Ordinanza ingiunzione o revoca n. 472 del 17/07/2024

Selectra S.p.A. - trattamento illecito della casella e-mail aziendale e dei relativi backup

Il provvedimento riguarda Selectra S.p.A. e l’uso di una casella di posta elettronica aziendale individualizzata assegnata a un collaboratore/agente di commercio, con acquisizione, conservazione e consultazione del contenuto dei messaggi tramite il software Mail Store. Il procedimento nasce da un reclamo dell’interessato e si conclude con l’accertamento dell’illiceità del trattamento, il divieto di ulteriore trattamento dei dati estratti e l’irrogazione di una sanzione amministrativa pecuniaria.

Origine del procedimento e svolgimento dell’istruttoria

L’interessato ha lamentato che, dopo la cessazione del rapporto di collaborazione avvenuta il 24 febbraio 2021, la Società avrebbe mantenuto attivo l’account di posta elettronica aziendale individualizzato e ne avrebbe consultato il contenuto, poi prodotto in un giudizio avanti al Tribunale di Venezia. L’Ufficio ha acquisito informazioni dalla Società ai sensi dell’art. 157 del Codice.

La Società ha sostenuto di non aver mai acceduto direttamente alla casella durante il rapporto, di effettuare backup automatici tramite MailStore e di aver incaricato uno studio di ingegneria forense di acquisire una copia forense del backup per finalità di tutela in giudizio, a fronte di sospetti di sottrazione di segreti aziendali. Ha inoltre affermato che la casella sarebbe stata disattivata entro tre giorni dal 5 marzo 2021.

Trattamenti esaminati

Dall’istruttoria sono emerse due principali tipologie di trattamento:

• la gestione della casella di posta elettronica aziendale individualizzata, con conservazione del relativo contenuto;
• il backup e la conservazione automatica dei messaggi e dei log di accesso tramite Mail Store.

Le e-mail raccolte tramite il software sono state poi utilizzate nell’ambito di un contenzioso giudiziario contro l’interessato.

Valutazioni sull’informativa resa all’interessato

Il Garante ha ritenuto che l’informativa consegnata al collaboratore non fosse conforme agli artt. 5, par. 1, lett. a), e 13 GDPR. In particolare, l’informativa:

• indicava in modo solo generico la conservazione dei dati per adempimenti connessi o derivanti dalla conclusione del rapporto;
• non menzionava il backup del contenuto della casella di posta;
• non indicava la conservazione del contenuto per tre anni dopo la cessazione del rapporto;
• non spiegava in modo sufficiente modalità e finalità dei controlli eventualmente effettuati dalla Società.

È stato evidenziato che l’obbligo informativo è espressione del principio di correttezza e che l’informativa deve descrivere operazioni di trattamento già lecite e determinate, non formulazioni generiche.

Illiceità del trattamento tramite backup e conservazione della posta

L’Autorità ha ritenuto non giustificata la conservazione sistematica del contenuto delle e-mail per tutta la durata del rapporto e per tre anni successivi alla cessazione, così come la conservazione dei log per almeno sei mesi. La Società non ha fornito ragioni specifiche che rendessero necessario un periodo di retention così esteso per finalità di sicurezza dei sistemi.

Secondo il Garante, l’uso del software Mail Store è risultato incompatibile con i principi di liceità, minimizzazione e limitazione della conservazione di cui all’art. 5, par. 1, lett. a), c) ed e) GDPR.

Controllo a distanza e disciplina speciale in ambito lavorativo

Il provvedimento rileva anche la violazione dell’art. 88 GDPR e dell’art. 114 del Codice, in relazione all’art. 4 della legge n. 300/1970. Il sistema utilizzato era infatti idoneo a ricostruire minuziosamente l’attività dei soggetti interessati, sia attraverso i messaggi di posta elettronica sia attraverso i log del gestionale, consentendo un controllo sull’attività lavorativa.

Il Garante ha osservato che, anche ove i trattamenti fossero stati preordinati a finalità legittime, non risultava attivata la procedura di garanzia prevista dalla disciplina sui controlli a distanza, ossia l’accordo sindacale o, in mancanza, l’autorizzazione dell’Ispettorato del lavoro.

Finalità difensiva e limiti del trattamento

La Società aveva richiamato una finalità di tutela in ambito giudiziario. Il Garante ha però ribadito che il trattamento per difesa in giudizio deve riferirsi a contenziosi già in atto o a situazioni precontenziose specifiche, non a ipotesi astratte o indeterminate. Nel caso esaminato, l’estrazione e consultazione delle e-mail ha ecceduto tali limiti.

Provvedimenti correttivi e sanzione

Alla luce delle violazioni accertate, il Garante ha adottato i seguenti provvedimenti ai sensi dell’art. 58, par. 2, GDPR:

• divieto dell’ulteriore trattamento dei dati estratti tramite il software Mail Store;
• irrogazione di una sanzione amministrativa pecuniaria di euro 80.000,00 ai sensi dell’art. 83 GDPR.

Nella quantificazione della sanzione sono stati considerati:

• la natura e gravità delle violazioni, riguardanti i principi generali del trattamento e l’obbligo informativo;
• il numero degli interessati potenzialmente coinvolti, con riferimento alla consistenza del personale della Società;
• il grado di responsabilità della Società;
• la cooperazione prestata nel procedimento, con dichiarata sospensione dell’uso del software;
• l’assenza di precedenti specifici;
• le condizioni economiche della Società.

Ulteriori adempimenti e impugnazione

Il provvedimento dispone anche la pubblicazione sul sito del Garante e richiede alla Società di comunicare, entro 90 giorni dalla notifica, le iniziative adottate per dare attuazione al provvedimento, con riscontro documentato ai sensi dell’art. 157 del Codice. È richiamata la possibilità di opposizione avanti all’autorità giudiziaria ordinaria nei termini di legge.