Il Garante privacy sanziona una società di selezione del personale per aver tenuto attive, per oltre due anni, le caselle di posta di tre ex dipendenti e per averne letto il contenuto, così da raccogliere prove da usare in giudizio.
In questo articolo ti raccontiamo di un recente provvedimento del Garante privacy* utile per qualsiasi datore di lavoro, perché mostra che disattivare l’account di chi se ne va non basta a rendere lecito ciò che succede dopo.
La vicenda riguarda un'azienda che aveva tenuto attive, per oltre due anni, le caselle di posta di tre ex dipendenti e ne aveva letto il contenuto, così da raccogliere prove da usare in giudizio.
Ma che fine fa, o meglio deve fare, la casella di posta di chi lascia un'azienda o uno studio professionale?
Un'occasione per spiegare cosa si può fare con la casella di un ex dipendente e cosa no, con indicazioni pratiche per imprese e studi professionali per evitare il rischio di sanzioni.
La vicenda: caselle “congelate” e lette dopo la fine del rapporto di lavoro
Tre ex dipendenti presentano reclamo al Garante. Lamentano che le loro caselle di posta aziendale siano rimaste attive per oltre due anni dopo la cessazione del rapporto di lavoro, senza alcuna informativa. Chiedono anche la cancellazione degli account e di tutta la corrispondenza.
Dall’istruttoria svolta dal Garante emerge che:
- alla fine del rapporto di lavoro la società ha disabilitato le caselle, così che gli ex dipendenti non potessero più accedere con le loro credenziali
- ma non le ha cancellate: sono rimaste attive per più di due anni
- la società sospettava che alcuni ex dipendenti, passati in poco tempo a un’azienda concorrente insieme a molti clienti, avessero fatto concorrenza sleale e sottratto informazioni riservate
- per verificare il sospetto ha cercato informazioni nelle caselle le e-mail dei mesi precedenti alle dimissioni, in particolare quelle con indirizzi privati degli ex dipendenti o con il dominio del nuovo datore di lavoro
- ha inoltrato ai responsabili le e-mail arrivate nelle caselle dopo la cessazione e ha incaricato un consulente informatico di fare un’indagine forense, usando poi quanto trovato in procedimenti giudiziari
La società, dal canto suo, ha sostenuto che:
- aveva un legittimo interesse a difendere i propri diritti in giudizio
- i controlli erano mirati, fatti con filtri e parole chiave
- i dipendenti erano stati informati con l’informativa privacy e con il regolamento interno
- si trattava di un caso eccezionale, legato a sospetti di concorrenza sleale
- aveva comunque aggiornato policy e informative nel tempo
Le violazioni accertate dal Garante
Il Garante non ha condiviso le difese della società e ha individuato tre gruppi di violazioni:
1. Informativa non adeguata (artt. 5, par. 1, lett. a) e 13 GDPR)
Il Garante esamina l’informativa privacy e il regolamento interno sull’uso degli strumenti informatici. Secondo il Garante:
- non dicono in modo chiaro quali dati vengono trattati
- usano formule generiche per finalità e basi giuridiche, anche quando richiamano il legittimo interesse
- non indicano per quanto tempo si conservano i dati e con quali criteri: la frase usata è “tautologica”, cioè non dice nulla di concreto
- in uno dei documenti, il regolamento indicava un’altra società come titolare, creando confusione
- le versioni aggiornate dei documenti sono state scritte dopo l’inizio dei trattamenti e non sono mai state consegnate ai reclamanti
Il Garante trova poi un secondo problema. L’informativa deve descrivere trattamenti leciti. Il regolamento interno, invece, prevedeva che il superiore gerarchico potesse farsi dare le password del dipendente e accedere alla sua casella. Per il Garante questo non è lecito. E scrivere un trattamento illecito in un documento informativo non lo rende lecito.
2. Troppo tempo e troppi dati: minimizzazione e limitazione della conservazione (art. 5, par. 1, lett. c) ed e) GDPR)
Disabilitare l’account non basta. Le caselle sono rimaste attive per un tempo considerevole e non per esigenze di continuità aziendale, ma per poterne esaminare il contenuto. Cioè per uno scopo diverso da quello per cui erano state assegnate.
La società non ha nemmeno attivato un messaggio automatico di risposta, che avvisasse della disattivazione e indicasse un altro referente.
Il Garante non dà peso alla difesa dei “filtri” e delle “parole chiave”: la società aveva libero accesso a tutta la casella, e non ha dimostrato di aver davvero limitato la ricerca. Le parole chiave indicate (ad esempio i nomi dei clienti) non chiariscono quanto la ricerca fosse mirata.
3. Controlli sulle comunicazioni dei lavoratori (artt. 5, par. 1, lett. a) e 88 GDPR, art. 114 Codice privacy)
Leggere le e-mail scambiate dal dipendente durante il rapporto di lavoro è un controllo sull’attività del lavoratore. Per questo valgono le garanzie dell’art. 4 dello Statuto dei lavoratori, richiamato dall’art. 114 del Codice privacy.
Secondo il Garante la società ha agito senza una base giuridica adeguata. Il solo richiamo al legittimo interesse non basta.
Il Garante contesta anche altre scelte dichiarate dalla società:
- conservare per dieci anni tutte le e-mail dei dipendenti “ove ancora necessarie”: una formula generica, che richiede di individuare e analizzare le e-mail in modo continuo
- poter accedere alla casella dell’ex dipendente nei 30 giorni successivi alla cessazione, cercando per parole chiave: anche questa è una conservazione in vista di un possibile accesso
La società aveva invocato a sua difesa i “controlli difensivi”. Il Garante, però, ricorda che la Cassazione li considera legittimiseriguardano dati raccolti dopo che è nato un sospetto fondato di illecito e dopo un corretto bilanciamento tra gli interessi in gioco. Qui non è stato così: la società aveva conservato le e-mail in anticipo, con la possibilità di leggerle a ritroso, a prescindere da qualunque sospetto.
Il principio chiave del Garante: cosa si può fare e cosa no
Il provvedimento chiarisce un punto pratico importante.
Si può, in linea generale, mantenere per un tempo limitato e proporzionato l’account di chi ha lasciato l’azienda, se serve a garantire la continuità del lavoro. A tre condizioni: il datore non apre né legge le e-mail, c’è un messaggio automatico di risposta e il messaggio indica un referente alternativo a cui rivolgersi.
Non si può conservare la casella per anni e poi analizzare a ritroso le e-mail, per cercare prove in vista di un possibile contenzioso.
Il Garante non indica un numero di giorni. Parla di un tempo “limitato e proporzionato” alla finalità dichiarata.
La sanzione: 225.000 euro
Il Garante ha sanzionato la società con 225.000 euro. Ha considerato le violazioni come collegate tra loro, perché nascono da un’unica condotta. Ha valutato la gravità come elevata e ha dichiarato che la violazione non può essere considerata “minore”.
Hanno pesato in senso negativo:
- la natura dei dati: si tratta di e-mail, quindi di corrispondenza tutelata anche dalla Costituzione. Sono dati comuni, ma molto delicati
- la durata del trattamento: oltre due anni
- la colpa della società
Il Garante ha poi tenuto conto anche di queste circostanze:
- la cancellazione degli account
- l’assenza di precedenti violazioni
- una collaborazione “ordinaria” con il Garante
- il fatto che il Garante abbia saputo del caso solo grazie ai reclami
Il Garante ha anche considerato la situazione economica della società, sulla base dell’ultimo bilancio.
Non sono state ordinate altre misure correttive, perché gli account erano già stati cancellati, ma è stata ordinata la pubblicazione sul sito del Garante.
Cosa fare nella tua organizzazione
La vicenda riguarda una società di selezione del personale, ma le indicazioni valgono per ogni impresa, studio professionale o attività con dipendenti e collaboratori o collaboratrici:
- prevedi una procedura per chi lascia l’azienda.Quando finisce il rapporto, disattiva l’account e poi cancellalo, senza tenerlo “in attesa” per anni. Stabilisci tempi chiari e brevi, motivati da esigenze di continuità aziendale
- attiva la risposta automatica.Chi scrive a un indirizzo disattivato deve ricevere un messaggio che lo avvisa e gli indica chi contattare
- non leggere le e-mail dell’ex dipendente.Conservare la casella “in caso di contenzioso”, per poi leggerla se serve, non è una base valida. Se hai un sospetto concreto di illecito, fermati e valuta il caso con un legale prima di fare qualsiasi verifica
- se ti serve un’e-mail per ragioni di lavoro (ad esempio in caso di assenza improvvisa o prolungata), segui le linee guida del Garante. Il lavoratore nomina un delegato di fiducia che verifica i messaggi e inoltra quelli utili. Il delegato non può essere il superiore gerarchico né il datore di lavoro. Si fa un verbale e il lavoratore viene informato alla prima occasione
- non chiedere le password ai dipendenti.Un regolamento che prevede la consegna delle password al superiore è un regolamento da correggere
- aggiorna informativa e regolamento interno. Devono descrivere i trattamenti che nella tua organizzazione fate davvero: quali dati, per quali finalità, con quale base giuridica, per quanto tempo. Niente formule generiche, indicazione corretta del titolare, consegna al personale. E devono descrivere solo trattamenti leciti
- controlla i tempi di conservazione delle e-mail.Una regola come “dieci anni, se ancora necessario” è troppo vaga e rischia di implicare un’analisi continua della posta
- documenta le scelte.Se fai valutazioni sul legittimo interesse, scrivile in modo concreto, con misure davvero in grado di ridurre i rischi per i lavoratori
Un tema sottovalutato
La casella di posta di un/una ex dipendente è spesso vista come un archivio aziendale da tenere “per sicurezza”. Il Garante ricorda, però, che così non è corretto: dentro ci sono comunicazioni personali, protette da garanzie di segretezza.
Se l’azienda ha bisogno di tutelarsi in giudizio, ha altri strumenti. Ma non può farlo conservando tutto in anticipo e leggendo dopo.
Gestire bene anche l’uscita di una persona dall’azienda o da uno studio professionale non è un appesantimento burocratico: è una tutela per l’organizzazione e per i diritti delle persone.
Iscriviti alla nostra newsletter
Per ricevere novità e approfondimenti sul tema della conformità delle organizzazioni (aziende, studi professionali, associazioni, enti): contratti, privacy, regole del digitale, sostenibilità, modello 231.
