Un cittadino norvegese, ex dipendente di una azienda, ha denunciato al Garante l'azienda presso cui aveva lavorato in precedenza dopo aver scoperto che l'ex datore di lavoro aveva modificato la password e continuato ad accedere all'account email ogni giorno per un periodo di 6 settimane dopo la fine del rapporto di lavoro. L'accesso del manager a questo account si è prolungato per un periodo di cinque mesi. L'azienda ha giustificato tale accesso e la mancata chiusura dell'account email aziendale dell'ex dipendente con la necessità per l'impresa di continuare a seguire i clienti e gestire le loro richieste anche dopo l'interruzione del rapporto di lavoro tra impresa e il dipendente denunciante.

Il Garante per la protezione dei dati norvegese ha rilevato l'assenza di una valida base giuridica a giustificare l'accesso all'account email secondo le modalità con cui questo è avvenuto e si è prolungato nel tempo. L'azienda cioè ha ottenuto l'accesso all'account del denunciante in violazione delle norme che regolano l'accesso agli account email dei dipendenti e ad altro materiale elettronico, nonchè in violazione delle previsioni del GDPR.

All'azienda viene anche contestato di non aver adempiuto all'obbligo,

• di fornire le informazioni, derivante dall'art 13 del GDPR;
• di cancellare i contenuti dell'account di posta, derivante dall'art 17 del GDPR;
• al dovere di prendere in considerazione le obizioni sollevate dal denunciante, derivante dall'art 21 GDPR.

Infine il Garante ha sottolineato come l'azienda non avesse proceduto a stabilire precise procedure di accesso alla posta elettronica, la cui previsione invece "creerebbe consapevolezza e promuoverebbe il rispetto della normativa".

Alla luce di quanto rilevato quindi, l'authority norvegese ha imposto all'azienda di stabilire e implementare misure e procedure di controllo interno per l'accesso agli account di posta elettronica sia dei dipendenti che degli ex dipendenti, sanzionando l'accesso e le modalità di uso dell'account di posta del denunciante con un'ammenda di 15.000 euro.

Fonte: European Data Protection Board