Prescrizioni del Garante n. 364 del 23/06/2025

P2P s.r.l. - trattamento illecito della casella e-mail aziendale di una ex dipendente

Il Garante per la protezione dei dati personali ha esaminato il reclamo presentato dalla ex dipendente di P2P s.r.l. relativo alla persistente attivazione della casella di posta elettronica aziendale a lei assegnata durante il rapporto di lavoro, nonché al successivo reindirizzamento automatico dei messaggi verso un altro account aziendale. Il procedimento è stato avviato in relazione alla possibile violazione della disciplina privacy nel contesto del rapporto di lavoro.

Origine del reclamo e svolgimento dell’istruttoria

La reclamante aveva rappresentato di avere cessato il rapporto di lavoro il 15 marzo 2023 e di avere chiesto, in più occasioni, la disattivazione della casella e-mail aziendale. La società, nei propri riscontri, aveva affermato che la casella era rimasta attiva per esigenze operative e che l’inoltro delle comunicazioni era stato attivato verso un indirizzo visibile a una responsabile commerciale, sostenendo inoltre di non avere predisposto un disciplinare interno sull’uso della posta elettronica aziendale.

Successivamente, nel corso del procedimento, P2P s.r.l. ha ribadito che la casella costituiva un alias di altro account e che il suo mantenimento sarebbe stato necessario per evitare la perdita di contatti e rapporti commerciali, soprattutto con clienti esteri. Ha anche sostenuto che la disattivazione sarebbe avvenuta il 16 ottobre 2023, ma tale circostanza non è stata ritenuta adeguatamente provata.

Trattamenti esaminati

L’istruttoria ha riguardato due profili principali:

• il mantenimento attivo della casella di posta elettronica individualizzata dopo la cessazione del rapporto di lavoro, fino al 23 novembre 2023;
• il reindirizzamento automatico dei messaggi ricevuti sull’account cessato verso un altro indirizzo aziendale.

Il Garante ha rilevato che tali operazioni hanno determinato la conoscibilità della corrispondenza e di informazioni personali dell’interessata da parte di soggetti non autorizzati, almeno fino a novembre 2023.

Valutazioni del Garante

L’Autorità ha richiamato il proprio consolidato orientamento in materia di posta elettronica aziendale nel rapporto di lavoro, secondo il quale gli account riconducibili a persone identificate o identificabili devono essere rimossi dopo la cessazione del rapporto, previa disattivazione e con sistemi automatici idonei a informare i terzi e a fornire indirizzi alternativi riferiti all’attività professionale del titolare.

È stato chiarito che l’esigenza del datore di lavoro di non perdere contatti o rapporti giuridici di valore economico non può prevalere sui principi di protezione dei dati, dovendo il tempo di disattivazione essere commisurato ai tempi tecnici di predisposizione delle misure e non alle esigenze commerciali dell’impresa. Il Garante ha anche richiamato le Linee guida in materia di posta elettronica e internet del 1° marzo 2007, evidenziando che il reindirizzamento della corrispondenza consente di conoscere informazioni personali dell’interessato.

Violazioni riscontrate

L’Autorità ha ritenuto che il trattamento fosse contrario a:

• art. 5, par. 1, lett. a) GDPR, per violazione dei principi di liceità e correttezza;
• art. 5, par. 1, lett. c) GDPR, per violazione del principio di minimizzazione;
• art. 5, par. 1, lett. e) GDPR, per violazione del principio di limitazione della conservazione;
• art. 13 GDPR, per mancata informativa preventiva ai dipendenti sulle caratteristiche essenziali del trattamento e sulla gestione della posta elettronica aziendale.

Il Garante ha osservato che la società non aveva né predisposto un’informativa interna ai dipendenti né adottato un regolamento aziendale sull’uso degli strumenti informatici e della posta elettronica nel rapporto di lavoro. Tale omissione ha inciso anche sul principio di correttezza del trattamento.

Esito del procedimento e misure disposte

Sulla base degli elementi acquisiti, il Garante ha dichiarato l’illiceità del trattamento effettuato da P2P s.r.l. ai sensi dell’art. 143 del Codice privacy, ritenendo non superati i rilievi contenuti nell’atto di avvio del procedimento. Nel dispositivo finale non risulta applicata una sanzione pecuniaria; l’Autorità ha invece disposto:

• la pubblicazione del provvedimento sul sito internet del Garante;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Il provvedimento richiama, inoltre, la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011.