In sintesi

Il Garante Privacy ha sanzionato Michael Page International Italia s.r.l. con 225.000 euro per aver mantenuto attivi e spiato gli account di posta elettronica di ex-dipendenti per un lungo periodo dopo la fine del rapporto di lavoro, con l'obiettivo di raccogliere prove per cause legali. La società non aveva fornito informative chiare e complete ai lavoratori e aveva violato i principi di minimizzazione e limitazione della conservazione dei dati, oltre alle norme sui controlli a distanza. Questo caso sottolinea la necessità di gestire con rigore la posta aziendale degli ex-dipendenti, evitando accessi non autorizzati e garantendo la trasparenza.

Cosa fare

Controllate che le informative sulla privacy fornite ai vostri dipendenti includano dettagli precisi e comprensibili su cosa succede alle loro caselle di posta elettronica aziendale quando lasciano l'azienda.
Assicuratevi che i vostri regolamenti interni vietino l'obbligo per i dipendenti di comunicare le proprie password ai superiori gerarchici o ad altri colleghi.
Rivedete la procedura di gestione delle caselle di posta elettronica degli ex-dipendenti: disattivatele immediatamente, attivate una risposta automatica che indichi un nuovo contatto, ed evitate accessi generalizzati o prolungati ai contenuti.

Cosa evitare

Non date per scontato che l'interesse legittimo dell'azienda a tutelarsi da illeciti autorizzi l'accesso indiscriminato e a ritroso alle email dei dipendenti dopo la cessazione del rapporto.
Non usate informative o regolamenti interni con frasi generiche o 'copia-incolla' che non descrivano chiaramente le operazioni di trattamento specifiche sui dati dei lavoratori.
Non conservate gli account di posta elettronica attivi per mesi o anni dopo le dimissioni di un dipendente, soprattutto se l'unico scopo è quello di 'indagare' sui contenuti.

Contesto

Tre ex-dipendenti di Page Personnel Italia S.p.A. e Michael Page International Italia s.r.l. hanno presentato reclami al Garante lamentando la persistente attività dei loro account di posta elettronica aziendale individualizzati dopo la cessazione del rapporto di lavoro. Essi indicavano anche l'assenza di informativa sulla gestione post-cessazione. Durante l'istruttoria è emerso che Page Personnel Italia S.p.A. si è fusa per incorporazione in Michael Page International Italia s.r.l. La società ha mantenuto attivi gli account di posta elettronica per periodi considerevoli (fino a due anni e mezzo) e ha acceduto al loro contenuto per raccogliere prove in vista di azioni legali per presunta concorrenza sleale e sottrazione di segreti commerciali. La società ha giustificato l'operato richiamando il legittimo interesse e l'esistenza di informative e regolamenti interni che, a suo dire, avrebbero reso edotti i dipendenti di tali trattamenti. Ha dichiarato di aver condotto verifiche mirate con filtri e parole chiave e di aver incaricato un consulente tecnico informatico per indagini forensi, salvando il materiale estratto su supporti criptati.

La decisione

Il Garante ha ritenuto il trattamento di dati personali effettuato da Michael Page International Italia s.r.l. illecito. La società ha violato i principi di liceità e trasparenza (Art. 5 par. 1 lett. a, Art. 13 GDPR) perché le informative fornite ai dipendenti non erano chiare, complete e conformi alla disciplina di protezione dei dati, non descrivendo adeguatamente i trattamenti post-cessazione del rapporto e le categorie di dati coinvolti, né i periodi di conservazione o i criteri per determinarli. Sono state riscontrate anche operazioni di trattamento illecite, come la possibilità per il superiore gerarchico di accedere alla posta del dipendente tramite password fornite. Il Garante ha accertato la violazione dei principi di minimizzazione dei dati e limitazione della conservazione (Art. 5 par. 1 lett. c ed e GDPR) in quanto gli account sono stati mantenuti attivi e accessibili per un tempo considerevole (fino a due anni e mezzo) per finalità diverse da quelle originarie e non per esigenze di continuità aziendale, senza attivare risposte automatiche. Infine, l'accesso al contenuto degli account di posta elettronica dopo la cessazione del rapporto di lavoro e la conservazione decennale delle comunicazioni si configurano come controlli a distanza illeciti, violando l'Art. 88 GDPR e l'Art. 114 del Codice, che richiamano l'Art. 4 della l. 300/1970. Il Garante ha respinto la difesa della società basata sul legittimo interesse e sulla teoria dei 'controlli difensivi', poiché la raccolta dei dati è avvenuta a ritroso, a prescindere da un sospetto fondato e in assenza di misure idonee a prevenire l'accesso da parte del datore di lavoro. Non sono state imposte misure correttive aggiuntive perché la società ha già rimosso gli account, ma è stata inflitta una sanzione amministrativa pecuniaria di 225.000 euro.

Ratio decidendi La ratio decidendi si fonda sulla violazione dei principi di liceità, trasparenza (Art. 5 par. 1 lett. a, Art. 13 GDPR), minimizzazione e limitazione della conservazione (Art. 5 par. 1 lett. c ed e GDPR), e sulla normativa specifica sui controlli a distanza nel contesto lavorativo (Art. 88 GDPR, Art. 114 Codice Privacy). Le informative fornite erano inadeguate, e il trattamento dei dati personali (conservazione e accesso agli account di posta elettronica di ex-dipendenti) è avvenuto per un periodo eccessivo e per finalità non compatibili con quelle originarie, in assenza di una base giuridica valida e di misure tecniche e organizzative idonee a tutelare la riservatezza dei lavoratori. L'argomento del legittimo interesse e dei 'controlli difensivi' è stato respinto perché l'accesso ai dati è stato preventivo e generalizzato, non successivo all'insorgere di un fondato sospetto, e non è stato bilanciato adeguatamente con i diritti e le libertà fondamentali degli interessati.

Articoli GDPR violati

Articolo	Descrizione	Rilevanza
5 par.1 lett.a GDPR	I dati personali sono trattati in modo lecito, corretto e trasparente nei confronti dell'interessato (liceità, correttezza e trasparenza).	la società ha violato questo principio non fornendo un'informativa chiara e completa sui trattamenti post-cessazione del rapporto di lavoro e accedendo agli account di posta elettronica in assenza di una base giuridica idonea.
5 par.1 lett.c GDPR	I dati personali sono adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (minimizzazione dei dati).	la società ha violato questo principio mantenendo attivi gli account di posta elettronica e accedendo al loro contenuto per un periodo eccessivo e per finalità estranee a quelle per cui erano stati assegnati.
5 par.1 lett.e GDPR	I dati personali sono conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all'articolo 89, paragrafo 1, fatta salva l'attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell'interessato (limitazione della conservazione).	la società ha violato questo principio conservando gli account di posta elettronica per un tempo considerevole e superiore a quanto strettamente necessario, non per esigenze di continuità aziendale ma per esaminarne il contenuto per fini contenziosi.
13 GDPR	Informazioni da fornire qualora i dati personali siano raccolti presso l'interessato.	la società non ha fornito un'informativa completa, chiara e conforme alla normativa, non descrivendo specificamente i trattamenti sulla posta elettronica post-cessazione del rapporto di lavoro e le relative finalità, categorie di dati e periodi di conservazione.
88 GDPR	Trattamento nell'ambito dei rapporti di lavoro.	la società ha violato questo articolo, che rinvia alle norme nazionali più specifiche, non rispettando la disciplina sui controlli a distanza dei lavoratori (art. 114 codice privacy e art. 4 statuto dei lavoratori) attraverso l'accesso illecito ai contenuti delle caselle di posta elettronica.
114 Codice Privacy	Trattamento di dati in ambito lavorativo, con riferimento alle garanzie previste dall'articolo 4 della legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), in materia di controlli a distanza.	la società ha violato questa norma effettuando controlli pervasivi e a ritroso sulle comunicazioni di posta elettronica dei dipendenti dopo la cessazione del rapporto di lavoro, senza rispettare le condizioni previste per i controlli difensivi e senza idonee misure a tutela della riservatezza dei lavoratori.

Misure imposte

Null

Sanzione

Il Garante dichiara l'illiceità del trattamento di dati personali e ordina a Michael Page International Italia s.r.l. il pagamento di 225.000 euro a titolo di sanzione amministrativa pecuniaria per la violazione degli artt. 5, par. 1, lett. a), c), e), 13, 88 del Regolamento e 114 del Codice. La violazione è considerata non 'minore' data la natura plurima delle infrazioni ai principi generali del trattamento, all'obbligo di informativa e alla disciplina sui controlli a distanza. La sanzione è quantificata anche considerando l'elevata gravità, la colpa della società, la delicatezza dei dati (comunicazioni elettroniche), ma anche attenuanti quali la cancellazione degli account, l'assenza di precedenti violazioni pertinenti e un grado di cooperazione ordinario. Il termine per il pagamento è di 30 giorni dalla notifica del provvedimento, con possibilità di definizione agevolata tramite pagamento della metà dell'importo.

Termini: entro 30 giorni dalla notificazione del presente provvedimento

Implicazioni pratiche

Questo provvedimento evidenzia l'importanza cruciale per le aziende di gestire correttamente la posta elettronica aziendale dei dipendenti, in particolare dopo la cessazione del rapporto di lavoro. Le aziende devono assicurare che le informative privacy siano estremamente dettagliate e conformi al GDPR, descrivendo con precisione le finalità, le modalità e i tempi di conservazione dei dati, anche in caso di contenzioso. L'accesso agli account di posta elettronica di ex-dipendenti è una pratica fortemente regolamentata; l'interesse legittimo aziendale alla tutela del patrimonio informativo non autorizza un controllo indiscriminato o preventivo. Ogni accesso deve essere proporzionato, mirato, motivato da un sospetto fondato e specifico, e attuato con garanzie che limitano l'invasività per l'ex-dipendente. È necessario adottare misure tecniche e organizzative rigorose, come l'attivazione di risposte automatiche e l'individuazione di soggetti terzi fiduciari non gerarchicamente sovraordinati per la gestione eventuale di messaggi urgenti, evitando la conservazione prolungata e l'accesso diretto ai contenuti da parte del datore di lavoro senza un'autorizzazione giudiziaria o un quadro normativo specifico.

Domande di self-assessment

La nostra informativa privacy per i dipendenti descrive esplicitamente e chiaramente come vengono gestiti gli account di posta elettronica aziendale dopo la cessazione del rapporto di lavoro?
Quali sono le nostre procedure per la disattivazione e l'eventuale accesso (limitato e motivato) agli account di posta elettronica degli ex-dipendenti, e sono conformi all'Art. 4 dello Statuto dei Lavoratori?
Il nostro regolamento sull'uso degli strumenti informatici vieta l'obbligo per i dipendenti di fornire le proprie password ai superiori gerarchici o al datore di lavoro?

Riferimenti

Linee guida EDPB: Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR

Normativa nazionale: D.Lgs. 196/2003 · D.Lgs. 10 agosto 2018, n. 101 · Art. 4 della l. 20.5.1970, n. 300 · Art. 18, l. 24 novembre 1981, n. 689 · Art. 27 l. n. 689/1981 · Art. 10 d.lgs. 1° settembre 2011, n. 150

Note

Il provvedimento cita la fusione per incorporazione tra Page Personnel Italia S.p.A. e Michael Page International Italia s.r.l., implicando la responsabilità della società incorporante per le condotte della società incorporata. Si evidenzia il rigetto della 'teoria dei controlli difensivi' quando l'accesso ai dati è preventivo e generalizzato, non successivo a un fondato sospetto.