Ordinanza ingiunzione o revoca n. 589 del 09/10/2025

Arienti & C. s.r.l. a socio unico: diniego dell’accesso alla casella e-mail aziendale di un ex agente e sanzione del Garante

Il provvedimento riguarda il reclamo di un ex agente nei confronti di Arienti & C. s.r.l. a socio unico, relativo alla mancata ostensione del contenuto della casella di posta elettronica aziendale assegnata nel corso del rapporto di collaborazione. Il Garante ha ritenuto illecito il riscontro fornito dalla Società alla richiesta di accesso ai dati personali e ha applicato una sanzione amministrativa pecuniaria, oltre a ordinare l’adempimento della richiesta dell’interessato.

Fatti e svolgimento del procedimento

L’interessato ha lamentato che, dopo la comunicazione del recesso dal rapporto di agenzia, l’accesso alla casella di posta elettronica e al portale aziendale fosse stato disattivato, impedendogli di recuperare email, contatti e contenuti connessi alla propria attività professionale. Ha quindi presentato una richiesta di accesso ai dati contenuti nell’account, dichiarando di doverli utilizzare per far valere un proprio diritto in sede giudiziale.

La Società ha risposto negando l’accesso. Ha sostenuto che la casella fosse destinata solo a fini lavorativi, che potesse contenere informazioni sui clienti e che, essendo il rapporto cessato, l’ex agente non avesse più titolo per trattare dati della Società. In una fase successiva ha aggiunto che la limitazione dell’accesso era giustificata dall’esigenza di tutela difensiva e dalla necessità di preservare la riservatezza e la sicurezza delle informazioni aziendali.

Quadro normativo richiamato

Il Garante ha richiamato:

• l’art. 15 GDPR, sul diritto di accesso dell’interessato e sul rilascio di copia dei dati personali;
• l’art. 12 GDPR, sulle modalità e sui termini di riscontro alle richieste degli interessati, inclusa l’obbligatoria indicazione dei motivi del diniego e dei rimedi esperibili;
• l’art. 23 GDPR e l’art. 2-undecies del Codice privacy, che consentono limitazioni dei diritti quando dall’esercizio possa derivare un pregiudizio effettivo e concreto, ad esempio allo svolgimento di investigazioni difensive o all’esercizio di un diritto in sede giudiziaria;
• l’art. 5, par. 1, lett. a) GDPR, sul principio di correttezza.

Valutazioni del Garante sulla natura dei dati e sul diritto di accesso

L’Autorità ha ribadito che la corrispondenza elettronica presente su un account aziendale individualizzato può riguardare dati personali dell’interessato, anche se il suo utilizzo è riferito all’attività lavorativa. Di conseguenza, la circostanza che nella casella potessero essere presenti informazioni relative ai clienti della Società non consente, di per sé, di negare il diritto di accesso del titolare dell’account.

Il Garante ha inoltre sottolineato che la cessazione del rapporto non elimina la titolarità del diritto di accesso previsto dall’art. 15 GDPR. Neppure l’asserita possibilità, per l’interessato, di aver consultato la casella prima della restituzione del computer aziendale preclude la presentazione di una successiva richiesta di accesso, poiché il Regolamento consente anche richieste ripetute, salvo il caso di domande eccessive o manifestamente infondate.

Insufficienza del diniego e violazione degli artt. 12 e 15 GDPR

Secondo il Garante, il riscontro della Società è risultato inidoneo sotto più profili:

• non ha fornito una motivazione adeguata e specifica del diniego o della limitazione dell’accesso;
• non ha indicato all’interessato la possibilità di proporre reclamo al Garante o ricorso giurisdizionale, come richiesto dall’art. 12, par. 4, GDPR;
• ha richiamato esigenze difensive in modo generico, senza dimostrare in concreto un pregiudizio effettivo e concreto derivante dall’accesso.

L’Autorità ha quindi concluso che la Società ha violato gli artt. 12 e 15 GDPR e, per effetto della gestione non corretta della richiesta, anche il principio di correttezza di cui all’art. 5, par. 1, lett. a).

Provvedimenti correttivi e sanzionatori

Ai sensi dell’art. 58, par. 2, GDPR, il Garante ha:

• ingiunto alla Società di soddisfare la richiesta dell’interessato di esercitare il diritto di accesso alla casella di posta elettronica oggetto del reclamo, entro 30 giorni dalla notifica del provvedimento;
• richiesto alla Società di trasmettere, entro 90 giorni, un riscontro adeguatamente documentato sulle iniziative intraprese per dare attuazione all’ordine.

Sul piano sanzionatorio, il Garante ha applicato l’art. 83 GDPR, ritenendo la violazione di gravità media, non minore, in ragione della pluralità delle disposizioni violate, della durata della condotta, del contesto di rapporto di agenzia e del limitato numero di interessati coinvolti.

Quantificazione della sanzione

Nel determinare l’importo, l’Autorità ha considerato:

• la natura della violazione, relativa a disposizioni centrali sui diritti dell’interessato;
• la durata della condotta, protrattasi per più di due anni;
• il contesto del rapporto di collaborazione, caratterizzato da uno squilibrio tra titolare e interessato;
• il fatto che la violazione ha riguardato un solo interessato;
• il grado di responsabilità della Società, che non si è conformata agli obblighi di diligenza;
• la cooperazione successiva con l’Autorità e la disponibilità manifestata a valutare forme di accesso selettivo, considerate come fattori attenuanti;
• la situazione economica del contravventore, desunta dal bilancio 2024.

All’esito, è stata irrogata una sanzione amministrativa pecuniaria di euro 8.000.

Ulteriori disposizioni

Il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito istituzionale e l’annotazione delle violazioni nel registro interno dell’Autorità. È stata inoltre richiamata la possibilità di opposizione all’autorità giudiziaria ordinaria nei termini di legge.