VEDI ANCHE Newsletter del 12 novembre 2026

[doc. web n. 10313657]

Provvedimento del 20 ottobre 2026

Registro dei provvedimenti
n. 796 del 20 ottobre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e il dott. Luigi Montuori segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA.

1.1. Origine dell’istruttoria preliminare.

Con il reclamo presentato a questa Autorità in data 11/10/2023, il sig. XX lamentava una violazione della disciplina in materia di protezione da parte di Techpartner s.r.l. (di seguito “la Società”), consistente in particolare nel riscontro non idoneo all’istanza di esercizio dei diritti presentata ai sensi dell’art. 15 del Regolamento, con cui chiedeva di accedere “ai propri dati personali tutti a far data dal 2013, (…), la conferma dei trattamenti di dati personali in corso, che riguardano il lavoratore e al fine di ottenere contezza scritta, documentale e completa (…)”. 

Il reclamante, inoltre, lamentava ulteriori profili di illiceità rispetto all’installazione di un sistema di videosorveglianza presso la sede aziendale, che sarebbe avvenuta in assenza della procedura di garanzia prevista dall’art. 4 della legge n. 300/1970, nonché alla comunicazione a terzi di informazioni relative alla convocazione alla visita medica di idoneità.

1.2. Attività svolta.

L’Ufficio avviava l’istruttoria preliminare nei confronti della Società, con la nota del 22/03/2024, invitandola a fornire osservazioni in ordine ai fatti oggetto di reclamo e ad aderire all’istanza di esercizio dei diritti avanzata dal reclamante.

La Società forniva riscontro con nota del 18/04/2024, con cui rappresentava che, a fronte della richiesta di accesso ai dati personali, presentata dal reclamante in data 31/07/2023, (contenente tra l’altro numerose ulteriori domande attinenti al rapporto di lavoro), veniva fornita risposta al suo legale con una nota del 04/08/2023, comunicando la disponibilità ad accedere ai suoi dati personali così come richiesto; tuttavia, la Società precisava di aver avuto difficoltà a reperire, nelle tempistiche previste, parte della documentazione richiesta, poiché i documenti antecedenti all’anno 2020 erano stati oggetto di trasferimento da un’azienda all’altra per effetto della fusione delle due aziende.

In ogni caso, “in data 17/04/2024 veniva inviata tramite e-mail al sig. … la documentazione come da allegati”.

Rispetto agli ulteriori profili di illiceità lamentati dal reclamante, l’Ufficio formulava un’ulteriore richiesta di informazioni il 3 settembre 2024, a cui la Società rispondeva, trasmettendo la documentazione inerente alla citata nota del 04/08/2023 con cui invitava l’istante ad effettuare l’accesso ai propri dati personali, alle designazioni e alle istruzioni fornite ai propri dipendenti ai sensi degli artt. 28 e 29 del Regolamento, nonché alla copia del registro dei trattamenti ai sensi dell’art. 30 del Regolamento (nota del 01/10/2024). 

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORIO E DIFESE DELLA PARTE.

2.1. Avvio del procedimento (art. 166, comma 5, del Codice).

In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, con nota del 30/01/2025, notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

In particolare, l’Ufficio contestava alla Società la violazione degli artt. 12, par. 3, e 15 del Regolamento, in considerazione del ritardo con cui la stessa aveva fornito riscontro all’istanza di esercizio dei diritti del reclamante, degli artt. 5, par. 1, lett. a), c) ed e) e 88 del Regolamento e art. 114 del Codice, in relazione ai trattamenti effettuati sulla posta elettronica dei dipendenti, riferita in particolare alla persistente attivazione degli account di posta elettronica individualizzata a seguito della cessazione di un rapporto di lavoro/collaborazione e alla conseguente attività di verifica del contenuto delle e-mail.

Non venivano riscontrate violazioni in relazione all’installazione dell’impianto di videosorveglianza né in relazione alla lamentata comunicazione a terzi di dati personali.

2.2. Difese della parte (art. 166, comma 6, del Codice). 

La Società, in data 20/01/2025, inviava le proprie memorie difensive, ai sensi dell’art. 18 della legge n. 689/1981, osservando, rispetto alla violazione degli artt. 12 e 15 del Regolamento, che sebbene “il Titolare non ha saputo individuare nella lettera dell’Avv. […] un’istanza di accesso ai dati personali ai sensi del GDPR ma è vero anche che il soggetto, tramite l’Avvocato, ha contestato al Titolare tante e tali violazioni, in massima parte insussistenti, da porre il Titolare in uno stato di ragionevole difficoltà, anche nell’individuare e soddisfare tutte le richieste”. 

Con riferimento alle violazioni riscontrate dall’Ufficio in relazione alle previsioni contenute nei regolamenti interni a proposito della conservazione della corrispondenza aziendale a seguito della cessazione dei rapporti lavorativi, la Società evidenziava come la procedura in concreto effettuata dalla Società era differente da quella descritta nel disciplinare.
Infatti, secondo quanto rappresentato, al momento della cessazione del rapporto di lavoro, la Società procede alla disattivazione dell’account del dipendente attivando contestualmente un sistema di risposta automatica per informare i mittenti della disattivazione dell’account e fornire un nuovo indirizzo a cui rivolgersi. 

Allo stesso tempo, la Società osservava che a seguito della cessazione del rapporto di lavoro, “Viene garantita la conservazione delle sole e-mail di carattere professionale per un periodo strettamente necessario alla continuità aziendale, nel rispetto del principio di limitazione della conservazione di cui all’Art. 5, par 1, lettera e) del Regolamento e del legittimo interesse del titolare del trattamento ai sensi dell’art. 6 par. 1 lett. f) del GDPR”. 

In particolare, “il lavoratore cessato è invitato, al momento della conclusione del rapporto di lavoro, a cancellare gli eventuali messaggi privati contenuti nella propria casella di posta, lasciando intatti tutti quelli inerenti la propria attività professionale, che costituiscono patrimonio aziendale e non personale”. Ciò anche in considerazione del fatto che non viene effettuato il back up della posta elettronica aziendale.

Inoltre, in caso di assenze non programmate, è previsto che “Chiunque necessiti di accedere al PC della persona assente deve fare richiesta al responsabile dell’assente motivandone la necessità; il responsabile valuterà l’effettiva urgenza e l’impossibilità di adottare altre modalità che possano evitare l’accesso allo strumento”.

3. VALUTAZIONI DELL’AUTORITA’.

All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese all’Autorità nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice (“Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), risulta accertato che la Società, in qualità di titolare del trattamento, ha effettuato alcune operazioni di trattamento in violazione della disciplina in materia di protezione dei dati personali.

3.1. Violazione degli artt. 12, par. 3, e 15 del Regolamento.

In primo luogo, sulla base delle risultanze istruttorie, l’Autorità ha accertato che la Società, in qualità di titolare del trattamento, ha omesso di fornire riscontro all’istanza di esercizio dei diritti del reclamante, nel termine indicato dall’art. 12, par. 3, del Regolamento.

Solo a seguito dell’avvio del procedimento da parte dell’Autorità, la Società ha provveduto alla trasmissione all’istante di copia della documentazione richiesta che, sulla base delle dichiarazioni rese, non era stata tempestivamente consegnata in quanto “i documenti antecedenti all’anno 2020 sono stati oggetto di trasferimento da un’azienda all’altra”.

La Società ha argomentato che il ritardo nel riscontro è stato determinato soprattutto dalla difficoltà di individuare correttamente la richiesta come esercizio dei diritti ai sensi del Regolamento, in quanto l’istanza di accesso ai dati personali era stata presentata nell’ambito di una più ampia richiesta riguardante diversi aspetti lavorativi.  

A tal proposito, deve osservarsi che la richiesta avanzata dal reclamante, pur affrontando molte questioni e problematiche strettamente giuslavoristiche, richiama espressamente la disciplina in materia di protezione dei dati personali rivolgendo al titolare del trattamento una esplicita istanza di diritto di accesso ai dati trattati dalla Società sin dal 2013, rinviando anche ai chiarimenti resi dall’EDPB con le Linee guida 1/2022 sui diritti degli interessati - Diritto di accesso. Sotto questo profilo, dunque, l’istanza risulta molto chiaramente riconducibile alla disciplina in materia di protezione dei dati personali. 

Tra l’altro, occorre considerare che il Regolamento non impone requisiti particolari agli interessati per quanto riguarda la forma della richiesta di accesso ai dati personali (sul punto anche le Linee guida cit., punto 3.1.2, par. 52).

Deve essere rigettata anche l’ulteriore argomentazione addotta dalla Società, in base alla quale vi sarebbero state difficoltà nella ricerca della documentazione a causa del trasferimento dell’azienda, in quanto la disposizione di cui all’art. 12, par. 3, del Regolamento prevede che il termine di un mese può essere prorogato di due mesi, se necessario, “tenuto conto della complessità e del numero di richieste”.

La Società avrebbe, quindi, dovuto informare l’istante della complessità della richiesta e, eventualmente, dell’intenzione di disporre di un termine più lungo, ai sensi dell’art. 12, par. 3, del Regolamento.

Sotto questo profilo, deve quindi confermarsi la violazione in capo alla Società delle disposizioni di cui agli artt. 12, par. 3, del Regolamento, con riferimento alle modalità con cui il titolare deve fornire riscontro alle istanze di esercizio dei diritti, e 15 del medesimo Regolamento, tenuto conto del fatto che solo a seguito dell’avvio dell’istruttoria dell’Autorità, è stato fornito riscontro all’istanza del diritto di accesso.

3.2. Violazione dell’art. 5, par. 1, lett. a), c) ed e) del Regolamento. 

Sulla base della documentazione acquisita nel corso del procedimento, è emerso che la Società ha adottato un “Regolamento per l’incaricato autorizzato al trattamento dei dati” in cui vengono fornite ai dipendenti istruzioni sull’utilizzo degli strumenti informatici, in particolare della posta elettronica aziendale.

La Società ha chiesto l’archiviazione delle violazioni contestate sul presupposto che non vi è, in atti, alcuna segnalazione o reclamo da parte dei propri dipendenti o collaboratori in merito alla gestione della posta elettronica aziendale o all’accesso ai PC in caso di loro assenza.

Sul punto si osserva, invece, che, aldilà della presentazione di un reclamo o di una segnalazione riguardante uno specifico aspetto, l’Autorità, nell’esercizio dei poteri attribuiti dal Regolamento (in particolare, l’art. 57, par. 1, lett. v), in base al quale l’Autorità di controllo “svolge qualsiasi altro compito legato alla protezione dei dati personali”), ha il potere-dovere di controllare che i trattamenti siano effettuati nel rispetto della disciplina applicabile. 

In particolare, l’art. 21 del regolamento n. 1/2019 n. 98 del 04/04/2019 (“concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali”) prevede espressamente che “anche in assenza di reclamo, segnalazione o notificazione di violazione dei dati personali, l’Autorità può avviare d’ufficio un’istruttoria preliminare per verificare la sussistenza di idonei elementi in ordine a possibili violazioni della disciplina rilevante in materia di protezione dei dati personali” (in senso conforme, si veda Cass. Civile Sez. 2, ordinanza n. 40635 del 17/12/2021).   

Pertanto, all’esito degli accertamenti svolti, è risultato che le operazioni di trattamento svolte dalla Società sugli account individualizzati dei propri dipendenti così come descritte nei disciplinari interni siano contrarie alle disposizioni e ai principi in materia di protezione dei dati personali.

D’altra parte, quanto è stato successivamente argomentato dalla Società nei propri scritti difensivi, evidenzia come tuttora siano previste attività sulla corrispondenza presente sui predetti account che non sono conformi alla disciplina in materia di protezione dei dati personali e che, quindi, necessitano di interventi correttivi.

In particolare, rispetto alla previsione contenuta nel cap. 4 del citato Regolamento aziendale, a proposito della persistente attivazione della casella di posta elettronica di un dipendente cessato (per un periodo di 3/6 mesi) con la conseguente facoltà di leggerne i messaggi, al fine di garantire la continuità dell’attività aziendale, l’Ufficio, con l’atto di avvio del procedimento sanzionatorio, ha ritenuto violati i principi di liceità, di minimizzazione e di limitazione della conservazione di cui all’art. 5, par. 1, lett. a), c) ed e), del Regolamento.

Come spesso ribadito in altri provvedimenti dell’Autorità, la conservazione della posta elettronica deve essere strettamente legata alla possibilità di accesso solo da parte dell’intestatario.

Ciò, in quanto il contenuto dei messaggi di posta elettronica, così come i dati esteriori delle comunicazioni (quindi anche i log della posta elettronica, comprensivi degli indirizzi e-mail del mittente e del destinatario, gli indirizzi IP dei server o dei client coinvolti nell’instradamento del messaggio, gli orari di invio, di trasmissione o di ricezione, la dimensione del messaggio, la presenza di eventuali allegati, l’oggetto del messaggio spedito o ricevuto) riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente (artt. 2 e 15 Cost.), rispetto alle quali quindi il Garante ha ritenuto che, nel contesto lavorativo, sia pubblico che privato, sussiste una legittima aspettativa di riservatezza in relazione ai messaggi oggetto di corrispondenza (v. punto 5.2 lett. b), del provvedimento n. 13 del 01/03/2007, recante Linee guida per posta elettronica e internet, doc web n. 1387522; e in relazione a casi specifici, tra gli ultimi, il provv. n. 613 del 09/10/2025, doc web n. 10185435).

Ne deriva quindi che la conservazione della documentazione necessaria a garantire l’ordinario svolgimento dell’attività lavorativa e la continuità dell’attività aziendale non può essere assicurata mediante i sistemi di posta elettronica; piuttosto, essa “è assicurata, in primo luogo, dalla predisposizione di sistemi di gestione documentale con i quali − attraverso l’adozione di appropriate misure organizzative e tecnologiche − individuare i documenti che nel corso dello svolgimento dell’attività lavorativa devono essere via via archiviati con modalità idonee a garantire le caratteristiche di autenticità, integrità, affidabilità, leggibilità e reperibilità prescritte dalla disciplina di settore applicabile. I sistemi di posta elettronica, per loro stessa natura, non consentono di assicurare tali caratteristiche” (v. provvedimenti n. 153 del 13/03/2025, doc web n. 10138760; n. 263 del 22/06/2023, doc. web n. 9920814; n. 53 del 01/02/2018, doc. web n. 8159221 e n. 214 del 29/10/2020 doc. web n. 9518890).
Pertanto, premesso che la Società ha dichiarato di aver adottato una nuova policy interna in riferimento all’utilizzo degli strumenti aziendali, compresa la posta elettronica, che tuttavia non è stata prodotta in atti, si deve far riferimento alle dichiarazioni rese negli scritti difensivi, a correzione di quanto descritto nel disciplinare, le quali non risultano comunque idonee ad escludere nel caso di specie la sussistenza di una violazione dei principi generali del Regolamento.

Infatti, a parte la modifica sul termine previsto per la disattivazione degli account individualizzati a seguito della cessazione di un rapporto di lavoro/collaborazione (che la Società ha dichiarato di aver ridotto a 3 mesi), permane l’errata convinzione di poter disporre del contenuto della posta elettronica dei dipendenti e di poterne conservare le e-mail al fine di garantire la continuità delle attività aziendali.

Tale condotta risulta contraria ai principi di liceità e di minimizzazione dei dati, in base ai quali i dati devono essere trattati “in modo lecito, corretto e trasparente” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”.

Pertanto, risulta conforme ai principi in materia di protezione dei dati personali la condotta del titolare che, a tutela di possibili e legittime esigenze di continuità dell’attività aziendale, dopo la cessazione del rapporto di lavoro, provveda alla rimozione dell’account, previa disattivazione dello stesso e contestuale adozione di sistemi automatici volti ad informare i terzi mittenti e a fornire, a questi ultimi, indirizzi alternativi riferiti alla sua attività professionale, provvedendo altresì ad adottare misure idonee a impedire allo stesso datore di lavoro la visualizzazione dei messaggi in arrivo, durante il periodo in cui tale sistema automatico è in funzione (v. tra gli ultimi, provvedimenti n. 754 del 18/12/2025, doc. web 10213574).

Risulta ancora contrario alle disposizioni in materia di protezione dei dati personali, la prevista attività di consultazione della posta elettronica in casi di assenze improvvise e prolungate dei dipendenti.

Sul punto, si rimanda a quanto previsto nelle Linee guida per posta elettronica e internet, sopra citate, con cui l’Autorità ha chiarito che “in previsione della possibilità che, in caso di assenza improvvisa o prolungata e per improrogabili necessità legate all’attività lavorativa, si debba conoscere il contenuto dei messaggi di posta elettronica, l’interessato sia messo in grado di delegare un altro lavoratore (fiduciario) a verificare il contenuto di messaggi e a inoltrare al titolare del trattamento quelli ritenuti rilevanti per lo svolgimento dell’attività lavorativa”.

Alla luce di quanto sopra, deve quindi confermarsi la violazione dei principi di liceità, di minimizzazione e di limitazione della conservazione in relazione ai trattamenti effettuati dalla Società sugli account di posta elettronica dei dipendenti successivamente alla cessazione del rapporto di lavoro.

Alla luce dell’esame della documentazione, l’Autorità ritiene, invece, di disporre l’archiviazione delle violazioni inizialmente contestate alla Società mediante l’atto di avvio del procedimento sanzionatorio con riguardo alla violazione degli artt. 5, par. 1, lett. a) e 88 del Regolamento, dell’art. 114 del Codice.

4. CONCLUSIONI. 

Alla luce di quanto complessivamente rilevato, risultano confermate le violazioni degli artt. 12, par. 3, 15, 5, par. 1, lett. a), c) ed e), del Regolamento, oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte sono risultate solo in parte idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal titolare del trattamento, per aver omesso di fornire tempestivo riscontro all’istanza di esercizio dei diritti, in violazione degli artt. 12, par. 3, e 15 del Regolamento, nonché per aver violato i principi generali del Regolamento in relazione ai trattamenti disposti sugli account di posta elettronica dei dipendenti. 

La violazione accertata nei termini di cui in motivazione non può essere considerata “minore”, tenuto conto della natura delle violazioni accertate che hanno riguardato l’osservanza dei principi generali del Regolamento, nonché le disposizioni relative all’esercizio dei diritti degli interessati (v. considerando 148 del Regolamento). 

5. MISURE CORRETTIVE.

Visti i poteri correttivi attribuiti dall’art. 58, par. 2, del Regolamento, l’Autorità ritiene necessario prescrivere la misura correttiva di conformare i disciplinari aziendali sull’utilizzo degli strumenti informatici alla disciplina in materia di protezione dei dati personali, con riferimento al trattamento dei dati relativi agli account di posta elettronica assegnati ai propri dipendenti/collaboratori, sia in vigenza del rapporto di lavoro che successivamente all’interruzione dello stesso, secondo le indicazioni fornite al punto 3.2 del presente provvedimento.

6. ORDINANZA INGIUNZIONE.

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile.

Nel caso di specie, si ravvisano due distinte condotte imputabili alla Società, consistenti nel mancato riscontro all’istanza di esercizio dei diritti nel termine previsto dalla normativa, e nell’inosservanza dei principi generali in relazione ai trattamenti effettuati sugli account di posta elettronica dei dipendenti/collaboratori. 

Tenuto conto che la violazione delle predette disposizioni non comporta l’applicazione di quanto indicato nell’art. 83, par. 3, del Regolamento, la sanzione complessiva viene determinata dalla somma degli importi sanzionatori stabiliti per ciascuna violazione.

6.2. Quantificazione della sanzione amministrativa pecuniaria relativa all’esercizio del diritto di accesso (art. 83, par. 2, del Regolamento).

Relativamente al mancato riscontro nei termini all’esercizio del diritto di accesso del reclamante, con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

- quanto alla natura, alla gravità e alla durata della violazione, la stessa deve considerarsi di media entità, considerato che il riscontro all’istanza di esercizio dei diritti è pervenuta dopo 9 mesi dalla presentazione dell’istanza e comunque dopo l’avvio dell’istruttoria da parte dell’Autorità (cfr. art. 83, par. 2, lett. a) del Regolamento);

- con riguardo al carattere doloso o colposo, la condotta della Società risulta caratterizzata dalla colpa (cfr. art. 83, par. 2, lett. b), del Regolamento);

- le categorie di dati trattati sono di tipo comune cfr. art. 83, par. 2, lett. g), del Regolamento). 

Si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è una società con un fatturato inferiore a 500 milioni di euro, si ritiene che ai fini della quantificazione della sanzione debbano essere prese in considerazione le seguenti circostanze: 

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, aventi la medesima natura di quelle accertate in relazione ai fatti di reclamo (art. 83, par. 2, lett. e), del Regolamento);

- la Società ha offerto una piena cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

- l’Autorità ha appreso della violazione tramite il reclamo presentato dall’interessato (cfr. art. 83, par. 2, lett. h), del Regolamento).

Nel caso di specie, si ritiene che assumano rilevanza le condizioni economiche del titolare del trattamento, determinate in base al volume d’affari di cui al bilancio di esercizio per l’anno 2025 caratterizzato da perdita di esercizio.

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di dover determinare l’ammontare della sanzione pecuniaria nella misura di euro 9.500,00 (novemila e cinquecento) per la violazione degli artt. 12, par. 3, e 15 del Regolamento.

6.3.    Quantificazione della sanzione amministrativa pecuniaria relativa alla violazione dei principi generali del Regolamento (art. 83, par. 2, del Regolamento).

Relativamente alla violazione dei principi generali del Regolamento, in relazione ai trattamenti effettuati sugli account di posta elettronica individualizzati dei propri dipendenti/collaboratori, con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’ applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze: 

- quanto alla natura, alla gravità e alla durata della violazione, le violazioni commesse hanno riguardato i principi generali del trattamento, connessi all’utilizzo degli strumenti elettronici nell’ambito del rapporto di lavoro (cfr. art. 83, par. 2, lett. a) del Regolamento);

- con riguardo al carattere doloso o colposo la condotta risulta caratterizzata dalla colpa (cfr. art. 83, par. 2, lett. b), del Regolamento);

- le categorie di dati trattati afferiscono al contenuto delle comunicazioni presenti sugli account di posta elettronica (cfr. art. 83, par. 2, lett. g), del Regolamento

Si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto

60).Ciò premesso, nel considerare che il titolare del trattamento è una società con un fatturato inferiore a 500 milioni di euro, si ritiene che ai fini della quantificazione della sanzione debbano essere prese in considerazione le seguenti circostanze: 

- la Società ha dichiarato di avere modificato le policy interne in senso conforme alle indicazioni del Garante, ma non ha prodotto alcuna documentazione a supporto (cfr. art. 83, par. 2, lett. c), del Regolamento);

- non risultano precedenti violazioni pertinenti a carico della Società (cfr. art. 83, par. 2, lett. e), del Regolamento);

- il grado di cooperazione con la Società è stato ordinario (cfr. art. 83, par. 2, lett. f), del Regolamento).

Nel caso di specie, si ritiene che assumano rilevanza le condizioni economiche del titolare del trattamento, determinate in base al volume d’affari di cui al bilancio di esercizio per l’anno 2025 caratterizzato da perdita di esercizio.

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di dover determinare l’ammontare della sanzione pecuniaria nella misura di euro 16.000,00 (sedicimila) per la violazione dell’art. 5, par. 1, lett. a), c) ed e) del Regolamento.

In conclusione, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in ragione della rilevanza delle condotte poste in essere che hanno riguardato l’esercizio del diritto di accesso ai dati e l’osservanza dei principi generali del Regolamento. 

PER QUESTI MOTIVI

ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità del trattamento di dati personali effettuato da Techpartner s.r.l., con sede legale in Modena, C.F. 12976900154, per la violazione degli artt. 5, par. 1, lett. a), c) ed e), 12, par. 3, e 15] del Regolamento, nei termini di cui in motivazione;

ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, si prescrive al titolare del trattamento di conformarsi, entro il termine di 60 giorni dalla data di notifica del presente provvedimento, alle prescrizioni contenute al paragrafo 3.2. del presente provvedimento;

SI DETERMINA

di archiviare la contestazione adottata nei confronti di Techpartner s.r.l. con la nota del 30/01/2025, limitatamente alla violazione degli artt. 5, par. 1, lett. a), 88 del Regolamento e 114 del Codice;

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al predetto titolare del trattamento, di pagare la somma di euro 25.500,00 (venticinquemila e cinquecento) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione.

SI INGIUNGE

al predetto titolare del trattamento, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 25.500,00 (venticinquemila e cinquecento), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato.

SI DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 20 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori