Il Garante per la protezione dei dati personali ha reso pubbliche due sanzioni amministrative distinte, entrambe legate a un uso scorretto della posta elettronica. Piaggio & C. Spa dovrà versare 460mila euro per la gestione delle caselle aziendali di due ex dipendenti, mentre Altroconsumo Edizioni Srl è stata sanzionata per 280mila euro per l’invio di comunicazioni commerciali prive di un consenso valido. I due provvedimenti, sebbene riguardino settori diversi, condividono lo stesso nodo di fondo, cioè un uso dei dati personali che si è protratto oltre i limiti previsti dal Regolamento europeo.
Il caso Piaggio e l’accesso alla posta elettronica aziendale
Due ex dipendenti, licenziati per giusta causa, avevano segnalato al Garante gli accessi eseguiti dall’azienda alle proprie caselle di posta individualizzate.
Dall’istruttoria è emerso che Piaggio aveva acquisito complessivamente 112 email, 18 da una casella e 94 dall’altra, nell’ambito di quelli che l’azienda ha definito controlli difensivi finalizzati a verificare condotte illecite a proprio danno.
Il punto critico riguarda però la collocazione temporale di queste email, alcune delle quali risalivano a circa due anni prima che la società maturasse un sospetto concreto sui due dipendenti. Secondo l’orientamento della Cassazione richiamato nel provvedimento, i controlli difensivi in senso stretto sono ammessi solo quando riguardano dati acquisiti successivamente all’insorgere del sospetto, così da bilanciare la tutela del patrimonio aziendale con la riservatezza del lavoratore. Nel caso Piaggio questa condizione non risultava rispettata, perché la raccolta era stata condotta a ritroso nel tempo su un archivio già esistente, reso disponibile da una conservazione sistematica della corrispondenza aziendale che l’azienda manteneva per finalità del tutto indipendenti dal singolo procedimento disciplinare.
I tempi di conservazione contestati dal Garante
Alla base della possibilità di ricostruire due anni di scambi email c’era una prassi di backup che copriva l’intera durata del rapporto di lavoro e i cinque anni successivi alla cessazione, accompagnata da log di accesso conservati per sei mesi. L’Autorità ha giudicato questi termini eccessivi rispetto alle finalità dichiarate, rilevando inoltre carenze nelle informazioni fornite ai dipendenti sulle basi giuridiche del trattamento e la mancata risposta alle richieste di conferma della disattivazione degli account avanzate dagli ex dipendenti dopo il licenziamento. Nel corso del procedimento Piaggio ha ridotto la conservazione della posta a tre mesi dopo la cessazione del rapporto e quella dei log a ventuno giorni, un intervento che il Garante ha valutato positivamente pur confermando le violazioni degli artt. 5, 6, 12, 13, 17 e 88 del Regolamento e dell’art. 114 del Codice privacy.
Il Garante ha vietato a Piaggio l’accesso ai dati raccolti e conservati sui propri sistemi e ha disposto la sanzione di 460mila euro, tenendo conto anche della natura vulnerabile degli interessati coinvolti in quanto dipendenti dell’azienda.
Il caso Altroconsumo e il marketing senza consenso
Il secondo provvedimento nasce dal reclamo di un utente che lamentava la ricezione di email promozionali da parte di Altroconsumo Edizioni, pur non avendo mai completato la procedura di registrazione al sito dell’associazione.
Il nodo centrale riguarda la conferma dell’account, che la società considerava un passaggio tecnico secondario mentre il Garante lo ha qualificato come un vero meccanismo di double opt-in non completato.
Senza quella conferma, secondo l’Autorità, il rapporto contrattuale invocato da Altroconsumo per giustificare l’invio delle comunicazioni non risultava validamente costituito, e le email inviate configuravano quindi un trattamento privo di base giuridica ai sensi degli artt. 6 e 7 del Regolamento e dell’art. 130 del Codice. A complicare la posizione della società ha contribuito anche la gestione del diritto di opposizione, esercitato dall’utente già a settembre 2025 ma rimasto senza seguito per settimane, oltre al mancato riscontro a una richiesta di informazioni formulata dall’Ufficio del Garante, violazione punita separatamente ai sensi dell’art. 157 del Codice. La sanzione finale, pari a 280mila euro, deriva dalla somma di 180mila euro per le violazioni sul marketing e 100mila euro per l’omessa collaborazione con l’Autorità, a cui si aggiunge l’ordine di cessare il trattamento dei dati di chi non ha confermato la propria registrazione.
