Il Garante sanziona Piaggio per 460mila euro e Altroconsumo Edizioni per 280mila. Al centro dei due provvedimenti la conservazione della posta aziendale, il controllo dei lavoratori e l’invio di comunicazioni promozionali senza una base giuridica adeguata.
Il Garante per la protezione dei dati personali ha inflitto due sanzioni per un importo complessivo di 740mila euro a Piaggio & C. e Altroconsumo Edizioni. I procedimenti riguardano vicende differenti, ma mettono in evidenza lo stesso principio: il trattamento dei dati personali non può essere giustificato soltanto da esigenze organizzative, commerciali o di tutela dell’azienda.
Piaggio dovrà pagare 460mila euro per le modalità con cui ha gestito e conservato le caselle di posta elettronica aziendale di alcuni dipendenti. Per Altroconsumo Edizioni la sanzione è invece di 280mila euro e riguarda l’utilizzo dei dati raccolti attraverso il proprio sito per l’invio di email promozionali, oltre alle carenze riscontrate nella gestione delle richieste degli utenti.
Piaggio e l’accesso alle email dei dipendenti
L’istruttoria nei confronti di Piaggio è partita dai reclami presentati da due ex dipendenti. Dagli accertamenti è emerso che la società aveva effettuato accessi alle loro caselle di posta elettronica aziendale durante il rapporto di lavoro, acquisendo complessivamente 112 messaggi per verificare la possibile esistenza di comportamenti illeciti.
Alcune delle comunicazioni esaminate risalivano a circa due anni prima rispetto al momento in cui erano sorti i sospetti. Secondo il Garante, l’attività di controllo era stata resa possibile da un sistema di raccolta e conservazione particolarmente esteso.
Piaggio effettuava infatti il backup della posta elettronica per tutta la durata del rapporto di lavoro e continuava a conservare i dati fino a cinque anni dopo la sua cessazione. I log relativi agli accessi venivano invece mantenuti per sei mesi.
L’Autorità ha giudicato questi periodi eccessivi rispetto alle finalità dichiarate e incompatibili con i principi di limitazione della conservazione, minimizzazione e trasparenza previsti dal GDPR. Sono state inoltre rilevate carenze nelle informazioni fornite ai lavoratori sulle finalità e sulle basi giuridiche del trattamento.
Il confine tra sicurezza aziendale e controllo dei lavoratori
Le imprese possono adottare misure per proteggere il patrimonio aziendale, verificare eventuali condotte illecite e garantire la continuità operativa. Queste esigenze, però, non consentono una conservazione indiscriminata della posta elettronica né un controllo retrospettivo generalizzato sull’attività dei dipendenti.
Il trattamento deve rispettare il GDPR e le garanzie previste dallo Statuto dei lavoratori. L’accesso alle email deve quindi essere proporzionato, fondato su esigenze concrete e accompagnato da procedure trasparenti che limitino l’utilizzo dei dati a quanto realmente necessario.
Nel caso esaminato, il Garante ha contestato anche la mancata risposta alle richieste con cui gli ex dipendenti chiedevano conferma della disattivazione dei propri account. Oltre alla sanzione, l’Autorità ha dichiarato illecito il trattamento e vietato alla società di accedere ai dati raccolti e conservati attraverso quei sistemi.
Altroconsumo e le email promozionali agli utenti non registrati
Il secondo provvedimento riguarda Altroconsumo Edizioni ed è nato dal reclamo di un cittadino che continuava a ricevere messaggi promozionali nonostante avesse chiesto di non essere più contattato.
L’interessato sosteneva inoltre di non aver mai completato la procedura necessaria per diventare socio. Durante l’istruttoria, la società non sarebbe riuscita a dimostrare la corretta costituzione del rapporto contrattuale invocato come fondamento per il trattamento dei dati.
Il Garante ha accertato che il sistema di registrazione al sito non disponeva di misure tecniche e organizzative adeguate per gestire i casi in cui l’utente non confermava la creazione dell’account. Anche senza il completamento della procedura, il rapporto veniva considerato perfezionato e i dati potevano essere utilizzati per l’invio di comunicazioni promozionali.
Il semplice inserimento di un indirizzo email all’interno di un modulo online, tuttavia, non equivale automaticamente alla conclusione di un contratto e non autorizza l’impresa a utilizzare quel dato per finalità di marketing.
Le richieste degli utenti non possono restare senza risposta
Nel procedimento sono emerse anche difficoltà nella gestione delle richieste di esercizio dei diritti previsti dal GDPR. Secondo l’Autorità, Altroconsumo non aveva adottato misure sufficienti per garantire risposte tempestive ed effettive agli utenti. Su questo aspetto la società era già stata destinataria di un precedente provvedimento.
Il Garante ha quindi ordinato ad Altroconsumo di interrompere il trattamento dei dati riferiti alle persone che non hanno confermato la creazione dell’account e di adeguare le proprie procedure alla normativa europea.
Due casi diversi, un unico richiamo alle imprese
I due provvedimenti mostrano che la conformità al GDPR non si esaurisce nella pubblicazione di un’informativa o nella presenza di una casella da selezionare. Le aziende devono essere in grado di dimostrare perché raccolgono un dato, per quanto tempo lo conservano, chi può utilizzarlo e quali strumenti vengono offerti agli interessati per esercitare i propri diritti.
Nel rapporto di lavoro, una conservazione troppo estesa delle email può trasformarsi in uno strumento di controllo a distanza. Nel marketing digitale, invece, una registrazione incompleta non può essere utilizzata per costruire artificialmente una base giuridica e continuare a inviare messaggi promozionali.
I provvedimenti contro Piaggio e Altroconsumo confermano così l’attenzione del Garante verso i trattamenti sistematici, capaci di coinvolgere un numero elevato di persone e di trasformare una procedura aziendale non corretta in una violazione strutturale della privacy.
