Provvedimento GPDP n. 534 del 25 settembre 2025

Provvedimento GPDP n. 534 del 25 settembre 2025 / Indirizzo di posta condiviso non è conforme Regolamento

ID 24916 | 13.11.2025 / In allegato

Il trattamento dei dati personali effettuato dalla Società e segnatamente l’attivazione di un indirizzo di posta formalmente individualizzato intestato al reclamante, ma rendendolo, di fatto, un account condiviso tra una molteplicità indefinita di soggetti che, per più di tre anni, lo hanno utilizzato per esigenze che la Società ha definito “organizzative/produttive”, risulta non conforme alla disciplina di protezione dei dati personali e in particolare in violazione degli artt. 5, par. 1, lett. a), b), c), d), 6, 13, 25, 32 del Regolamento.

La violazione, accertata nei termini di cui in motivazione, non può essere considerata “minore”, tenuto conto della natura e della gravità della violazione stessa che ha riguardato, tra l’altro, i principi generali del trattamento, la maniera in cui l’autorità di controllo ha preso conoscenza della violazione (v. Considerando 148 del Regolamento).

L’Autorità ha altresì ritenuto che il livello di gravità della violazione sia medio, alla luce di tutti i fattori rilevanti nel caso concreto, e in particolare la natura, la gravità e la durata della violazione, tenendo in considerazione la natura, l’oggetto o la finalità del trattamento in questione nonché il numero di interessati e il livello di danno subito.

L’Autorità ha preso in considerazione i criteri relativi al carattere doloso o colposo della violazione e le categorie di dati personali interessate dalla violazione nonché la maniera in cui l’autorità di controllo ha preso conoscenza della violazione (v. art. 82, par. 2, e Considerando 148 del Regolamento).

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2, del Regolamento si dispone la predisposizione dei documenti contenenti le informazioni sui trattamenti relativi agli account di posta elettronica aziendale in modo che il contenuto descriva operazioni di trattamento conformi alla disciplina di protezione dei dati personali e l’irrogazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. f), g) e i) del Regolamento.
...
segue allegato

Collegati