[doc. web n. 10287400]

Provvedimento del 23 luglio 2026

Registro dei provvedimenti
n. 554 del 23 luglio 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato ai sensi dell’art. 77 del Regolamento dai sigg. XX e XX nei confronti di Top Secret Investigazioni e Sicurezza s.r.l.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale reggente ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo presentato dinanzi al Garante e l’istruttoria avviata dall’Ufficio.

Con reclamo presentato a questa Autorità in data 14/04/2022, regolarizzato con le due successive comunicazioni del 27/01/2023 e del 05/04/2023, i sigg. XX e XX, tramite il proprio legale Avv. XX, hanno lamentato una violazione della disciplina, in materia di protezione dei dati personali, da parte di Top Secret Investigazioni e sicurezza s.r.l. (di seguito “la Società”), riguardante la mancata disattivazione degli account di posta elettronica aziendale di tipo individualizzato (XX e XX) successivamente all’interruzione del rapporto di lavoro, con reindirizzamento ad altro account dei messaggi in transito, nonché la mancata informativa sul trattamento dei dati personali.

A sostegno di quanto lamentato, producevano agli atti alcune e-mail che la Società aveva inviato, in risposta a messaggi indirizzati ai suddetti account. 

Con nota del 06/07/2023, questo Ufficio formulava, nei confronti della Società, una richiesta di informazioni, ai sensi dell’art. 157 del Codice, al fine di acquisire utili elementi di valutazione in ordine a quanto rappresentato nel reclamo. 

A tale richiesta, la Società faceva pervenire le proprie osservazioni, con la nota del 28/07/2023, rappresentando che:

- “in data 07.02.2020 [i reclamanti] sottoscrivevano entrambi un verbale di conciliazione sindacale con Top Secret Investigazioni e Sicurezza srl attraverso il quale veniva stabilito che la predetta società disattivasse gli account aziendali dei reclamanti entro il 29/02/2020 “a mezzo inserimento di un messaggio automatico di risposta che veicoli l’utente ad un altro soggetto/account in alcun modo riconducibile” agli stessi reclamanti”;

- “come osservato dall’ Ing. XX, a cui è stato affidato l’incarico di svolgere accertamenti in ordine alla fondatezza, sotto il profilo tecnico, delle doglianze dei reclamanti (…) si tratta di meri “segnaposti”, utilizzati solo per rispondere a specifiche richieste dei mittenti e non di “caselle” di posta elettronica attive, intese come spazio riservato e utilizzato a ricevere email, di talché nessuna attività di trattamento (ad es. anche semplice visualizzazione) veniva mai espletata dal titolare”;

- “è prova di quanto sopra affermato il riscontro che veniva inoltrato al sottoscritto dal provider con cui veniva specificato che entrambe le caselle suddette venivano cancellate in data 28.02.2020, ovvero prima del termine stabilito dal verbale di conciliazione giuslavoristico”;

- “L’ing. (…) peraltro osservava che un’eventuale comunicazione inviata agli indirizzi predetti veniva semplicemente inoltrata dal server di OVH al sottosistema autoresponder che prendeva in carico la richiesta e inviava un messaggio automatico di risposta al mittente”;

- “Il contenuto letterale del messaggio per errore del configuratore del medesimo, non corrispondeva a quanto realmente effettuato, atteso che l’autoresponder non era configurato per inoltrare la mail ad un altro indirizzo (che invece è compito di un forwarder)”;

- “ne deriva che nessuna attività di trattamento dei dati veniva compiuta da Top Secret Investigazioni e sicurezza srl in relazione ai predetti account (…), in quanto definitivamente cancellati prima del termine previsto dall’accordo giuslavoristico né vi è prova contraria in tal senso”.

La Società, inoltre, inviava copia delle informative sul trattamento dei dati personali, sottoscritte dagli ex dipendenti all’atto della loro assunzione (ovvero in data 08/12/2011 e 12/05/2010), e copia del “Regolamento aziendale interno”, datato 20/04/2018, riguardante, tra i diversi oggetti, anche l’utilizzo dei device da parte dei dipendenti, messo a loro disposizione mediante affissione nella bacheca aziendale. 

I reclamanti facevano pervenire, con nota del 15/11/2023, le proprie osservazioni rispetto a quanto dedotto dalla Società, ribadendo invece che le caselle di posta elettronica erano rimaste attive “quantomeno fino a tutto l'anno 2021, in quanto gli utenti hanno continuato a ricevere il medesimo avviso di reindirizzamento da parte di Top Secret”. 

2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori dell’Autorità.

L’Ufficio, alla luce di quanto sopra, provvedeva a notificare alla Società l’atto di avvio del procedimento sanzionatorio, ai sensi dell’art. 166, comma 5, del Codice (nota dell’11/03/2024), per la violazione degli artt. 5, par. 1, lett. a), e 13, in relazione all’inidoneità dell’informativa resa, e dell’art. 5, par. 1, lett. a), c) ed e), del Regolamento in relazione alla persistente attivazione degli indirizzi di posta elettronica dei due reclamanti, successivamente alla cessazione dei rispettivi rapporti di lavoro.

La Società, in data 09/04/2024, inviava le proprie memorie difensive, sulla base dell’art. 18 della legge n. 689/1981, con cui rappresentava di non aver mai messo in discussione il principio in base al quale gli account aziendali, riconducibili a persone identificate o identificabili, debbano essere rimossi al momento della risoluzione del rapporto di lavoro. 

Infatti, negli accordi di risoluzione consensuale stipulati con i due reclamanti, dagli stessi “era stata prevista l’attivazione di un risponditore automatico con reindirizzo ad altro account “non riconducibile al ricorrente”.

Pertanto, sulla scorta delle indicazioni tecniche ricevute (di cui alla relazione tecnica, all. 7 alle memorie difensive), riteneva che “gli account degli esponenti fossero solo virtuali ovvero “meri segnaposti”, utilizzati solo per rispondere a specifiche richieste dei mittenti e non di “caselle” di posta elettronica attive (…). Il rinvio ad altro indirizzo avrebbe dovuto essere dunque solo fittizio”. 

“La convinzione di Top Secret e Investigazioni circa la avvenuta rimozione/disattivazione veniva rafforzata dallo stesso provider secondo il quale entrambe le caselle suddette venivano disattivate in data 28.02.2020”. 

Con riguardo ai criteri indicati dall’art. 83, par. 2, del Regolamento, la Società osservava che la violazione, laddove accertata, avrebbe avuto comunque una durata limitata nel tempo, interessando solo due soggetti i quali avrebbero espressamente richiesto, in sede di accordo sindacale, il “reinoltro ad altro account tramite risponditore automatico”.

Tra l’altro, “gli effetti della violazione erano già stati integralmente rimossi per gli interessati in data 20 ottobre 2020 ben prima del momento della notifica dell’avvio del procedimento da parte della GPDP”. 

La Società inoltre comunicava di aver avviato un’indagine interna per individuare le problematiche, di carattere tecnico che avevano determinato il ritardo nella definitiva cancellazione degli account assegnati ai reclamanti. All’esito di tale indagine, era stato approvato un nuovo “Regolamento aziendale per l’utilizzo dei sistemi e strumenti informatici” con un nuovo modello di informativa da consegnare agli interessati.

In data 04/05/2026, veniva effettuata l’audizione della Società la quale, nell’occasione, precisava che i reclamanti avevano rivestito il ruolo di responsabili della gestione privacy e, quindi, erano consapevoli delle procedure adottate dalla Società in relazione all’uso degli strumenti informatici.

In particolare, nel corso dell’audizione, la Società chiedeva che si procedesse all’archiviazione del procedimento, in considerazione del decorso del termine di 120 giorni previsto dal regolamento interno per la definizione dei procedimenti sanzionatori, secondo quanto previsto dalla Cassazione con sentenza n. 18583/2025. 

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori di cui all’art. 58, par. 2, del Regolamento.

All’esito dell’esame delle dichiarazioni rese dalla parte nel corso del procedimento, nonché della documentazione acquisita, risulta accertato che la Società, individuata quale titolare del trattamento ai sensi dell’art. 4, n. 7, del Regolamento, ha effettuato operazioni di trattamento riferite ai reclamanti che non risultano conformi alla disciplina in materia di protezione dei dati personali. 

In proposito, si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.    

3.1. Questione pregiudiziale. Rispetto dei termini del procedimento.

In via preliminare, deve affrontarsi la questione sollevata dalla Società nel corso dell’audizione in base alla quale il presente procedimento sarebbe viziato per il decorso del termine di 120 giorni previsto dal regolamento interno del Garante per la definizione dei procedimenti dell’Autorità.

Sul punto, si richiama in primo luogo l’art. 166, comma 5, del Codice in base al quale “L’Ufficio del Garante, quando ritiene che gli elementi acquisiti nel corso delle attività di cui al comma 4 configurino una o più violazioni indicate nel presente titolo e nell’articolo 83, paragrafi 4, 5 e 6, del Regolamento, avvia il procedimento per l’adozione dei provvedimenti e delle sanzioni di cui al comma 3 notificando al titolare o al responsabile del trattamento le presunte violazioni, nel rispetto delle garanzie previste dal Regolamento di cui al comma 9 (…)”.

Il regolamento n. 2/2019, concernente l’individuazione dei termini e delle unità organizzative responsabili dei procedimenti amministrativi presso il Garante per la protezione dei dati personali, prevede che la “comunicazione delle presunte violazioni” di cui all’art. 166, comma 5, del Codice, debba avvenire nel termine di 120 giorni “dall’accertamento della violazione per la notificazione della stessa ai residenti nel territorio della Repubblica o 360 giorni per la notificazione ai residenti all’estero”.

Si osserva, tra l’altro, che la sentenza citata dalla parte (Cass. n. 18583/2025), opera una distinzione nell’ambito dell’attività procedimentale del Garante, individuando “una fase sanzionatoria in senso stretto (cfr. art. 166, comma 5, del D.Lgs. n. 196/03, …) ed una precedente fase investigativa (o, se si preferisce, preistruttoria, cui, invece, è dedicato il comma 4 del medesimo art. 166)”. 

Pertanto, “solo una volta esaurita la fase investigativa (o preistruttoria) disciplinata dall'art. 166, comma 4, del D.Lgs. n. 196/03 (…), l’Ufficio del Garante "quando ritiene che gli elementi acquisiti nel corso delle attività di cui al comma 4 configurino una o più violazioni indicate nel presente titolo e nell'articolo 83, paragrafi 4, 5 e 6, del Regolamento, avvia il procedimento per l'adozione dei provvedimenti e delle sanzioni di cui al comma 3 notificando al titolare o al responsabile del trattamento le presunte violazioni"”, precisando che relativamente all’attività “investigativa o (preistruttoria)” dell’Autorità, “non è previsto un termine di natura perentoria” per il suo completamento (sul punto viene richiamata anche la sentenza Corte Cost. n. 151/2021).

Invece, “il termine, da considerarsi perentorio, di centoventi giorni previsto al punto 2 dell’allegato “B” del Regolamento del Garante n. 2/2019 si riferisce esclusivamente alla fase sanzionatoria in senso stretto e decorre dalla conclusione della fase preistruttoria che culmina con l’effettivo accertamento delle violazioni ascritte al trasgressore e la notifica della contestazione”.

Questo orientamento è stato ulteriormente confermato da recente sentenza di Cassazione (n. 22791/2026), la quale sottolinea come “il termine di 120 giorni non è un termine per emettere la sanzione decorrente dalla contestazione delle violazioni, ma è un termine per notificare le contestazioni, il quale decorre dal definitivo accertamento, da apprezzare secondo criteri di ragionevolezza e congruità, non bastando la semplice acquisizione della notizia, ma occorrendo la capacità del Garante di valutare tutti gli elementi costitutivi dell’illecito sulla base degli elementi raccolti. Si tratta, dunque, di un termine endoprocedimentale, non di un termine finale”. 

In tale quadro, l’Autorità ha correttamente individuato il dies a quo del termine di 120 giorni per l’avvio del procedimento sanzionatorio nel momento in cui ha, non solo materialmente acquisito, ma anche compiutamente valutato gli elementi istruttori in atti, e all’esito di tale valutazione ha ritenuto che gli elementi acquisiti configurassero una violazione della disciplina posta in materia di protezione dei dati personali (sul punto si vedano Corte Cost. n. 151/2021; Cass. sez. I, 8 luglio 2025, n. 18583). Pertanto, nel caso in esame, il termine dei 120 giorni risulta pienamente rispettato.

3.2. Violazione degli artt. 5, par. 1, lett. a), c), ed e), del Regolamento. 

Nel merito, è emerso che la Società, successivamente all’interruzione del rapporto di lavoro con i due reclamanti avvenuta il 07/02/2020, ha mantenuto attivi gli account di posta elettronica di tipo individualizzato a loro assegnati nel corso del rapporto di lavoro, disponendo il reindirizzamento della corrispondenza in transito ad altro account, almeno fino ad ottobre 2020, come risultante dalla documentazione in atti.

Ai fini dell’accertamento delle violazioni, l’Ufficio ha valutato la documentazione prodotta dai due reclamanti in allegato al reclamo, consistente in due comunicazioni e-mail: una, datata 03/03/2020, consistente in una e-mail (proveniente dall’indirizzo XX) e indirizzata all’account di posta elettronica personale del sig. XX, con cui gli veniva inoltrato un messaggio, pervenuto al vecchio account individualizzato (“Ho ricevuto questo con il reindirizzamento provvisorio e-mail ma è tuo”); l’altra prodotta in atti è invece datata 08/10/2020 e reca un messaggio, proveniente dall’indirizzo e-mail XX, in risposta a una richiesta di intervento indirizzata all’account individualizzato del sig. XX (“Il dott. XX non è più presente nell’organico di Top Secret Investigazioni e Sicurezza. Saremmo tuttavia lieti di poterLe fare un preventivo adatto alle sue esigenze (…)”). 

A fronte di tali evidenze, la Società ha prodotto in atti la relazione tecnica, predisposta da uno studio di ingegneria forense (all. 7 alle memorie difensive), da cui risulterebbe che, sui due account di posta elettronica in esame, era stata impostata la funzione di autoresponder con un messaggio di testo sbagliato, che lasciava intendere l’attivazione della funzione di forwarder. 

In realtà, secondo la relazione del tecnico, i due account non funzionavano come caselle di posta elettronica, in quanto, a seguito della loro disattivazione, non erano più idonei a ricevere messaggi.

La situazione così descritta tuttavia non corrisponde a quanto effettivamente è stato accertato in corso di istruttoria. Ciò in quanto la relazione redatta a febbraio 2023 fotografa una situazione che non era la stessa di ottobre 2020, quando la casella di posta elettronica di uno dei reclamanti aveva effettivamente ricevuto una comunicazione che veniva poi inoltrata all’indirizzo e-mail aziendale.

Non risulta rilevante, nel caso in esame, l’eventuale consenso che, secondo la Società, i due reclamanti avrebbero manifestato in sede di conciliazione sindacale, chiedendo il reindirizzamento ad altro account della corrispondenza in transito sulle proprie caselle di posta elettronica aziendale. 

Ciò in quanto, nell’ambito del rapporto di lavoro, tenuto conto della asimmetria tra le rispettive parti, il consenso non costituisce, di regola, un valido presupposto di liceità per il trattamento dei dati personali, indipendentemente dalla natura giuridica del datore di lavoro (cons. n. 43; art. 4, punto 11), e art. 7, par. 3 e 4, del Regolamento; v., l’orientamento consolidato in sede europea, Gruppo di lavoro “Articolo 29”, Parere 2/2017 sul trattamento dei dati sul posto di lavoro, WP 249, p. 7 e 26 e Linee Guida sul consenso ai sensi del Regolamento UE 2016/679 - WP 259 - del 4 maggio 2020).

In ogni caso, nei due verbali di conciliazione prodotti in atti (all. 5 e 6 alla nota del 28/07/2023), non viene espresso alcun consenso degli interessati, ma piuttosto viene assunto, da parte della Società, l’obbligo di “disattivare l’account (…) entro il 29.02.2020 a mezzo inserimento di un messaggio automatico di risposta che veicoli l’utente ad altro soggetto/account (…)”. 

In relazione al caso di specie, dunque, l’operazione di inoltro della corrispondenza a un altro account di posta aziendale risulta essere stata effettuata, per un periodo di circa 8 mesi, considerato che l’ultima comunicazione ricevuta sull’account individualizzato di uno dei due reclamanti reca la data dell’8/10/2020. 

A fronte di tale operazione, la Società non ha fornito nessun chiarimento utile, in ordine a eventuali finalità e presupposti di legittimità, realizzando di fatto un trattamento di dati personali che risulta contrario ai principi di liceità, di minimizzazione dei dati e di limitazione della conservazione (art. 5, par. 1, lett. a), c) ed e), del Regolamento), in base ai quali i dati devono essere “trattati in modo lecito, corretto e trasparente”, devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” e devono essere conservati “per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati”. 

Da un punto di vista generale, l’Autorità ha ritenuto conforme ai principi in materia di protezione dei dati personali che, a tutela di possibili e legittime esigenze di continuità dell’attività aziendale, dopo la cessazione del rapporto di lavoro il titolare provveda alla rimozione dell’account, previa disattivazione dello stesso e contestuale adozione di sistemi automatici volti ad informare i terzi mittenti e a fornire, a questi ultimi, indirizzi alternativi riferiti alla sua attività professionale, provvedendo altresì ad adottare misure idonee a impedire la visualizzazione dei messaggi in arrivo, durante il periodo in cui tale sistema automatico è in funzione (si veda il provvedimento n. 754 del 18/12/2025, doc web n. 10213574, il provv. n. 53 del 01/02/2018, doc. web n. 8159221).

Con le memorie difensive, la Società ha prodotto il nuovo “Regolamento aziendale per l’utilizzo dei sistemi e strumenti informatici”, in cui vengono illustrate le modalità di gestione della posta elettronica, anche per quel che riguarda la disattivazione degli account individualizzati dopo la cessazione del rapporto di lavoro.

Tuttavia, si osserva come siano ivi descritte alcune operazioni di trattamento che non risultano ancora conformi alle disposizioni e ai principi in materia di protezione dei dati personali. In particolare, con riferimento a quanto riportato all’art. 18 del citato Regolamento (“dopo la cessazione del rapporto di lavoro (…), l’azienda si riserva di valutare a proprio esclusivo e insindacabile giudizio, la necessità di mantenere attiva in ricezione la casella per un congruo periodo di tempo al fine di garantire la funzionalità aziendale. (…)”. 

Ciò, sul presupposto che “la casella di posta assegnata costituisce strumento di lavoro” e che “la documentazione presente nel profilo del singolo utente che cessa il rapporto di lavoro verrà considerata presuntivamente dall’azienda quale corrispondenza e documentazione lavorativa e non personale”).

Per questo motivo, si invita la Società, ai sensi dell’art. 57, par. 1, lett. d) del Regolamento, di rivedere le policy interne, alla luce dei principi in materia di protezione dei dati personali e delle disposizioni in materia di controlli a distanza di cui alla legge n. 300/1970, tenuto conto che, come sempre osservato dall’Autorità in numerosi provvedimenti, il contenuto dei messaggi di posta elettronica, così come i dati esteriori delle comunicazioni riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente (artt. 2 e 15 Cost.), rispetto alle quali sussiste una legittima aspettativa di riservatezza in relazione ai messaggi oggetto di corrispondenza (v. punto 5.2 lett. b), del provvedimento n. 13 del 01/03/2007, recante Linee guida per posta elettronica e internet, doc web n. 1387522; e in relazione a casi specifici, tra gli ultimi, il provv. n. 613 del 09/10/2025, doc web n. 10185435).

In base alle considerazioni di cui sopra, deve quindi confermarsi la violazione dei principi di liceità, di minimizzazione e di limitazione della conservazione in relazione ai trattamenti effettuati dalla Società sugli account di posta elettronica individualizzati assegnati ai reclamanti, successivamente alla cessazione del rapporto di lavoro.

3.2. Violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento.

A fronte dei trattamenti posti in essere dalla Società sugli account di posta elettronica dei propri dipendenti, non risulta che la stessa abbia predisposto documentazione idonea a rappresentare compiutamente le attività di trattamento poi realizzate.

Infatti, al momento in cui i fatti si sono verificati, le informative sottoscritte dai due reclamanti all’atto della loro assunzione (all. 13 e 14 alla nota del 28/07/2023) sono precedenti all’entrata in vigore del Regolamento e non risulta che siano state aggiornate. 

Queste, in ogni caso, contengono informazioni molto generali sulle finalità e modalità del trattamento dei dati personali da parte del datore di lavoro. Altra documentazione attiene alle designazioni effettuate nei loro confronti quali responsabili e custodi delle password per accedere agli elaboratori (all. 12 alla nota citata), che comunque non ha alcuna rilevanza nel caso di specie.   

Anche il Regolamento aziendale di cui all’all. 9 alla nota del 28/07/2023, non contiene alcuna utile previsione rispetto alla gestione della posta elettronica e alla conservazione del suo contenuto, soprattutto a seguito della cessazione di un rapporto di lavoro.

Tale condotta risulta contraria all’obbligo previsto dall’art. 13 del Regolamento che richiede al titolare del trattamento di fornire all’interessato, nel momento in cui i dati personali sono ottenuti, tutte le informazioni necessarie ad assicurare un trattamento corretto e trasparente (v. anche Cons. 60). Tra l’altro, nell’ambito del rapporto di lavoro l’obbligo di predisporre un’idonea informativa è espressione del principio di correttezza di cui all’art. 5, par. 1, lett. a), del Regolamento.

Si prende atto che la Società, con le memorie difensive, ha predisposto un nuovo modello di informativa ai sensi dell’art. 13 del Regolamento e che il nuovo modello di Regolamento interno (datato 01/09/2024) contiene informazioni più dettagliate sulle specifiche operazioni di trattamento. Tuttavia, come già osservato nel precedente paragrafo, resta fermo che l’informativa e, in generale, le policy devono comunque sempre descrivere operazioni di trattamento lecite.

Resta quindi ferma la violazione degli artt. 5, par. 1, lett. a), e 13 del Regolamento in relazione all’assenza di idonea informativa.

4. Conclusioni: dichiarazione di illiceità del trattamento.  Provvedimenti correttivi ex art. 58, par. 2, del Regolamento.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro, con riferimento a tali profili, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato da Top Secret Investigazioni e Sicurezza s.r.l.  risulta illecito, nei termini su esposti, in quanto posto in essere in violazione degli artt. 5, par. 1, lett. a), c), e), e 13 del Regolamento.

La violazione accertata nei termini di cui in motivazione non può essere considerata “minore”, tenuto conto della natura della violazione che ha riguardato il rispetto dei principi generali del trattamento e l’obbligo di fornire l’informativa. Si è tenuto conto del livello medio di gravità della violazione, della durata della stessa, del numero di interessati coinvolti e del modo in cui l’Autorità ha preso conoscenza delle violazioni.

Visti i poteri correttivi attribuiti dall’art. 58, par. 2, del Regolamento, alla luce delle circostanze del caso concreto, si dispone l’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i), del Regolamento).

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

All’esito del procedimento risulta che Top Secret Investigazioni e Sicurezza s.r.l. ha violato gli artt. 5, par. 1, lett. a), c) ed e), e 13. Per la violazione delle predette disposizioni è prevista l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a), del Regolamento.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere da Top Secret Investigazioni e Sicurezza s.r.l. di cui è stata accertata l’illiceità, nei termini sopra esposti. 

Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento che prevede che “Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’ applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

- in relazione alla natura e alla gravità della violazione, sono state considerate rilevanti le violazioni commesse che hanno riguardato i principi generali del trattamento, connessi all’utilizzo degli strumenti elettronici nell’ambito del rapporto di lavoro, nonché la mancata predisposizione di idonea informativa; deve tenersi conto che l’inoltro della corrispondenza pervenuta sugli account dei reclamanti ad altro account aziendale si è protratta per un periodo di tempo pari a 8 mesi successivi alla interruzione dei rispettivi rapporti di lavoro; 

- con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare è stata presa in considerazione la condotta della Società che ha predisposto  un nuovo modello di informativa e di Regolamento aziendale (rispetto al quale permangono tuttavia criticità che non hanno formato oggetto di specifico accertamento); 

- si è tenuto conto dell’assenza di precedenti violazioni in materia di protezione dei dati personali.

Si ritiene inoltre che assumano rilevanza nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), in primo luogo le condizioni economiche del contravventore, determinate in base al volume d’affari della Società, di cui al bilancio di esercizio per l’anno 2024.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Top Secret Investigazioni e Sicurezza s.r.l. la sanzione amministrativa del pagamento di una somma pari ad euro 6.500,00 (seimila cinquecento).

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito internet del Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, rileva l’illiceità del trattamento effettuato da Top Secret Investigazioni e Sicurezza s.r.l., in persona del legale rappresentante pro tempore, con sede legale in Ferrara, Via Zandonai n. 4, P.I. 01857670382, per la violazione degli artt. 5, par. 1, lett. a), c), e), e 13 del Regolamento;                                

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento alla medesima Società di pagare la somma di euro  6.500,00 (seimila cinquecento) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi alla medesima Società di pagare la predetta somma di euro  6.500,00 (seimila cinquecento), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. 

Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento - sempre secondo le modalità indicate in allegato - di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/20129, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/20129, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 17 del Regolamento n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 23 luglio 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori