Ordinanza ingiunzione o revoca n. 171 del 27/04/2023

Geico S.p.A. - gestione illecita degli account di posta elettronica aziendale di ex dipendenti

Il Garante per la protezione dei dati personali ha esaminato il reclamo di tre ex dipendenti di Geico S.p.A. relativo alla gestione, dopo la cessazione del rapporto di lavoro, dei loro account di posta elettronica aziendale. La società aveva mantenuto attivi gli account per un periodo significativo, reindirizzando la corrispondenza verso altri utenti aziendali e accedendo ai messaggi, anche per utilizzarli in contenziosi giudiziari.

Origine del procedimento e attività istruttoria

Il reclamo, presentato il 20 agosto 2020 ai sensi dell’art. 77 GDPR, lamentava che gli account aziendali assegnati ai reclamanti fossero rimasti attivi dopo la fine del rapporto e che la società avesse letto la posta elettronica fino almeno al 17 marzo 2021. La società ha giustificato i trattamenti sostenendo di aver agito per tutelare i propri diritti in giudizio, in un contesto di presunte condotte illecite dei lavoratori e di necessità difensive connesse a procedimenti civili e penali avviati dall’azienda.

Nel corso dell’istruttoria la società ha richiamato varie policy interne, in particolare IS6188 sulle regole di utilizzo degli strumenti informatici e IS6417 su OutBoarding Google Apps, nonché la diffusione delle stesse tramite comunicazioni aziendali e attività di training. Ha inoltre riferito di aver adottato, nel corso del procedimento, una nuova policy aggiornata nel 2022.

Trattamenti esaminati dal Garante

L’Autorità ha accertato che, alla cessazione del rapporto di lavoro, gli account individuali dei reclamanti erano stati disattivati ma anche reindirizzati verso altri account aziendali, con conseguente possibilità per altri utenti di accedere ai messaggi in entrata e ai contenuti delle caselle. Questa modalità ha comportato un trattamento di dati personali riferiti ai reclamanti, inclusi dati relativi all’attività lavorativa e, secondo quanto dichiarato dalla stessa società, anche comunicazioni di natura extra-lavorativa.

Il Garante ha evidenziato che la gestione della posta elettronica non riguardava solo la mera disattivazione dell’account, ma una persistente attività di trattamento protrattasi per circa due anni, fino almeno al 17 marzo 2021, ben oltre il momento in cui erano stati conferiti incarichi a consulenti per indagini forensi e prima e dopo l’avvio di azioni giudiziarie.

Violazioni accertate e norme richiamate

L’Autorità ha ritenuto violati gli artt. 5, par. 1, lett. a), b), c), e), f) e 13 GDPR.

In particolare:

• l’informativa ai dipendenti non descriveva la specifica modalità di trattamento successiva alla cessazione del rapporto, cioè il mantenimento attivo e il reindirizzamento degli account;
• la policy IS6188 non conteneva indicazioni puntuali sui controlli e sulla gestione della posta dopo la fine del rapporto;
• il documento IS6417 prevedeva il reindirizzamento dei messaggi, ma in modo generico, senza chiarire finalità, durata, criteri di selezione del destinatario interno né limiti operativi;
• la società aveva predisposto una procedura sistematica, non collegata a una finalità esplicita e legittima sufficientemente determinata;
• la durata del trattamento non era predeterminata in modo coerente con la finalità perseguita, ma rimessa a una decisione interna non sufficientemente definita;
• la comunicazione ai terzi mittenti che l’indirizzo non fosse più attivo è stata ritenuta fuorviante rispetto alla reale visibilità dei messaggi da parte dell’azienda.

Il Garante ha inoltre richiamato le Linee guida sul trattamento di posta elettronica e internet del 1° marzo 2007 e i più recenti provvedimenti in materia di controlli sui dipendenti, sottolineando l’esigenza di una informazione chiara, particolareggiata e preventiva.

Valutazioni del Garante

Secondo l’Autorità, la semplice circostanza che i reclamanti si fossero dimessi, anche dopo un rapporto lavorativo lungo e in ruoli apicali, non bastava a legittimare un trattamento così invasivo. Le esigenze difensive addotte dalla società non sono state ritenute idonee a giustificare la persistente consultazione e conservazione della corrispondenza per un arco temporale così ampio e senza una base documentale sufficiente a dimostrare la necessità e la proporzionalità delle misure adottate.

Il Garante ha escluso che il trattamento potesse considerarsi lecito alla luce dei principi di liceità, correttezza, minimizzazione, limitazione delle finalità, limitazione della conservazione e integrità e riservatezza.

Sanzione, criteri di quantificazione e ulteriori disposizioni

Accertata l’illiceità del trattamento, l’Autorità ha applicato l’art. 58, par. 2, lett. i) GDPR e ha irrogato a Geico S.p.A. una sanzione amministrativa pecuniaria di 40.000 euro, ai sensi dell’art. 83 GDPR. Nella quantificazione sono stati considerati:

• la natura e gravità della violazione, con incidenza sui principi generali del trattamento e sull’obbligo di informativa;
• la durata del comportamento, protrattosi per circa due anni;
• la cooperazione della società nel corso del procedimento;
• l’assenza di precedenti violazioni in materia privacy;
• le condizioni economiche del contravventore.

Il Garante ha disposto la pubblicazione del provvedimento sul sito istituzionale e ha ricordato la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.