Ordinanza ingiunzione o revoca n. 82 del 12/02/2026

Based s.r.l. – violazioni in materia di accesso, cancellazione e informativa sull’account di posta elettronica

Il Garante ha esaminato il reclamo presentato da un collaboratore nei confronti di Based s.r.l. in relazione alla gestione dell’account di posta elettronica aziendale individualizzato assegnatogli nel corso del rapporto di collaborazione. Il procedimento ha riguardato, in particolare, la mancata risposta adeguata alle richieste di accesso e di cancellazione dei dati, nonché l’omessa informativa ai sensi dell’art. 13 GDPR.

Fatti e svolgimento dell’istruttoria

Il reclamante, cessato il rapporto il 31 dicembre 2023, aveva inviato via PEC il 2 gennaio 2024 una richiesta di accesso ai dati contenuti nell’account, formulata espressamente ai sensi degli artt. 15-22 GDPR, chiedendo di poter trasporre su supporto informatico i dati personali che lo riguardavano e, successivamente, la chiusura ed eliminazione dell’account e la distruzione di eventuali copie dei dati estratti. Con ulteriore PEC del 4 gennaio 2024 aveva rinnovato la richiesta.

La società aveva risposto il 12 gennaio 2024 sostenendo, in sintesi, che l’account fosse di esclusiva proprietà aziendale, che non vi fossero dati personali dell’interessato e che l’account fosse stato disattivato; solo in una fase successiva ha rappresentato che la cancellazione definitiva sarebbe avvenuta il 3 gennaio 2025. Nel corso dell’istruttoria e del procedimento avviato ai sensi dell’art. 166, comma 5, del Codice privacy, la società ha difeso la propria condotta richiamando il contenuto del contratto di collaborazione, l’asserita assenza di dati personali nell’account e la necessità di conservare la casella per esigenze difensive.

Quadro normativo richiamato

L’Autorità ha richiamato in particolare:

• l’art. 5, par. 1, lett. a), GDPR, sui principi di liceità, correttezza e trasparenza;
• l’art. 12 GDPR, sulle modalità e i termini di riscontro alle richieste dell’interessato;
• l’art. 13 GDPR, sull’obbligo di informativa preventiva;
• l’art. 15 GDPR, sul diritto di accesso;
• l’art. 17 GDPR, sul diritto alla cancellazione;
• l’art. 83 GDPR, per la sanzione amministrativa pecuniaria;
• l’art. 2-undecies del Codice privacy, in tema di possibile limitazione dei diritti per esigenze difensive;
• l’art. 166 del Codice privacy, per il procedimento sanzionatorio.

Valutazioni del Garante sul diritto di accesso

Il Garante ha ritenuto che la richiesta del 2 gennaio 2024 fosse chiara e inequivoca, poiché formulata con espresso riferimento ai diritti di cui agli artt. 15-22 GDPR e diretta ad accedere ai dati personali contenuti nell’account. La società, tuttavia, non ha fornito alcun riscontro sostanziale sull’accesso, limitandosi a sostenere che nell’account non vi fossero dati personali del reclamante, qualificati come meri “presunti dati personali”.

L’Autorità ha osservato che il GDPR non impone requisiti formali particolari per l’esercizio del diritto di accesso e che, nel caso concreto, il titolare era in grado di comprendere l’oggetto della domanda. Ha inoltre rilevato che la presenza nell’account di corrispondenza professionale e di eventuali file riconducibili all’interessato non escludeva il diritto di accesso. La condotta è stata pertanto giudicata in violazione dell’art. 15 GDPR e, in relazione alle modalità del riscontro, anche dell’art. 12 GDPR e del principio di correttezza di cui all’art. 5, par. 1, lett. a).

Valutazioni sul diritto di cancellazione

Quanto alla richiesta di eliminazione dell’account e dei dati in esso contenuti, il Garante ha rilevato che la società aveva sì disattivato l’account pochi giorni dopo la cessazione del rapporto, ma lo aveva mantenuto inattivo fino al 3 gennaio 2025, per asserite esigenze difensive. Tale circostanza, però, non era stata comunicata all’interessato con indicazione dei motivi dell’inottemperanza e della possibilità di rivolgersi all’Autorità o all’autorità giudiziaria, come richiesto dall’art. 12, par. 4, GDPR.

L’Autorità ha richiamato anche l’art. 2-undecies del Codice privacy, che consente di ritardare o limitare l’esercizio dei diritti in presenza di un pregiudizio effettivo e concreto per lo svolgimento di investigazioni difensive o per l’esercizio di un diritto in sede giudiziaria, ma soltanto mediante comunicazione motivata all’interessato. Nel caso concreto, tale comunicazione non è stata effettuata. Ne è derivata la violazione degli artt. 12 e 17 GDPR.

Mancata informativa ai sensi dell’art. 13 GDPR

Il Garante ha inoltre accertato che il collaboratore non aveva ricevuto alcuna informativa privacy relativa ai trattamenti effettuati nel corso del rapporto, inclusi quelli connessi all’account di posta elettronica assegnato. Le clausole contrattuali invocate dalla società, e in particolare le previsioni sulla riservatezza e sull’uso degli strumenti aziendali, non sono state ritenute idonee a soddisfare gli obblighi informativi dell’art. 13 GDPR.

L’Autorità ha sottolineato che l’informativa deve contenere le specifiche informazioni sulle caratteristiche dei trattamenti che il titolare effettua o si riserva di effettuare e ha richiamato il principio di correttezza, particolarmente rilevante nel contesto lavorativo o parasubordinato. La successiva predisposizione, nel corso del procedimento, di un’informativa privacy e di un regolamento per l’uso degli strumenti informatici è stata considerata favorevolmente, ma non ha sanato la violazione già consumata.

Illiceità del trattamento e sanzione

Il Garante ha concluso che il trattamento posto in essere da Based s.r.l. era illecito per violazione degli artt. 5, par. 1, lett. a), 12, 13, 15 e 17 GDPR. La violazione è stata considerata non minore, sia per la pluralità delle disposizioni violate sia per la loro rilevanza sostanziale in materia di diritti dell’interessato e trasparenza del trattamento.

Ai fini della quantificazione della sanzione ex art. 83 GDPR, l’Autorità ha considerato:

• la natura delle violazioni, ricadenti nell’ambito dell’art. 83, par. 5, GDPR;
• la durata, con riguardo in particolare alla mancata cancellazione protrattasi per circa un anno;
• il contesto del rapporto di collaborazione, caratterizzato da un asimmetrico potere organizzativo del titolare;
• il numero degli interessati coinvolti, pari a uno;
• il grado di responsabilità della società e la violazione dell’obbligo di diligenza;
• la cooperazione successiva dell’ente e la predisposizione di documenti informativi;
• l’impossibilità di dare ormai corso alla richiesta di accesso;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2024.

All’esito, è stata irrogata a Based s.r.l. una sanzione amministrativa pecuniaria di euro 12.000.

Dispositivo finale e adempimenti

Il provvedimento dispone:

• la dichiarazione di illiceità del trattamento effettuato da Based s.r.l. per le violazioni accertate;
• l’ordine di pagamento della sanzione amministrativa pecuniaria di euro 12.000 entro 30 giorni dalla notifica;
• la possibilità di definire la controversia con il pagamento della metà della sanzione nei termini di legge;
• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito istituzionale;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È infine indicata la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.