata;
• la sospensione è stata poi resa definitiva;
• sono state bloccate la casella di posta elettronica e la SIM aziendali.

Valutazioni del Garante sulla liceità del trattamento

L’Autorità ha ritenuto che il trattamento risultasse illecito perché la società non aveva adeguatamente informato l’interessato circa la possibilità di effettuare controlli sui contenuti memorizzati nei dispositivi aziendali e sulle attività svolte tramite tali dispositivi, né circa le conseguenze operative dei controlli stessi, inclusa la disattivazione degli strumenti.

In particolare, il Garante ha osservato che:

• il documento DN02 conteneva solo regole d’uso e conseguenze disciplinari della loro violazione, ma non una specifica informativa sui controlli;
• la procedura DN01 descriveva misure di sicurezza generali, senza dettagliare il tipo di verifiche poi concretamente svolte;
• anche il riferimento a controlli preventivi e continui non era sufficiente a rendere noto in modo preciso l’assetto dei controlli effettivamente praticati;
• non risultava provata una informazione adeguata fornita al momento del contratto, della designazione a incaricato o in occasione degli eventi formativi richiamati.

L’Autorità ha quindi affermato che, nel rapporto di lavoro o di collaborazione, il titolare deve indicare chiaramente e in modo particolareggiato modalità di utilizzo degli strumenti aziendali e, se del caso, l’esistenza e le modalità dei controlli, nel rispetto di liceità, proporzionalità e gradualità.

Norme violate e riferimenti richiamati

Il Garante ha accertato la violazione di:

• art. 5, par. 1, lett. a), GDPR, sotto il profilo del principio di correttezza;
• art. 13 GDPR, per omessa o insufficiente informativa.

Nel provvedimento sono richiamati anche:

• art. 58, par. 2, lett. i), GDPR, per il potere di irrogare sanzioni;
• art. 83 GDPR, per i criteri di commisurazione della sanzione;
• artt. 166 e 168 del Codice privacy;
• linee guida del Garante su posta elettronica e internet del 1° marzo 2007;
• artt. 113 e 114 del Codice privacy, in relazione ai controlli a distanza.

Il richiamo della società alla disciplina delle investigazioni difensive e ai controlli difensivi non è stato accolto, poiché la contestazione riguardava anzitutto l’assenza di una preventiva e adeguata informazione del lavoratore/collaboratore.

Sanzione amministrativa e criteri di quantificazione

L’Autorità ha ritenuto che la violazione non potesse essere considerata minore. Nel determinare l’importo della sanzione, ha valutato:

• la natura e gravità della violazione, incidendo sui principi generali del trattamento e sull’informativa;
• il grado di responsabilità del titolare;
• la cooperazione della società nel corso dell’istruttoria;
• l’assenza di precedenti violazioni;
• il numero limitato di interessati coinvolti;
• le condizioni economiche del contravventore, considerate in base al bilancio 2021.

È stata quindi irrogata una sanzione amministrativa pecuniaria di euro 15.000. Il provvedimento precisa anche la possibilità di definire la controversia mediante pagamento in misura ridotta, secondo la disciplina richiamata nel Codice e nella legge n. 689/1981.

Dispositivo finale e rimedi

Il Garante ha:

• rilevato l’illiceità del trattamento effettuato da SWG S.p.A. per violazione degli artt. 5, par. 1, lett. a), e 13 GDPR;
• ordinato alla società il pagamento della sanzione di euro 15.000 entro 30 giorni dalla notifica;
• disposto la pubblicazione del provvedimento sul sito istituzionale;
• indicato la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.