Ordinanza ingiunzione o revoca n. 670 del 13/11/2025

Maviglia Assicurazioni snc: sanzione per inosservanza di un ordine del Garante sulla posta elettronica dei collaboratori

Il provvedimento riguarda Maviglia Assicurazioni snc di Gherardo Maviglia & c. ed è adottato all'esito di un procedimento sanzionatorio avviato per la mancata ottemperanza alle prescrizioni impartite con un precedente intervento del Garante sulla gestione della posta elettronica e degli strumenti informatici assegnati a dipendenti e collaboratori. La vicenda origina da una segnalazione di due ex collaboratori e si conclude con l'irrogazione di una sanzione pecuniaria per violazione di un ordine dell'Autorità.

Origine del caso e precedente accertamento

Con il provvedimento del 22/06/2023, n. 263, il Garante aveva già accertato l'illiceità del trattamento effettuato dall'Agenzia in relazione alla posta elettronica di due ex collaboratori. In particolare, erano state contestate:

• il reindirizzamento automatico dei messaggi in transito verso un altro account aziendale per 120 giorni;
• la conservazione senza limiti temporali dei log della posta elettronica in costanza del rapporto;
• la conservazione senza limiti definiti del contenuto della corrispondenza transitata sugli account individualizzati;
• la reperibilità di tali dati per finalità di continuità dell'attività aziendale.

Le violazioni erano state ricondotte agli artt. 5, par. 1, lett. a), c) ed e), e 6 GDPR. Con quel provvedimento l'Autorità, ai sensi dell'art. 58, par. 2, lett. d) e i), aveva ordinato il pagamento di una sanzione e aveva prescritto all'Agenzia di conformare i trattamenti dei dati personali di dipendenti e collaboratori alla disciplina privacy, con particolare riferimento alla modifica del regolamento aziendale sull'uso degli strumenti informatici.

Inadempimento alle prescrizioni e avvio del nuovo procedimento

Il precedente provvedimento imponeva inoltre di comunicare le iniziative intraprese entro 90 giorni dalla notifica. Poiché non era pervenuto alcun riscontro nel termine, l'Ufficio aveva richiesto ulteriori informazioni il 16/11/2023. Solo il 21/12/2023 la società trasmetteva una nota con allegati documenti interni, tra cui le “Norme di comportamento relative all'utilizzo delle risorse informatiche aziendali”.

Nel nuovo procedimento, avviato con nota dell'11/03/2024 ai sensi dell'art. 166, comma 5, del Codice e dell'art. 58, par. 1, lett. d), GDPR, il Garante contestava il sostanziale inadempimento alle prescrizioni precedenti e la violazione dell'ordine di conformazione impartito.

Contenuto della documentazione prodotta dalla società

Nel materiale prodotto nel corso delle verifiche iniziali, la società aveva mantenuto previsioni che lasciavano intendere:

• la disponibilità all'azienda del contenuto della posta elettronica o di altre risorse assegnate ai cessati, per ragioni connesse all'attività aziendale;
• l'inoltro automatico, per 120 giorni, delle e-mail verso altri indirizzi aziendali;
• la possibilità di controlli sull'utilizzo delle risorse informatiche, inclusa la verifica dei log;
• l'archiviazione dei fax e dei relativi contenuti in file che registravano automaticamente tutte le attività svolte.

Con le memorie difensive del 09/04/2024, la società ha invece dichiarato di aver completamente rivisto il documento, ora denominato “Informativa al Trattamento – Norme di Comportamento relative all'utilizzo delle risorse informatiche aziendali”. La nuova versione affermava, tra l'altro, che:

• l'azienda non accede ai log file raccolti dal provider e non tratta dati personali dei log di navigazione per finalità di controllo a distanza;
• lo spazio cloud serve per backup e disaster recovery;
• il contenuto delle comunicazioni elettroniche non è accessibile all'azienda;
• in caso di assenza temporanea del collaboratore sono disponibili funzionalità di risposta automatica con indicazione di contatti alternativi;
• in caso di assenze non programmate oltre 48 ore, l'invio automatico della risposta può essere disposto con l'assistenza dell'amministratore di sistema;
• in caso di necessità improrogabili e assenza prolungata, il collaboratore deve delegare per iscritto un fiduciario per verificare i messaggi o i documenti aziendali;
• alla cessazione del rapporto, il collaboratore deve cancellare i contenuti entro l'ultimo giorno di lavoro;
• l'account di posta non può più ricevere né inviare messaggi dalla cessazione;
• i sistemi del provider devono essere configurati per inibire definitivamente la ricezione di messaggi e la loro conservazione, con messaggio di mancato recapito e indicazione di un diverso contatto aziendale.

Valutazioni del Garante

All'esito dell'istruttoria, il Garante ha ritenuto che le dichiarazioni e la documentazione prodotte non fossero idonee a superare i rilievi formulati in avvio del procedimento. L'Autorità ha osservato che la società non aveva tempestivamente adempiuto all'ordine del 23/06/2023 e che i primi documenti trasmessi non tenevano conto delle indicazioni contenute nel provvedimento. Solo successivamente, con le memorie difensive e nell'ambito del procedimento sanzionatorio, sono stati prodotti documenti effettivamente aggiornati.

Il Garante ha quindi affermato che la condotta successiva all'adozione del precedente provvedimento integrava la violazione dell'ordine dell'Autorità di conformare i trattamenti alle disposizioni e ai principi in materia di protezione dei dati personali. Ha tuttavia escluso l'adozione di ulteriori misure correttive, rilevando che la condotta aveva ormai esaurito i propri effetti.

Violazione sanzionata e criteri di quantificazione

È stata accertata la violazione dell'art. 58, par. 2, lett. d), GDPR, sanzionabile ai sensi dell'art. 83, par. 5, lett. e), GDPR. Il Garante ha escluso che la violazione potesse essere considerata minore, valorizzando:

• la natura dell'illecito, consistente nell'inosservanza di un ordine dell'Autorità;
• la durata della condotta, protrattasi per circa 9 mesi dopo il provvedimento del 23/06/2023;
• il grado di responsabilità del titolare, che non ha tenuto conto delle prescrizioni impartite;
• la presenza di precedenti violazioni pertinenti;
• le condizioni economiche del contravventore, considerate ai fini della proporzionalità ed effettività della sanzione.

All'esito di tali valutazioni, la sanzione amministrativa pecuniaria è stata determinata in euro 10.000,00.

Dispositivo e rimedi

Il Garante ha:

• rilevato l'illiceità del trattamento effettuato dalla società per violazione dell'art. 58, par. 2, lett. d), GDPR;
• ordinato il pagamento della sanzione di euro 10.000,00 entro 30 giorni dalla notifica, con avvertimento circa gli atti esecutivi in caso di mancato pagamento;
• richiamato la possibilità di definizione agevolata con pagamento della metà della sanzione entro il termine previsto per proporre ricorso;
• disposto la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante, nonché la pubblicazione del provvedimento e l'annotazione nel registro interno dell'Autorità.

Avverso il provvedimento è ammessa opposizione davanti all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all'estero.