Il Garante per la protezione dei dati personali ha inflitto sanzioni per complessivi 740mila euro a Piaggio & C. e Altroconsumo Edizioni. I due procedimenti riguardano attività differenti, dalla gestione della posta aziendale all’invio di messaggi promozionali, ma convergono sullo stesso limite: le esigenze organizzative, commerciali o di tutela dell’impresa non bastano, da sole, a giustificare il trattamento dei dati personali.
A Piaggio & C. è stata comminata una multa da 460mila euro per le modalità di accesso e conservazione delle caselle email di alcuni dipendenti. L’istruttoria, avviata dopo i reclami di due ex lavoratori, ha accertato l’acquisizione di 112 messaggi durante il rapporto di lavoro, nell’ambito di verifiche sulla possibile esistenza di comportamenti illeciti. Alcune comunicazioni risalivano a circa due anni prima rispetto alla comparsa dei sospetti.
Il controllo era sostenuto da un sistema di raccolta particolarmente esteso. Piaggio eseguiva il backup della posta elettronica per l’intera durata del rapporto e conservava i dati fino a cinque anni dopo la sua cessazione, mentre i log degli accessi rimanevano disponibili per sei mesi. Il Garante ha ritenuto tali periodi eccessivi rispetto alle finalità dichiarate e incompatibili con i principi di limitazione della conservazione, minimizzazione e trasparenza stabiliti dal GDPR. Sono emerse inoltre carenze nelle informazioni destinate ai lavoratori su finalità e basi giuridiche del trattamento.
La protezione del patrimonio aziendale, la continuità operativa e la verifica di eventuali illeciti restano esigenze ammesse, ma devono tradursi in controlli proporzionati, circoscritti e accompagnati da procedure trasparenti. Una conservazione indiscriminata delle comunicazioni può invece trasformare l’archivio digitale in uno strumento di controllo retrospettivo generalizzato, in contrasto sia con il GDPR sia con le garanzie dello Statuto dei lavoratori. Nel caso Piaggio, l’Autorità ha contestato anche la mancata risposta alle richieste degli ex dipendenti sulla disattivazione degli account, dichiarando illecito il trattamento e vietando ulteriori accessi ai dati raccolti tramite quei sistemi.
Il secondo provvedimento impone ad Altroconsumo Edizioni una sanzione da 280mila euro. Il procedimento è nato dal reclamo di un cittadino che continuava a ricevere email promozionali nonostante avesse chiesto di non essere più contattato. L’interessato affermava inoltre di non avere completato la procedura per diventare socio, mentre la società non sarebbe riuscita a dimostrare la corretta costituzione del rapporto contrattuale indicato come fondamento del trattamento.
Gli accertamenti hanno individuato criticità nel sistema di registrazione online: quando l’utente non confermava la creazione dell’account, il rapporto poteva essere comunque considerato perfezionato e l’indirizzo utilizzato per finalità di marketing. Il semplice inserimento di un’email in un modulo, però, non equivale automaticamente alla conclusione di un contratto e non fornisce un’autorizzazione implicita all’invio di promozioni. Sono state riscontrate anche difficoltà nel garantire risposte tempestive ed effettive alle richieste di esercizio dei diritti, materia sulla quale Altroconsumo era già stata destinataria di un precedente provvedimento.
L’Autorità ha ordinato alla società di interrompere il trattamento dei dati delle persone che non hanno confermato l’account e di adeguare le procedure. I due casi descrivono così una conformità che deve essere incorporata nei sistemi: tempi di conservazione definiti, accessi limitati, basi giuridiche dimostrabili e strumenti realmente funzionanti per gli utenti. Un’informativa o una casella da selezionare non compensano processi configurati in modo scorretto; quando tali processi operano su larga scala, una debolezza procedurale può diventare una violazione strutturale della privacy.