Sanzionata Techpartner per 25mila euro: violati i diritti di un ex dipendente

Account posta elettronica attivi e accessibili dopo la fine del rapporto di lavoro

Il Garante Privacy ha sanzionato per complessivi 25.500 euro Techpartner Srl, società con sede a Modena specializzata nella fornitura di attrezzature per l’industria alimentare.
Con il provvedimento (n. 796 del 20 ottobre 2026) l’Autorità ha accertato in particolare il ritardo nel riscontro alla richiesta di accesso ai dati personali di un ex dipendente e le modalità di gestione degli account di posta elettronica aziendale, dopo la cessazione del rapporto di lavoro.
L’istruttoria è stata avviata a seguito del reclamo di un ex lavoratore che lamentava di non aver ricevuto un riscontro adeguato alla richiesta di conoscere i propri dati personali trattati dalla società a partire dal 2013.
Dagli accertamenti è emerso che l’azienda aveva risposto soltanto dopo nove mesi dalla richiesta, ben oltre il termine di un mese previsto dal Regolamento europeo sulla privacy, e comunque dopo l’avvio dell’istruttoria da parte dell’Autorità. Per questa violazione il Garante ha comminato una sanzione di 9.500 euro, chiarendo che una richiesta di accesso ai dati personali deve ricevere riscontro nei termini previsti dalla normativa anche quando è inserita in un’istanza più ampia riguardante questioni lavorative.
Ulteriori criticità sono state riscontrate nella gestione della posta elettronica aziendale.
I regolamenti interni prevedevano infatti di mantenere attivi per diversi mesi gli account di posta elettronica degli ex dipendenti, consentendo anche la consultazione dei messaggi da parte della società, per assicurare – secondo quanto dichiarato – la continuità dell’attività aziendale. Per tali irregolarità è stata applicata un’ulteriore sanzione di 16.000 euro. Il Garante ha infatti riaffermato che, dopo la cessazione del rapporto di lavoro, gli account devono essere disattivati e rimossi, prevedendo sistemi automatici per informare i mittenti e fornire recapiti alternativi, nonché misure per impedire al datore di lavoro di leggere i messaggi in arrivo.
La società, inoltre, entro 60 giorni dovrà adeguare i disciplinari interni sull’utilizzo degli strumenti informatici.
Non sono state invece accertate violazioni in merito alle ulteriori contestazioni del reclamante relative al sistema di videosorveglianza aziendale e alla comunicazione a terzi di informazioni sulla convocazione a una visita medica di idoneità.

Tratto da www.garanteprivacy.it – News del 12/11/2026

Data breach, il Garante privacy sanziona The European House Ambrosetti per 85mila euro – Coinvolte oltre 61mila persone, password non protette e comunicazione tardiva agli interessati

Una sanzione di 85mila euro è stata irrogata dal Garante per la protezione dei dati personali a The European House – Ambrosetti spa, società di consulenza strategica e think tank, per carenze nelle misure di sicurezza. Le criticità sono emerse a seguito di un data breach che ha coinvolto 61.670 persone, tra cui dipendenti di aziende clienti e personale interno che utilizzavano i servizi online. Tardiva anche la comunicazione della violazione agli interessati, avvenuta solo dopo l’intervento dell’Autorità.

L’attacco informatico, riconducibile a un accesso non autorizzato ai sistemi tramite una vulnerabilità tecnica, ha comportato l’esfiltrazione di nomi, cognomi, indirizzi email, username e password. Dagli accertamenti del Garante sono emerse diverse violazioni della normativa privacy. In particolare, la società conservava una parte delle password in chiaro e un’altra mediante tecniche crittografiche non conformi agli standard di sicurezza più avanzati. Conservava inoltre credenziali relative a sistemi non più in uso, in violazione dei principi di limitazione della conservazione e di sicurezza dei dati.

L’Autorità ha anche accertato che la società, pur avendo notificato il data breach entro le 72 ore previste dalla normativa, non ha informato tempestivamente gli interessati, nonostante la violazione potesse rappresentare un rischio elevato per i loro diritti e libertà. La comunicazione agli utenti è avvenuta a distanza di circa due mesi dalla scoperta dell’incidente, solo dopo un provvedimento correttivo del Garante.

Con il provvedimento, il Garante ribadisce la necessità per i titolari del trattamento di adottare misure tecniche e organizzative adeguate e di assicurare una gestione tempestiva e trasparente delle violazioni dei dati personali. Le esigenze reputazionali rappresentate dalla società non possono prevalere sui diritti delle persone coinvolte.

Tratto da www.garanteprivacy.it – News del 21/05/2026

Garante: sì ad accesso proprie email dopo fine rapporto lavoro – Sanzione di 50mila euro ad una compagnia assicurativa

Il lavoratore può accedere ai messaggi del proprio account email aziendale e ai documenti presenti nel pc dopo la fine del rapporto di lavoro. Eventuali limitazioni devono essere motivate da specifiche e comprovate ragioni, come la tutela di segreti aziendali.

È quanto ha affermato il Garante per la protezione dei dati personali accogliendo il reclamo di un ex dipendente di una compagnia assicurativa, che aveva chiesto copia dei messaggi della propria casella di posta elettronica aziendale e dei documenti salvati nel pc. La società aveva effettuato un accesso alla posta elettronica dell’ex dipendente e, dopo averne esaminato il contenuto, aveva fornito esclusivamente i messaggi ritenuti “strettamente personali”, escludendo quelli legati all’attività lavorativa.

Secondo il Garante, il diritto di accesso riguarda tutti i dati personali, comprese le comunicazioni intercorse tramite un account aziendale individualizzato. Non è quindi legittimo selezionare preventivamente i contenuti da fornire né limitarli o oscurarli sulla base della distinzione tra ambito personale e professionale.

L’Autorità ha inoltre rilevato criticità nella gestione dei dati, in particolare per la mancanza di trasparenza nelle informative e per i tempi di conservazione delle email (5 anni) e dei dati di navigazione (12 mesi), ritenuti non proporzionati rispetto alle finalità dichiarate.

Per le violazioni accertate è stata inflitta una sanzione di 50mila euro. Il Garante ha inoltre ordinato di consentire l’accesso integrale ai dati richiesti e di adeguare informative e policy interne alla normativa privacy.

Tratto da www.garanteprivacy.it – News del 15/04/2026

Garante: stop alle telecamere non a norma privacy – Sanzionato il Comune di Mazara del Vallo

Tratto da www.garanteprivacy.it – News del 09/03/2026

Il Garante privacy ha sanzionato per 4mila euro il Comune di Mazara del Vallo per violazioni in materia di protezione dei dati personali.

L’Autorità è intervenuta a seguito del reclamo di un automobilista che aveva ricevuto un verbale di accertamento di violazione al Codice della strada per mancata revisione del veicolo.

Il Comune non ha fornito, nel verbale, alcuna indicazione sulle effettive modalità di accertamento dell’infrazione, rilevata mediante un sistema video non omologato per questa finalità e sulle motivazioni che avevano reso impossibile la contestazione immediata.

A seguito dell’istruttoria, tenendo conto anche della normativa di settore, il Garante ha pertanto rilevato che il Comune ha agito in assenza di un’idonea base giuridica, violando il principio in base al quale i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato”.

Inoltre il Comune non ha fornito agli interessati un’idonea informativa e non ha effettuato la valutazione di impatto prevista.

Pertanto il Garante, nel comminare la sanzione, ha prescritto al Comune di fornire agli interessati un’idonea informativa e di svolgere la valutazione di impatto sulla protezione dei dati personali, prevista dal GDPR in caso di rischi elevati per gli interessati. Tali rischi, derivanti, ad esempio, dall’utilizzo di nuove tecnologie, sono sempre presenti laddove sia effettuata una sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

Garante: l’accesso alla email del lavoratore licenziato vìola la privacy

Tratto da www.garanteprivacy.it – News del 29/01/2026

Il contenuto delle email, i dati di contatto delle comunicazioni e gli eventuali allegati, rientrano nella nozione di corrispondenza e sono quindi tutelati dal diritto alla segretezza. Tale garanzia, riconosciuta anche dalla Costituzione, salvaguarda la dignità della persona e il suo pieno sviluppo nelle relazioni sociali.

Lo ha ribadito il Garante per la protezione dei dati personali, che ha inflitto una sanzione di 40mila euro a una società per violazione della segretezza dell’account email di un amministratore delegato dopo la cessazione del rapporto di lavoro.

Nel reclamo presentato al Garante l’amministratore lamentava che, dopo aver ricevuto una lettera di contestazione disciplinare cui è seguito il licenziamento, l’azienda gli aveva negato l’accesso alla propria casella di posta elettronica aziendale, rimasta attiva. Esercitando i propri diritti, aveva chiesto alla società di disabilitare l’account di posta elettronica, di inoltrare i messaggi ricevuti nel frattempo al suo indirizzo email personale e di attivare una risposta automatica che informasse eventuali mittenti del nuovo indirizzo email. Richiesta tuttavia rimasta inevasa sebbene formulata correttamente ai sensi del GDPR.

Nel corso dell’istruttoria, il Garante ha accertato che l’azienda non solo continuava a ricevere le email indirizzate al lavoratore, ma addirittura le inoltrava ad un altro account di posta elettronica aziendale. Una pratica scorretta che si era protratta per circa due mesi, superando il limite di 30 giorni previsto dalle regole interne dell’azienda.

Tale modalità prolungata nel tempo ha determinato l’accesso e la conservazione di email personali, in violazione della normativa privacy. L’Autorità ha pertanto ordinato alla società di consentire al lavoratore l’accesso al proprio account aziendale di posta elettronica e ne ha disposto la successiva cancellazione, fatta salva la conservazione di quanto necessario per la tutela dei diritti in sede giudiziaria.

Nel definire l’ammontare della sanzione, il Garante ha considerato la tipologia e la durata delle violazioni, il mancato riscontro all’istanza di esercizio dei diritti del lavoratore e l’assenza di precedenti violazioni della normativa privacy da parte della società.

Categorie