El procesamiento ilícito de los datos de dos ex empleados le costó muy caro a una empresa de Piacenza. El 25 de marzo de 2022, dos exempleados de un centro de reparación presentaron una denuncia alegando violaciones del Reglamento (GDPR) y, en particular, del “actividad continua de las cuentas individuales de la empresa durante varios meses después de la terminación de la relación laboral, con acceso simultáneo a los mensajes recibidos en ellas”. Además, se quejaron de la imposibilidad de ejercer el derecho de acceso al contenido de las citadas cuentas debido al borrado de sus contenidos. Además, según los denunciantes, la empresa no les proporcionó información adecuada sobre el tratamiento de datos relacionados con el correo electrónico.
La investigación constató, efectivamente, que tras la extinción de la relación laboral el Responsable mantuvo activas, durante algunos meses, las cuentas de correo electrónico individualizadas asignadas a los denunciantes; las mismas cuentas fueron accedidas, en ese lapso de tiempo, por el presidente del directorio, representante legal de la Sociedad, “con el fin de garantizar la continuidad operativa de la empresa, dada la relevancia de las comunicaciones corporativas recibidas, teniendo en cuenta también el protagonismo desempeñado por los antiguos empleados”.
Al emitir el disposición de 7 de marzo de 2024, la Autoridad reiteró que el intercambio de correspondencia electrónica en una cuenta de empresa individualizada, ajena o no al trabajo, constituye una operación que permite conocer algunos datos personales relativos al interesado. Sin embargo, afirmar que el representante legal se habría limitado a solicitar comunicaciones especialmente importantes para la continuidad del negocio -sin consultar las demás- no es suficiente para licitar el tratamiento de datos. De hecho, la búsqueda de las comunicaciones que la Compañía consideraba relevantes se realizaba siempre tras acceder a todos los mensajes contenidos en los buzones. A este respecto, el Garante precisa que incluso los datos externos de las propias comunicaciones y los archivos adjuntos, además del contenido de los mensajes de correo electrónico, se refieren a formas de correspondencia respaldadas por garantías de secreto también protegidas constitucionalmente (artículos 2 y 15). de la Constitución).
Sin embargo, habría sido lícito limitarse a mantener las cuentas asignadas a los denunciantes, activando al mismo tiempo un mensaje de respuesta automática destinado a informar a terceros de la inminente desactivación de las cuentas y de la posibilidad de contactar con otros y diferentes e -direcciones de correo electrónico, y esto sólo por un tiempo proporcionado a las necesidades de continuidad de la actividad realizada por la Empresa. También se deberían haber adoptado medidas adecuadas para impedir el acceso a los mensajes entrantes y su visualización durante el período en que este sistema automático estuvo en funcionamiento (Indicaciones reiteradas varias veces por el Garante: Ver, entre otros, doc. web n.º 9978536; web doc. núm. 8159221, punto 3.4).
Por tanto, la Autoridad impuso una sanción administrativa al Responsable del tratamiento ya que éste mantuvo activas las cuentas de correo electrónico individualizadas de la empresa tras la extinción de la relación laboral, accediendo a sus contenidos. La operación de tratamiento ilícito, entre otras cosas, derivó en una multa de veinte mil euros, con derecho a resolver el litigio pagando, dentro de plazo, una cantidad igual a la mitad de la misma. [Provvedimento del 7 marzo 2024 [10009004], Registro de medidas n. 140 de 7 de marzo de 2024].
