Ordinanza ingiunzione nei confronti di Reweb s.r.l. – 11 gennaio 2023
Ordinanza ingiunzione nei confronti di Reweb s.r.l. – 11 gennaio 2023
Registro dei provvedimenti
n. 8 dell’11 gennaio 2023
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;
VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);
VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);
VISTO il reclamo presentato ai sensi dell’art. 77 del Regolamento in data 25 febbraio 2019 e spontaneamente regolarizzato il 17 aprile 2019 dalla Sig.ra XX nei confronti di Reweb s.r.l.;
ESAMINATA la documentazione in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;
RELATORE il prof. Pasquale Stanzione;
PREMESSO
1. Il reclamo nei confronti della Società e l’attività istruttoria.
Con reclamo del 25 febbraio 2019, poi regolarizzato spontaneamente il 17 aprile 2019, la Sig.ra XX ha lamentato presunte violazioni del Regolamento da parte di Reweb s.r.l. (di seguito, la Società), con riferimento alla persistente attività dell’account di posta elettronica aziendale rimasto attivo dopo l’interruzione del rapporto di collaborazione e alla effettuazione di accessi al medesimo account.
Con nota dell’8 luglio 2019, nel fornire riscontro alle richieste dell’Ufficio, la Società ha dichiarato che:
“a partire dal marzo 2018, intercorrevano tra la società Reweb s.r.l. e IT Distribuzione Soc. Coop. trattative volte a definire l’acquisizione di quest’ultima da parte della prima” (v. nota 8/7/2019 cit., p. 1);
la reclamante, esponente di IT Distribuzione Soc. Coop, “partecipava unitamente a Reweb s.r.l. alla fiera dell’automazione Save […], con il compito di collaborare con [Reweb s.r.l.] alla promozione di un fornitore comune; con l’accordo che […] la [reclamante] avrebbe collaborato, spendendo il nome di Reweb s.r.l.” (v. nota cit., p. 1, 2);
“veniva attivato in data 19 ottobre 201[8] l’indirizzo di posta elettronica XX, per consentire alla stessa di relazionarsi, come da accordi, con i potenziali clienti conosciuti all’evento” (v. nota cit., p. 2);
“in data 23 dicembre 201[8] la trattativa intercorsa tra Reweb s.r.l. e IT Distribuzione Soc. Coop. veniva interrotta” (v. nota cit., p. 2);
“in data 14 gennaio 2019 la [reclamante] chiedeva la disattivazione dell’indirizzo di posta elettronica [a lei assegnato]” (v. nota cit., p. 2);
“in data 31 gennaio 2019 Reweb s.r.l. riscontrava la [reclamante], informandola che l’indirizzo di posta elettronica sarebbe rimasto attivo il tempo necessario a riscontrare chi, tra i potenziali clienti conosciuti alla […] fiera Save, avesse tentato di contattare la stessa Reweb s.r.l.” (v. nota cit., p. 2);
“seguivano ulteriori solleciti della [reclamante], anche tramite Pec del 18 febbraio 2019” (v. nota cit., p. 2);
“l’account di posta elettronica veniva così disattivato a fine del mese di febbraio 2019” (v. nota cit., p. 2);
“si precisa che dal 14 gennaio 2019 sino alla data di disattivazione nessun messaggio è stato inviato dalla casella [di posta in esame] né è stato ricevuto, fuorché quelli inviati dalla [reclamante] stessa, evidentemente al fine di verificare la chiusura dello stesso” (v. nota cit., p. 2);
“non si è ritenuto di impostare un messaggio di risposta automatico per avvisare i mittenti dell’imminente disattivazione dell’indirizzo e della non riconducibilità dello stesso alla [reclamante]; tali informazioni sono state fornite ai potenziali clienti conosciuti alla fiera Save direttamente da personale Reweb s.r.l., tramite messaggi di posta elettronica personalizzati” (v. nota cit., p. 2);
“il motivo per cui non si è proceduto immediatamente alla disattivazione dell’indirizzo di posta elettronica consiste nell’esercizio, da parte di Reweb s.r.l., non solo nell’interesse, che si ritiene senz’altro legittimo, di non interrompere ex abrupto i contatti con i clienti che la [reclamante] aveva contattato agendo per conto di Reweb s.r.l. stessa, spendendone il nome, ma altresì per tutelare l’interesse – altrettanto legittimo – del titolare dell’esercizio dei propri diritti in sede giudiziaria” (v. nota cit., p. 2);
“è infatti pendente la causa [dinanzi al] Tribunale di Reggio Emilia, tra Reweb s.r.l. e IT Distribuzione Soc. Coop., avente per oggetto il risarcimento del danno per responsabilità precontrattuale. […] rilevante nella ricostruzione dei fatti da cui discende la responsabilità precontrattuale di IT Distribuzione, è proprio il comportamento assunto dalla [reclamante] nei rapporti con i potenziali clienti incontrati alla fiera Save […], intrattenuti per il tramite dell’indirizzo di posta elettronica [in esame]” (v. nota cit., p. 3);
“il trattamento svolto da Reweb sull’indirizzo di posta elettronica [assegnato alla reclamante] risulta pertanto lecito, in quanto giustificato da un duplice, legittimo interesse del titolare: in primo luogo, consentire la provvisoria gestione della clientela potenziale e, in secondo luogo, consentire la tutela dei propri diritti in sede giurisdizionale” (v. nota cit., p. 3);
“ad ogni conto, a oggi, l’indirizzo […] è stato […] disattivato” (v. nota cit., p. 3).
Al riscontro dell’8 luglio 2019 la Società ha allegato, inoltre, copia dell’atto di citazione notificato a IT Distribuzione.
Il 12 marzo 2020, a seguito di una richiesta di ulteriori chiarimenti inviata da questo Dipartimento, la Società ha dichiarato che:
– “l’uso della casella di posta elettronica ordinaria [assegnata alla reclamante] è stato limitato nel tempo e finalizzato esclusivamente alla tutela dei rapporti commerciali con la clientela contattata dalla [reclamante] in nome e per conto di Reweb s.r.l. […] nonché per la tutela dei diritti di Reweb s.r.l. in sede giudiziaria” (nota 12/3/2020 cit. p. 1);
– “il contenzioso tra Reweb s.r.l. e IT Distribuzione Soc. Coop. in ordine alla responsabilità precontrattuale di quest’ultima è in essere, giudizialmente, dal 18 marzo 2019 […] mentre la controversia, in via stragiudiziale, è senz’altro più risalente, almeno dal mese di dicembre 2018” (nota cit., p. 2).
Agli ulteriori chiarimenti la Società ha allegato anche copia del “regolamento d’utilizzo della posta elettronica” precisando che lo stesso regolamento “non [è] fornito di data certa, ma esposto nella Bacheca di Reweb s.r.l. e perfettamente conoscibile” nonché copia delle e-mail inviate in date antecedenti la cessazione del rapporto intercorrente tra la reclamante e la Società (datate 6.11.2018, 30/10/2018, 6/11/2018, 14/11/2018, 27/11/2018, 3/12/2018).
In data 2 aprile 2020 la reclamante ha inviato un’integrazione al reclamo contenente le proprie controdeduzioni.
In data 9 novembre 2020 la Società, a seguito di un invito a fornire un ulteriore riscontro, ha dichiarato che:
– “i dati relativi all’utilizzo dell’account di posta elettronica dedicato alla [reclamante] sono stati raccolti esclusivamente per la finalità di consentire alla stessa, nell’ottica della collaborazione che stava per essere intrapresa […] di intrattenere i rapporti commerciali e negoziali con i potenziali clienti procacciati nell’interesse di Reweb s.r.l.; tutti i messaggi contenuti nella casella di posta elettronica sono stati conservati, in formato digitale, per circa un mese dalla cessazione del rapporto, e collocati su un servizio cloud fornito da Microsoft, denominato «Microsoft 365»” (nota 9/11/2020 cit., p.1);
– “quando la [reclamante] comunicò a Reweb s.r.l. l’intenzione di interrompere la collaborazione […], la stessa chiese a Reweb s.r.l. di cancellare immediatamente la suddetta casella di posta elettronica; di contro, Reweb s.r.l. le comunicava come la casella di posta elettronica sarebbe stata tenuta attiva, per un altro mese circa, in modo da reindirizzare i messaggi di posta elettronica provenienti dai potenziali clienti procacciati per conto di Reweb s.r.l. ad altri dipendenti, onde proseguire con le fasi di negoziazione, e solo per tale finalità” (nota cit., p. 2);
In data 1° dicembre 2020 la reclamante ha presentato ulteriori controdeduzioni.
In data 1° luglio 2021, a seguito di richiesta del Dipartimento, la Società ha ulteriormente dichiarato che “il reindirizzamento delle comunicazioni veniva impostato sull’indirizzo del […], direttore commerciale, proprio allo scopo di non perdere quei potenziali clienti con i quali la [reclamante] aveva preso contatti durante la Fiera Save tenutasi nell’ottobre 2018” (nota cit., p. 1, 2).
2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e le deduzioni della Società.
Il 28 settembre 2021 l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione alla Società delle presunte violazioni del Regolamento riscontrate, con riferimento agli artt. 5, par. 1, lett. a) e c), 6, 12, 13, 17, 88 del Regolamento, 113 e 114 del Codice.
Con gli scritti difensivi inviati in data 28 ottobre 2021, la Società ha dichiarato che:
– “la [reclamante] sarebbe dovuta divenire la responsabile della divisione Industrial IOT dell’esponente” (v. nota 28/10/2021 cit., p. 2);
– l’indirizzo e-mail assegnato alla reclamante “veniva indicato sul bigliettino da visita fatto stampare specificamente per la fiera SAVE, e recante il nominativo appunto della [reclamante]. Detto account veniva dunque creato in data 19.10.2018 unicamente allo scopo di seguire i clienti della fiera SAVE” (v. nota cit., p. 2);
– “in data 21.12.2018 (oltre 2 mesi dopo la fiera SAVE), si interrompevano le trattative ma si lasciavano comunque aperti altri spazi di collaborazione” (v. nota cit., p. 2);
– “solo in data 14.01.2019, la [reclamante] comunicava di non volere dare seguito all’attività di recall sui nominativi del Save […] e chiedendo dunque la disattivazione dell’indirizzo di posta elettronica [a lei assegnato]” (v. nota cit., p. 2);
– “la […] disattivazione [dell’account] veniva richiesta successivamente alla cessazione delle trattative per l’acquisizione della società, e nella stessa comunicazione con cui si terminavano i rapporti di collaborazione relativi a detta fiera” (v. nota cit., p. 2);
– “la suddetta comunicazione aveva natura informale e veniva inviata al […] responsabile commerciale […], non al legale rappresentante della società” (v. nota cit., p. 3);
– “in data 31.01.2019, il [direttore commerciale] riscontrava informalmente la [reclamante], informandola che l’indirizzo di posta elettronica sarebbe rimasto attivo il tempo necessario a riscontrare chi, tra i potenziali clienti, avesse tentato di contattare la stessa Reweb S.r.l. […]. Alla successiva e formale richiesta del 18.02.2019, inviata via PEC e dunque direttamente alla società stessa, questa, per mezzo del sottoscritto procuratore, comunicava in data 26.02.2019 che il trattamento dei dati effettuati da Reweb S.r.l., adottato secondo tutte le prescrizioni previste dalla legge, era riconducibile all’esigenza di non pregiudicare la possibilità della società di fare valere i propri diritti in sede giudiziaria. Nei giorni successivi, l’account veniva disattivato e poco dopo la società notificava atto di citazione innanzi al Tribunale di Reggio Emilia, con domanda di accertamento e condanna per responsabilità precontrattuale, a fronte della condotta della [reclamante] la quale dapprima aveva contattato i nominativi (raccolti alla fiera SAVE) sotto il nome di Reweb, essendo lo stand alla fiera a nome di Reweb, per poi comunicare che gli articoli sarebbero stati fatturati da IT Distribuzione […]. Domanda giudiziaria per la cui proposizione, si rendeva necessario non eliminare da subito l’account della [reclamante]” (v. nota cit., p. 3);
– “la [reclamante] non ha mai svolto mansioni da dipendente né è mai stata inquadrata come tale” (v. nota cit., p. 3);
– “fino alla data del 14.01.19, la casella [assegnata alla reclamante] era sempre stata accessibile solo alla [reclamante] stessa, e anche successivamente mai nessun altro aveva effettuato alcun accesso a quella casella; quell’indirizzo veniva infatti inoltrato su quello del [direttore commerciale], il che significa che questi avrebbe ricevuto unicamente quelle eventuali mail che qualcuno che conoscesse l’indirizzo [assegnato alla reclamante] avrebbe inviato a quell’indirizzo. E si è detto che quel “qualcuno” non poteva che essere chi, alla fiera SAVE, aveva ricevuto il bigliettino da visita con tale indirizzo mail dalla stessa [reclamante]” (v. nota cit., p. 4);
– “il regolamento d’uso della posta elettronica aziendale viene sempre fatto sottoscrivere alla data della formalizzazione del rapporto di lavoro, sia dipendente sia non dipendente (agenti, consulenti, etc)” (v. nota cit., p. 4);
– “il motivo per cui detto regolamento non era stato fatto preventivamente sottoscrivere alla [reclamante] era unicamente il fatto che, alla data del SAVE 2018, questa non aveva ancora firmato un contratto di assunzione che in quello specifico momento sembrava assolutamente imminente (stante la fase molto avanzata delle trattative)” (v. nota cit., p. 4);
– “analoghe previsioni sono altresì contenute nella guida della sicurezza firmata dai dipendenti assunti nel 2013 e 2014” (v. nota cit., p. 5);
– “nessun utilizzo privato avrebbe potuto e dovuto essere effettuato dalla [reclamante]” (v. nota cit., p. 6);
– “per quanto riguarda poi la presunta assenza di un criterio di legittimazione per la conservazione delle e-mail inviate dalla reclamante, si rileva che il trattamento è avvenuto in conformità a quanto previsto dalla normativa in materia di protezione di dati personali” ed in proposito vengono richiamati gli artt. 6, par. 1, lett. f) e 21, par. 1, lett. f), del Regolamento (v. nota cit., p. 6);
– “nel caso in esame è stato posto in essere un bilanciamento tra il diritto di ciascun interessato alla cancellazione dei propri dati personali e il diritto del titolare a tutelare i propri diritti, anche in via giudiziaria; bilanciamento che non potrà che essere ritenuto proporzionato, anche a fronte della tipologia di dati personali trattati, non rientranti neppure tra quelli c.d. “particolari”” (v. nota cit., p. 7);
– “con riferimento […] alla mancata attivazione di un sistema automatico di risposte, si è fornita prova del fatto che in data 15.01.19, e dunque esattamente il giorno successivo alla richiesta (informale) di disattivazione, la società Reweb provvedeva a comunicare immediatamente ai nominativi dei clienti raccolti alla fiera SAVE […] che la [reclamante] non collaborava più con l’esponente e pertanto di fare riferimento al personale della Reweb” (v. nota cit., p. 8);
– “la società ha sempre dato pronto riscontro alle richieste della [reclamante] (il fatto che dette richieste non siano state immediatamente accolte, è questione ben diversa […])” (v. nota cit., p. 8);
– “la prima richiesta inviata in data 14.01.2019, che si è detto avere natura informale ed essere peraltro inserita in una più ampia comunicazione in cui si accennava appena a tale indirizzo mail, vertendo infatti la comunicazione sull’intenzione di non dare più seguito all’attività di recall sui nominativi del Save, veniva riscontrata in data 31.01.2019, e dunque ampiamente nel termine dei 30 giorni di cui alla norma. La richiesta formale di cancellazione, inviata a mezzo PEC in data 18.02.2019, veniva riscontrata in data 26.02.2019, nuovamente dunque nei termini” (v. nota cit., p. 8);
– “tutti i dipendenti e i collaboratori sottoscrivano un preciso regolamento sull’utilizzo degli account di posta elettronica, al momento della sottoscrizione del contratto di lavoro, nonché […] tale regolamento era comunque affisso presso la bacheca aziendale e […] lo stesso prevedeva il divieto di utilizzo dell’account di posta per scopi non lavorativi (il che viene detto anche per quanto concerne l’art. 83, par. 2, lett. d). […] al momento dell’attivazione dell’account della [reclamante], le trattative per la sua assunzione (e per l’acquisizione della sua azienda) erano in una fase avanzatissima, e […] l’interruzione di tali trattative […] ha condotto all’instaurazione di un procedimento civile di condanna per responsabilità precontrattuale, per la cui proposizione è stato necessario conservare l’account de quo (ciò viene detto per quanto concerne l’art. 83, par. 2, lett. a, per cui è fondamentale rilevare altresì che il trattamento riguarda un solo interessato). Per tale disposizione del Regolamento, nonché per quanto è previsto dalla lettera g), si specifica che i dati personali de quibus non rientrano nella categoria dei dai particolari e che gli stessi consistono unicamente nell’indirizzo mail composto dal cognome e dalla prima lettera del nome […]; che la durata complessiva del trattamento è stata di neppure cinque mesi, dalla metà dell’ottobre 2018 alla fine del febbraio 2019; che dalla prima richiesta informale di cancellazione all’effettiva cancellazione non è trascorso più di un mese e mezzo, nel corso del quale si è provveduto a comunicare a tutti i contatti raccolti, unici soggetti a conoscenza di tale indirizzo mail, che lo stesso non poteva più essere associato alla [reclamante] che non collaborava più con Reweb; che dalla formale richiesta di cancellazione via PEC all’effettiva cancellazione, trascorrevano appena due settimane; che un mese dopo la richiesta formale veniva depositato l’atto introduttivo del giudizio civile. Si ritiene dunque che, se dovesse essere ravvisata una qualche violazione, la stessa non potrà che essere ricondotta a una colpa della Reweb e non già a un suo dolo, essendo la stessa pienamente convinta di potere mantenere attiva la casella per potere accertare il proprio diritto in sede giudiziaria, nonché per tutelare esclusivamente i rapporti commerciali con la clientela contattata dalla [reclamante] per conto di Reweb alla fiera SAVE 2018 (ciò viene detto per quanto concerne l’art. 83, par. 2, lett. b). Si rileva poi che: si tratta del primo procedimento da parte del Garante (ciò viene detto per quanto concerne l’art. 83, par. 2, lett. i), che l’autorità ha preso conoscenza della violazione tramite un reclamo dell’interessato (art. 83, par. 2, lett. h), e che Reweb ha sempre collaborato con l’Autorità riscontrando prontamente le richieste di chiarimenti e di produzione documentale (art. 83, par. 2, lett. f). Da ultimo, giusta la previsione dell’art. 83, par. 2, lett. d), si produce stampa dell’informativa privacy” (v. nota cit., p. 9, 10).
A seguito della richiesta della Società, in data 21 aprile 2022 si è tenuta l’audizione della stessa. In tale occasione la parte ha rappresentato che:
– “la società non ha instaurato alcun rapporto di collaborazione con la reclamante. A partire da marzo-aprile 2018 erano state avviate trattative tra la società Reweb s.r.l. e IT Distribuzione per l’acquisizione di quest’ultima da parte della società”;
– “la società inviò una e-mail ai contatti raccolti presso lo stand della fiera (circa 50, 60) precisando che la reclamante non agiva più per conto di Reweb […]. Alla reclamante fu risposto che l’account sarebbe stato reindirizzato in ricezione al direttore commerciale della società”;
– “l’attivazione dell’account è avvenuta non nell’ambito di un rapporto di lavoro, bensì nella prospettiva dell’acquisizione di ramo d’azienda e successiva assunzione della [reclamante]”;
– “dalla data del 23 dicembre 2018 fino a fine gennaio 2019 sono stato assente dall’azienda […]. Solo successivamente pertanto ho potuto esaminare le comunicazioni della reclamante. La richiesta informale di disattivazione dell’account è stata rivolta dalla reclamante ad altro dipendente e riscontrata nel giro di quindici giorni”….
FONTE UFFICIALE: GPDP