Premessa

Sul tema è significativo il provvedimento del 23 giugno 2025 [n.10161563], emanato dal Garante per la protezione dei dati personali, che nasce da un reclamo presentato nel gennaio 2024 da una ex dipendente, sig.ra XX, nei confronti della società P2P S.r.l.

La reclamante lamentava la persistenza dell’attivazione del suo indirizzo email aziendale dopo la cessazione del rapporto di lavoro, nonostante le ripetute richieste di disattivazione.

Il procedimento istruttorio aperto dall’Autorità ha mirato a verificare la conformità della gestione di tale indirizzo alle norme del Regolamento UE 2016/679 (GDPR) e del Codice Privacy italiano.

Fatti contestati e posizioni delle parti

La sig.ra XX aveva cessato il rapporto di lavoro con P2P S.r.l. il 15 marzo 2023 e successivamente aveva richiesto la disattivazione del suo account di posta elettronica aziendale.

Nonostante ciò, la società ha mantenuto attivo l’account fino al 23 novembre 2023, inoltrando automaticamente le email ricevute verso un altro account aziendale.

La società ha giustificato tale comportamento con la necessità di non perdere contatti e documentazione commerciale importante, soprattutto riguardante il mercato estero, e ha sostenuto che l’account fosse un alias anonimo privo di dati personali rilevanti.

Violazioni riscontrate dal Garante

L’Autorità ha rilevato diverse violazioni da parte di P2P S.r.l. innanzitutto in merito ai principi fondamentali del GDPR:

• liceità,
• limitazione della conservazione e
• minimizzazione dei dati personali.

Mantenere attivo e inoltrare la posta dell’account aziendale di una dipendente cessata ha comportato la conoscibilità di dati personali da parte di terzi non autorizzati, senza una base giuridica adeguata né informazioni fornite alla interessata.

La società non ha predisposto alcun regolamento interno o informativa sull’utilizzo degli strumenti informatici aziendali, particolarmente sulla posta elettronica, violando l’obbligo di trasparenza previsto dall’art. 13 del Regolamento.

Principi di gestione degli account di posta aziendali post-cessazione

Il Garante ha richiamato la propria consolidata giurisprudenza secondo cui gli account di posta elettronica assegnati a dipendenti cessati devono essere disattivati entro un tempo ragionevole, compatibile con le operazioni tecniche di gestione, ma senza dilazioni non giustificate.

Inoltre, devono essere adottati meccanismi automatici per informare i mittenti della cessazione e indirizzare eventuali comunicazioni a indirizzi alternativi corretti, così da tutelare la riservatezza della corrispondenza e impedire accessi non autorizzati.

Il principio di bilanciamento tra interessi aziendali e diritti degli interessati

L’argomentazione difensiva presentata dalla società, fondata sulla necessità di salvaguardare rapporti commerciali e documentazione fiscale, è stata ritenuta insufficiente rispetto ai diritti e aspettative di riservatezza della dipendente e dei terzi.

Il Garante ha sottolineato che l’interesse economico non può prevalere sulla protezione dei dati personali e che le misure organizzative devono garantire la corretta gestione delle informazioni senza ledere i diritti fondamentali degli interessati.

Mancanza di informativa e regolamentazione interna

Il provvedimento evidenzia inoltre come la mancanza di regole interne scritte e di informative adeguate rafforzi la valutazione di illiceità del trattamento.

Nei rapporti di lavoro, la trasparenza e l’informazione preventiva sono elementi essenziali per rispettare i principi di correttezza e liceità nell’uso delle tecnologie e del trattamento dati.

Conclusioni e provvedimenti adottati

Alla luce delle evidenze emerse, il Garante ha dichiarato illecita la condotta di P2P S.r.l. e la gestione dell’indirizzo email aziendale della sig.ra XX, ordinando la pubblicazione del provvedimento sul sito ufficiale e l’annotazione della violazione nei registri interni dell’Autorità.

Il Provvedimento del 23 giugno 2025 costituisce un importante richiamo alla necessità di gestire con attenzione e nel pieno rispetto della normativa GDPR gli account email aziendali relativi a dipendenti cessati, bilanciando la tutela degli interessi aziendali con il diritto fondamentale alla protezione dei dati personali e alla riservatezza delle comunicazioni.