La casella di posta lasciata attiva dopo la fine della collaborazione con la proprietaria dell’account, la presa visione del contenuto dei messaggi e l’inoltro delle email a un altro dipendente: il comportamento messo in atto da un’azienda ha portato il Garante privacy a elevare una sanzione da cinquemila euro per l’irregolare trattamento dei dati. Il contesto è quello della chiusura del rapporto di lavoro con la titolare della casella, in seguito all’avvio di un contenzioso giudiziario. Una situazione che, come ha spiegato l’autorità in una nota, non giustifica l’illegittimo trattamento.
Il provvedimento porta a riflettere sul più ampio tema del corretto trattamento dei dati personali nel corso del rapporto di lavoro in relazione all’utilizzo della posta elettronica, relativamente al quale il Garante negli ultimi più volte ha condotto verifiche pronunciandosi al riguardo. Infatti, si inserisce in uno scenario generale di inconsapevolezza da parte delle aziende che, dopo molti anni dall’entrata in vigore del GDPR, effettuano dei trattamenti non rispettando le disposizioni in materia di protezione dei dati personali. Le esigenze aziendali di continuità delle attività lavorativa non possono sovrastare la tutela dei diritti degli interessati perché ciò comporterebbe una violazione non solo della protezione dei dati personali ma anche dei principi costituzionalmente garantiti, valori intangibili della nostra società democratica.
Indice degli argomenti
Accesso alle mail dell’ex collaboratrice, il caso
Il rapporto tra l’azienda poi sanzionata e la collaboratrice è iniziato nel 2018, quando l’impresa, in trattative per l’acquisizione della coop per cui lavorava la reclamante, aveva attivato un account di posta per consentire alla lavoratrice di relazionarsi con i potenziali acquirenti incontrati a un evento al quale partecipava per conto dell’azienda, al fine di promuovere un fornitore in comune con la coop. Tuttavia pochi mesi dopo la trattativa tra azienda e coop era stata interrotta: la lavoratrice aveva poi chiesto la disattivazione dell’account, tuttavia l’azienda aveva risposto che la casella sarebbe rimasta attiva “il tempo necessario a riscontrare chi, tra i potenziali clienti conosciuti – all’evento, si legge nelle carte del Garante – avesse tentato di contattare la stessa” impresa. La casella era stata chiusa a febbraio 2019.
L’azienda aveva giustificato il non aver subito disattivato l’account adducendo come primo motivo quello di “non interrompere ex abrupto i contatti con i clienti che la [reclamante] aveva contattato agendo per conto – dell’azienda stessa – spendendone il nome, ma altresì per tutelare l’interesse altrettanto legittimo del titolare dell’esercizio dei propri diritti in sede giudiziaria”, riporta l’ordinanza del Garante. Infatti, prosegue il documento, pendeva una causa tra azienda e cooperativa “avente per oggetto il risarcimento del danno per responsabilità precontrattuale” per “il comportamento assunto dalla [reclamante] nei rapporti con i potenziali clienti incontrati alla fiera” e intrattenuti “per il tramite dell’indirizzo di posta elettronica [in esame]”. La lavoratrice aveva preso contatti per conto dell’azienda, ma, secondo le accuse, avrebbe poi detto a tali contatti che gli articoli sarebbero stati fatturati dalla cooperativa.
Cosa dice il Garante privacy
Alla fine dell’istruttoria, il Garante ha spiegato nella propria ordinanza che “il trattamento dei dati personali effettuato dalla Società e segnatamente l’accesso all’account di posta elettronica con inoltro ad altro account delle comunicazioni in entrata sull’account individualizzato assegnato alla reclamante durante la collaborazione con la Società e l’inidoneo riscontro all’istanza di cancellazione presentata dalla reclamante, risulta infatti illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a) e c), 6, 12 anche con riferimento all’art. 17, 13 del Regolamento”, disponendo il pagamento della sanzione da cinquemila euro.
Una sanzione che permette di svolgere alcune riflessioni. Per l’avvocato Massimo Borgobello, “La gestione delle email dei dipendenti è un tema delicatissimo. Per poter accedere agli account aziendali non è sufficiente avere le credenziali di accesso, ma è necessario contrattualizzare – meglio se in sede protetta – la facoltà del datore di lavoro di effettuare dei check sulla corrispondenza aziendale del lavoratore, fornire idonea informativa e gestire il tutto nel registro dei trattamenti e nella privacy by design, impostando regolamenti sull’impiego di mail aziendali e e policy per le ipotesi di cessazione del rapporto di lavoro”.
L’ammontare della sanzione tiene conto della cooperazione della società con l’autorità di controllo nel corso del procedimento, del fatto che il trattamento abbia riguardato un solo interessato nonché della condizioni economiche del contravventore, determinate in base ai ricavi conseguiti dalla Società con riferimento al bilancio abbreviato d’esercizio per l’anno 2021.
Le violazioni riscontrate
Tra le violazioni il Garante evidenzia:
- l’assenza di informativa da rendere agli interessati in merito al trattamento dei dati personali ai sensi dell’art. 13 GDPR. Il Garante ha rilevato, oltre al fatto che il titolare non ha reso note, all’interno del Regolamento aziendale, le specifiche attività di trattamento che la società esercita nei confronti dei soggetti a cui assegna un account di posta elettronica con estensione riferibile all’azienda, che la stessa non ha mai consegnato il predetto regolamento all’interessata. Il Garante sul punto specifica che “la produzione di copie del regolamento predetto consegnato e sottoscritto da altri soggetti non possa ritenersi elemento idoneo a provare l’esatto adempimento di quanto previsto dall’art. 13 del Regolamento, conformemente al principio di trasparenza (art. 5, par. 1, lett. a) del Regolamento), nei confronti della reclamante”.
- L’assenza di una corretta base giuridica: il Titolare non ha individuato un idoneo criterio di legittimazione per l’effettuazione del trattamento sia relativamente all’accesso alle e-mail scambiate durante la collaborazione, prodotte in parte anche in giudizio, sia per quanto riguarda la predisposizione di un sistema di inoltro delle comunicazioni ad altro account. Il Garante ricorda, con riferimento all’esigenza di non interrompere i rapporti con i clienti, il consolidato orientamento dell’Autorità (tra i più recenti v. Provv. n. 440 del 16 dicembre 2021, doc. web n.9739653) secondo cui è necessario effettuare “un adeguato bilanciamento degli interessi in gioco (necessità di prosecuzione dell’attività economica del titolare e diritto alla riservatezza dell’interessato) l’attivazione di un sistema di risposta automatico con il quale vengono forniti indirizzi alternativi ai quali contattare il titolare”. Secondo il Garante, tale finalità, seppur legittima, poteva essere perseguita:
- senza che il titolare del trattamento prendesse visione delle comunicazioni in entrata sull’account individualizzato assegnato all’interessato nel rispetto del principio di minimizzazione dei dati (art. 5, par. 1, lett. c) del GDPR);
- trattando solo i dati “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”;
- mediante “mezzi meno invasivi e, quindi, conformi alla disciplina di protezione dei dati, rispetto a quello posto in essere nel caso di specie”.
Perché volersi difendere in sede giudiziaria non è una giustificazione
Con riferimento invece all’interesse del titolare di difendere i propri diritti in sede giudiziaria, il Garante precisa che ciò non “comporta un aprioristico annullamento del diritto alla protezione dei dati personali riconosciuto agli interessati considerato, tra l’altro, che il contenuto dei messaggi di posta elettronica – come pure i dati esteriori delle comunicazioni e i file allegati – riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente, la cui ratio risiede nel proteggere il nucleo essenziale della dignità umana e il pieno sviluppo della personalità nelle formazioni sociali; un’ulteriore protezione deriva dalle norme penali a tutela dell’inviolabilità dei segreti (artt. 2 e 15 Cost.; Corte cost. 17 luglio 1998, n. 281 e 11 marzo 1993, n. 81; art. 616, quarto comma, c.p.; art. 49 Codice dell’amministrazione digitale; v. Provv. 1° marzo 2007, n. 13 “Linee guida per posta elettronica e internet”, in G. U. n. 58 del 10.3.2007)”. La condotta posta in essere dalla Società non risulta per tali ragioni conforme ai principi dall’art. 5, par. 1, lett. a) e c) del GDPR e a quanto disposto dall’art. 6 del GDPR.
- Mancata attivazione di un messaggio automatico: il Garante ha rilevato la necessità di attivare un sistema di risposta automatico con il quale fornire indirizzi alternativi per contattare il titolare. Tale concetto è ripreso anche all’interno delle Linee Guida del 2007 su menzionate, quale accorgimento necessario per un corretto trattamento dei dati personali.
- Mancato riscontro all’esercizio dei diritti: la società non ha dato seguito alla richiesta di cancellazione esercitata dall’interessata ai sensi dell’art. 17 GDPR nonché agli ulteriori solleciti presentati dalla stessa. La società ha inoltre omesso di indicare all’interessata gli specifici motivi per i quali non avrebbe potuto dare seguito all’istanza di cancellazione dell’account di posta elettronica nonché del diritto di presentare un ricorso all’autorità giudiziaria o un reclamo al Garante, ciò nel rispetto delle Guidelines 01/2022 secondo cui il “il GDPR non impone agli interessati alcun requisito riguardo al formato della richiesta di accesso ai dati personali. Pertanto, in linea di principio, non vi sono requisiti che l’interessato sia tenuto a rispettare al momento di scegliere un canale di comunicazione attraverso il quale entrare in contatto con il titolare del trattamento dei dati”. La condotta della società è risultata non conforme ai in relazione agli artt. 5, par. 1, lett. a) e c), 6, 12 anche con riferimento all’art. 17, 13 del GDPR.
I riferimenti normativi
Anche in altre pronunce l’autorità ha ribadito il divieto di controllo massivo delle email, l’impossibilità di conservarle riportando quale periodo di retention “per tutta la durata del rapporto di lavoro e anche successivamente all´interruzione dello stesso” ossia, termini generici che, secondo l’Autorità, non tengono conto del principio di limitazione della conservazione (art. 5, par. 1, lett. e) del GDPR) nonché del mancato rispetto del principio di minimizzazione (art. 5, par. 1, lett. c) del GDPR). Il Garante ha altresì ricordato ai titolari del trattamento che la conservazioni per finalità relative a “futuri possibili“ contenziosi non può considerarsi lecito: il trattamento non può basarsi su le ipotetiche ipotesi di illeciti (o sospetto di commissione di illeciti) compiuti dal lavoratore ossia, eventi astratti e indeterminati.
Inoltre, molti titolari del trattamento non tengono nemmeno conto degli obblighi espressi dal GDPR quali, ad esempio, la valutazione del trattamento in ottica di privacy by design e by default, gli obblighi di trasparenza nei confronti degli interessati, la valutazione di una corretta condizione di liceità prima di effettuare il trattamento nonché la definizione di un periodo di retention definito e limitato al perseguimento della stessa, oltre alla mancata effettuazione di una valutazione di impatto (DPIA) ai sensi dell’art. 35 GDPR, come da ultimo rilevato nella sanzione nei confronti della Regione Lazio.
La norma costituzionale
Il trattamento dei dati personali contenuti nelle mail non è solo un argomento connesso alla protezione dei dati personali ma riguarda, come più volte precisato nelle Linee guida del Garante per posta elettronica e internet del 2007, forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente, la cui ratio, indica il Garante, risiede nel proteggere il nucleo essenziale della dignità umana e il pieno sviluppo della personalità nelle formazioni sociali. Ciò comporta, anche nel contesto lavorativo, la sussistenza di una legittima aspettativa di riservatezza in relazione ai messaggi oggetto di corrispondenza. Tali considerazioni non valgono solo per i dipendenti per cui trovano applicazione, tra l’altro, le disposizioni in materia di diritto del lavoro ma anche per i collaboratori esterni che possiedono i medesimi diritti dei lavoratori.
