[doc. web n. 10272982]

Provvedimento del 3 luglio 2026

Registro dei provvedimenti
n. 482 del 3 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dal Dott. XX Conte nei confronti di UGL Terziario;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1.  Il reclamo nei confronti del sindacato e l’attività istruttoria.

In data 19 gennaio 2023, il dott. XX ha presentato, nei confronti di UGL Terziario, un reclamo ai sensi dell’art. 77 del Regolamento e degli artt. 142 e ss. del Codice, in merito al quale, il 26 gennaio 2023, è stata inviata una comunicazione contenente la precisazione dell’indirizzo pec di UGL Terziario nazionale e, in data 19 settembre 2023, è stata inviata la regolarizzazione, a seguito di invito a regolarizzare dell’Ufficio del 14 settembre 2023. 

Con il reclamo, sono state lamentate presunte violazioni del Regolamento e, in particolare: la persistente attività dell’account “XX” a seguito della dismissione, da parte del reclamante, della carica di dirigente sindacale presso UGL Terziario Roma e Lazio, l’accesso allo stesso da parte di terzi, l’assenza di informativa in merito al trattamento dell’account individualizzato e l’impossibilità di esercitare il diritto di accesso come richiesto in specifica istanza inviata agli indirizzi di posta elettronica sia di UGL Terziario sia di UGL Terziario Roma e Lazio. 

In data 22 maggio 2024, l’Ufficio ha inviato a UGL Terziario una richiesta di informazioni ai sensi dell’art. 157 del Codice. 

In data 1° luglio 2024, per il tramite dell’indirizzo pec “uglterziario@pec.it”, è stata inviata una comunicazione contenente il riscontro firmato, dal Segretario responsabile di UGL Terziario Roma e Lazio, nella quale è stato dichiarato che: 

- “come previsto dallo Statuto […], la Confederazione UGL (Unione Generale del Lavoro), è un’organizzazione sindacale che si struttura in Unioni del lavoro territoriali, Unioni del lavoro regionali e Federazioni e/o Sindacati nazionali di categoria. L’UGL Terziario è la Federazione che associa i lavoratori del comparto del terziario dell’Unione Generale del Lavoro; l’UGL Terziario Roma e Lazio è una delle strutture territoriali della Federazione UGL Terziario” (v. nota del 1/07/2025 cit., p. 2); 

- “il [reclamante], dipendente di XX, il 30 gennaio 2015 è stato cooptato nel Consiglio Generale Regionale dell’UGL Terziario Roma e Lazio, attraverso una nomina come Dirigente Sindacale della UGL Terziario Roma e Lazio. Tale carica è terminata il 28 febbraio 2022, data in cui il reclamante ha presentato le proprie dimissioni” (v. nota cit., p. 2); 

- “l’indirizzo di posta elettronica oggetto del reclamo, aperto in ragione delle cariche assunte nella sede territoriale di Roma, è stato assegnato al [reclamante] dalla struttura territorialmente competente (UGL Terziario Roma e Lazio) ma gestito a monte dall’organizzazione nazionale (UGL Terziario)” (v. nota cit., p. 2); 

- “la posizione di preminenza strutturale della Federazione sulla UGL Terziario Roma e Lazio giustifica sia l’appartenenza del dominio dell’account alla UGL Terziario sia il fatto che è stata quest’ultima a dare riscontro all’istanza di esercizio dei diritti presentata dal reclamante, in quanto titolare del trattamento relativamente al dato XX” (v. nota cit., p. 2); 

- “qualsiasi vicenda che riguardasse l’incarico sindacale è stata gestita nel rapporto tra il [reclamante] e gli uffici della UGL Terziario Roma e Lazio, rispettivamente incaricato del trattamento dei dati personali ai sensi dell’art. 29 del Regolamento […] e titolare del trattamento. Infatti, UGL Terziario Roma e Lazio ha autorizzato al trattamento il [reclamante], come da nomina […], in qualità di titolare del trattamento «dei dati personali all’interno del sindacato, afferenti sia i tesserati, sia gli iscritti sia gli assistiti nelle procedure di conciliazione»” (v. nota cit., p. 2); 

- “proprio nell’eventualità di dover recuperare importanti documenti e, quindi, nella prospettiva di evitare ripercussioni giuridiche e sociali, l’organizzazione ha deciso di non disattivare immediatamente l’indirizzo di posta elettronica in oggetto. Questo anche alla luce del fatto che il [reclamante] non ha mai restituito il computer portatile che gli era stato consegnato per lo svolgimento delle attività sindacali” (v. nota cit., p. 2); 

- “l’indirizzo di posta elettronica oggetto del reclamo è stato bloccato il 10 gennaio 2022, quando, per ragioni di contrasto con il [reclamante], l’organizzazione ha deciso di revocargli gli incarichi sindacali e l’aspettativa. Nonostante ciò, risulta che l’11 gennaio 2022 il [reclamante] abbia scaricato il contenuto dell’account e lo abbia trasferito sul proprio indirizzo di posta personale” (v. nota cit., p. 3); 

- “il 28 gennaio 2022 il Segretario Nazionale ha inviato una lettera, firmata dal [reclamante], in cui invita il sottoscritto Segretario della Federazione UGL Terziario Roma e Lazio a riorganizzare le attività del Dirigente sindacale […]. Formulato un nuovo incarico, si attendeva una risposta da parte del [reclamante] e, per questo motivo, l’account è rimasto attivo” (v. nota cit., p. 3); 

- “appena sono state ricevute le dimissioni del 28 febbraio 2022, l’account è stato sospeso, impedendone l’accesso in attesa che il [reclamante] consegnasse la documentazione sindacale di cui sopra, in suo esclusivo possesso perché mai depositata in Federazione. Durante questo periodo, non è stato attivato un meccanismo di risposta automatico segnalante la disattivazione dell’account di posta elettronica. Tuttavia, qualunque accesso è stato determinato da esigenze di manutenzione straordinaria e gestito solo ed esclusivamente dal sottoscritto [Segretario responsabile di UGL Terziario Roma e Lazio] in qualità di amministratore di sistema, come da nomina […]. L’account è stato definitivamente cancellato il 3 ottobre 2023 dai tecnici informatici di XX, società nominata responsabile del trattamento […], su indicazione dell’amministratore di sistema” (v. nota cit., p. 3). 

Il 15 ottobre 2024, l’Ufficio ha inviato una ulteriore richiesta di informazioni, ai sensi dell’art. 157 del Codice, agli indirizzi di UGL Terziario e di UGL Terziario Roma e Lazio, in risposta alla quale, in data 15 novembre 2024, per il tramite dell’indirizzo pec “uglterziario@pec.it”, è stato ricevuto il riscontro, firmato dal Segretario responsabile di UGL Terziario Roma e Lazio, nella quale è stato rappresentato che: 

- “il [reclamante], in ragione della qualifica di Dirigente Sindacale della UGL Terziario Roma e Lazio, aveva ricevuto una nomina ad incaricato del trattamento dei dati personali ai sensi dell’art. 29 del Regolamento […], attraverso la quale era stato autorizzato dall’organizzazione al trattamento «dei dati personali all’interno del sindacato, afferenti sia i tesserati, sia gli iscritti sia gli assistiti nelle procedure di conciliazione», «per le finalità inerenti alla stesura, alla registrazione, al deposito e all’inserimento nella piattaforma UGL del verbale di conciliazione»” (v. nota 15/10/2024 cit., p. 2); 

- “tuttavia, dalle dimissioni del [reclamante], rassegnate il 28 febbraio 2022, sono pervenute agli indirizzi di posta elettronica e di posta elettronica certificata dell’organizzazione sindacale numerose richieste e solleciti di copia dei verbali di conciliazione di vertenze individuali […]. Dalla lettura di queste istanze si è dedotto che il [reclamante] non aveva rispettato le istruzioni contenute nella nomina, omettendo di depositare nella piattaforma di UGL i documenti sindacali” (v. nota cit., p. 2); 

- “gli accessi che l’amministratore di sistema ha effettuato dopo la sospensione dell’account sono stati qualificati «straordinari» perché finalizzati al recupero della documentazione sindacale mai depositata, che avrebbe potuto essere oggetto di pretesa da parte di lavoratori, imprese, consulenti e ispettorato del lavoro, con importanti ripercussioni giuridiche e sociali per l’organizzazione” (v. nota cit., p. 2); 

- “nel riscontro del 1° luglio si è cercato di fare chiarezza circa la struttura dell’organizzazione sindacale, attribuendo la titolarità dell’indirizzo di posta elettronica del [reclamante] alla Federazione UGL Terziario, logicamente sovraordinata, nonostante i rapporti strettamente connessi all’incarico sindacale fossero gestiti dalla struttura territorialmente competente di Roma e Lazio” (v. nota cit., p. 3); 

- “questa impostazione rappresenta il frutto dell’interpretazione dello Statuto della Confederazione UGL […]: in tale documento non vengono citate la Federazione del terziario e la specifica struttura di Roma e Lazio, ma soprattutto e più in generale non vi è alcun riferimento alla legittimazione o all’autonomia funzionale, economica e amministrativa delle strutture territoriali” (v. nota cit., p. 3); 

- “lo statuto, risalente al 1950 e da allora mai modificato, è stato sostituito da uno nuovo, […] entrato in vigore il 27 giugno 2024 […]. La principale novità è rappresentata dall’art. 26, che riconosce le strutture territoriali di categoria (STC) e le definisce come il nucleo organizzativo fondamentale della UGL. […] si comprende la stretta interrelazione tra la Federazione di categoria e le strutture territoriali, implicita nell’assetto e funzionale all’operatività dell’organizzazione sindacale UGL” (v. nota cit., p. 3); 

- “questa novità introdotta è frutto anche dello sforzo del [Segretario responsabile di UGL Terziario Roma e Lazio] di voler configurare e gestire il flusso delle informazioni e i ruoli «privacy» all’interno dell’organizzazione senza appesantire la gestione e snellire i processi interni” (v. nota cit., p. 3); 

- “per quanto il nuovo Statuto tenti di fare ordine nell’assetto organizzativo di UGL, non si può ignorare una inevitabile e quasi naturale promiscuità, se non addirittura simbiosi, tra la Federazione UGL Terziario e la struttura UGL Terziario Roma e Lazio” (v. nota cit., p. 3); 

- “tutte le decisioni aventi ad oggetto l’account assegnato al [reclamante], riguardante l’esecuzione degli accessi, l’estrazione degli accessi effettuati, la mancata immediata disattivazione e la sospensione e la cancellazione dello stesso, sono state prese e gestite da UGL Terziario Roma e Lazio, nonostante l’appartenenza del dominio fosse di UGL Terziario” (v. nota cit., p. 4); 

- “in questo contesto abbiamo privilegiato l’operatività, consapevoli, almeno fino all’emanazione del recente nuovo statuto, che la ricostruzione di un sistema di procedure e ruoli privacy dovesse rispettare al meglio la reale gestione, con l’obiettivo primario di individuare la corretta configurazione e osservare l’adempimento delle normative sulla protezione dei dati personali” (v. nota cit., p. 4); 

- “a seguito dell’implementazione del nuovo statuto, è di fatto in corso una riorganizzazione generale che vedrà coinvolto anche il Modello Organizzativo Privacy con l’impegno massimo di migliorare il percorso di adeguamento e compliance” (v. nota cit., p. 4). 

2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e le deduzioni del Sindacato.

In data 11 febbraio 2025, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notifica a UGL Terziario e a UGL Terziario Roma e Lazio delle presunte violazioni del Regolamento riscontrate, con riferimento agli artt. 5, par. 1, lett. b), c) ed e), 12, 13, 15 del Regolamento.

In data 11 marzo 2025, sono state inviate le memorie difensive tramite l’indirizzo pec “uglterziario@pec.it”, a firma del segretario responsabile di UGL Terziario Roma e Lazio. In tale occasione è stato rappresentato che:

- “come specificato dall’art. 31 dello Statuto dei lavoratori, attraverso l’aspettativa sindacale non retribuita, il [reclamante] non ha instaurato alcun rapporto di lavoro con l’organizzazione sindacale, verificandosi una vera e propria sospensione del rapporto di lavoro con l’originario datore di lavoro. Questa precisazione permette di considerare non applicabili direttamente al caso di specie le «Linee guida del Garante per la posta elettronica e internet»” (v. nota 11/03/2025, p. 2);

- “nonostante l’assenza di un rapporto di lavoro in senso stretto, il Sindacato ha preso atto di aver svolto il trattamento avente ad oggetto i dati personali del reclamante in qualità di titolare del trattamento […] e ha quindi provveduto a nominare il [reclamante] «incaricato del trattamento dei dati personali», elencando, ai sensi dell’art. 29 GDPR, le istruzioni a cui lo stesso si sarebbe dovuto attenere […]. In particolare, quale conciliatore in sede sindacale, il [reclamante] avrebbe dovuto «raccogliere, registrare, trattare e conservare i dati personali e particolari contenuti nelle schede di delega all’assistenza e i verbali di conciliazione firmati, sia su supporti cartaceo che informatico», vigilando sulla loro corretta conservazione e avendo cura che l’accesso agli stessi fosse «consentito ai soggetti autorizzati», nonché «inserire una copia scannerizzata dei verbali di conciliazione firmati e delle relative deleghe all’assistenza nella piattaforma UGL […] entro tre giorni da deposito presso la competente ITL». I predetti oneri derivano dal disposto dell’art. 411 co. 3 del codice di procedura civile, per cui il verbale di conciliazione in sede sindacale, alternativa stragiudiziale al contenzioso sul lavoro, deve essere depositato presso l’Ispettorato Territoriale del Lavoro a cura di una delle parti o per il tramite dell’associazione sindacale a cui ha aderito il lavoratore, per poi essere depositato dal direttore dell’ITL nella cancelleria del tribunale nella cui circoscrizione è stato redatto” (v. nota cit., pp. 2, 3);

- “nella nomina a Incaricato del trattamento il Sindacato ha informato l’incaricato che il trattamento dei dati avrebbe avuto luogo «per tutta la durata dei rapporti instaurati tra le parti e, successivamente alla conclusione del rapporto/contratto in essere, per ottemperare agli adempimenti di legge di natura civilistica e fiscali applicabili al rapporto in essere, nonché ad ogni altro adempimento/obbligo di legge a cui è tenuto il Titolare»” (v. nota cit., p. 3);

- “l’organizzazione sindacale, fin dalla prima nota inviata all’Autorità, ha prodotto evidenze riferite agli specifici elementi che, subito dopo l’interruzione dei rapporti con il [reclamante], hanno provocato, se non la certezza, il fondato sospetto dei confronti della corretta gestione dei documenti sindacali da parte del [reclamante] stesso […]. Il rischio di ripercussioni giuridiche e sociali che sarebbero potute ricadere sul Sindacato ha comportato l’adozione di misure straordinarie rispetto alle ordinarie procedure di trattamento dei dati personali, quali gli accessi all’account di posta del reclamante” (v. nota cit., p. 3);

- “la violazione non ha comportato la divulgazione a terzi non autorizzati di dati personali sensibili o particolari. Gli accessi all’account sono stati effettuati esclusivamente dall’amministratore di sistema per finalità legate alla gestione interna dell’organizzazione sindacale” (v. nota cit., p. 3);

- “quanto alle modalità del trattamento dei dati personali, si precisa che gli accessi sono stati: a) effettuati esclusivamente dal Segretario responsabile dell’organizzazione sindacale, in qualità di amministratore di sistema […]; b) non periodici e ripetuti, ma limitati alla soddisfazione delle richieste dei soli associati che il [reclamante] aveva personalmente curato; c) finalizzati a proteggere gli associati, nucleo dell’organizzazione sindacale, dalle ripercussioni generate dai comportamenti negligenti del [reclamante]” (v. nota cit., p. 3);

- “si ritiene che non possa ravvisarsi il carattere doloso della condotta contestata, la quale certamente non aveva il fine di arrecare un pregiudizio all’interessato, quanto piuttosto di limitare gli effetti di una condotta negligente e contraria sia rispetto alle responsabilità dell’incarico sindacale dirigenziale sia rispetto alle istruzioni impartite. […] Inoltre […], l’organizzazione non è mai stata oggetto di sanzioni o provvedimenti da parte del Garante per la protezione dei dati personali” (v. nota cit., p. 4);

- “a seguito della richiesta avanzata dal reclamante con pec del 12 dicembre 2022, il Sindacato ha dato seguito con una risposta del 19 dicembre 2022, che non intendeva essere risolutiva ma bensì di confronto. Difatti, il [reclamante] ha inviato una nuova pec il 23 dicembre 2022, che è stata considerata come esercizio del diritto di accesso da parte del ricevente. Nonostante il Sindacato avesse raccolto tutte le informazioni richieste e stesse rispondendo alla richiesta, il [reclamante] ha inviato reclamo al Garante privacy il 19 gennaio 2022, comunque prima del termine di 30 giorni previsto dall’art. 12 co. 3 GDPR” (v. nota cit., p. 4);

- “in relazione alla rappresentata finalità di proteggere l’associazione e gli associati, anche dalle pretese e contestazioni da parte dei lavoratori, imprese, consulenti, avvocati e ispettorato del lavoro, si è preso atto del costante orientamento dell’Autorità Garante, che ha sempre affermato che per assicurare l’ordinario svolgimento e la continuità dell’attività aziendale, è necessario disporre sistemi di gestione documentale in grado di archiviare e conservare i documenti «con modalità idonee a garantire le caratteristiche di autenticità, integrità, affidabilità e reperibilità prescritte dalla disciplina di settore applicabile» (tra gli altri, provvedimento n. 53 del 01/02/2018, doc. web n. 8159221 e provvedimento n. 214 del 29/10/2020 doc. web 9518890)” (v. nota cit., p. 4);

- “il Sindacato ha individuato nella Piattaforma UGL, citata nella lettera d’incarico e nei precedenti riscontri, il sistema di gestione documentale principale con il quale individuare i documenti che nel corso dello svolgimento dell’attività lavorativa devono essere via via archiviati” (v. nota cit., p. 4);

- “la misura adottata risponde alla consapevolezza che la sicurezza organizzativa, almeno nel contesto di una complessa organizzazione sindacale, non possa essere garantita dal sistema di posta elettronica che, infatti, risponde ad altre finalità” (v. nota cit., p. 5);

- “il Sindacato, preso atto delle criticità riscontrate, ha intrapreso con impegno un percorso di riorganizzazione generale che vedrà coinvolto il Modello Organizzativo Privacy con l’impegno massimo di migliorare il percorso di adeguamento e compliance, precipuamente al fine di fornire chiare informazioni circa l’uso dei sistemi software e degli account individualizzati di posta elettronica. Sono state adottate misure organizzative per migliorare la gestione degli account di posta elettronica, al fine di evitare il ripetersi di situazioni analoghe in futuro ed è stato avviato un programma di aggiornamento della formazione per il personale per rafforzare l’importanza della protezione dei dati personali e sul rispetto delle normative vigenti” (v. nota cit., p. 5);

- “l’organizzazione sindacale ha risposto prontamente ad entrambe le richieste di informazioni inviate dal Dipartimento ai sensi dell’art. 157 del Codice, mai negando o eludendo il trattamento di dati personali effettuato” (v. nota cit., p. 5);

- “i dati personali oggetto del procedimento corrente appartengono alla categoria dei dati comuni” (v. nota cit., p. 5);

- “le dichiarazioni contenute nei due riscontri all’Autorità relative ai rapporti tra UGL Terziario e UGL Terziario Roma e Lazio, hanno portato il Dipartimento a sostenere l’applicazione del principio di contitolarità ai sensi dell’art. 26 GDPR. Il Sindacato, fin dal principio, non ha mai negato la promiscuità dei due soggetti, prendendo atto delle inevitabili ripercussioni pratiche sui processi interni. Il contesto descritto ha comportato una originaria confusione nella contitolarità e responsabilità del trattamento, in particolare su chi tra le due realtà avesse determinato i mezzi e le finalità dello stesso. Questo deriva, più che da una situazione di contitolarità, da una vera e propria simbiosi tra gli enti. In particolare, la struttura UGL Terziario Roma e Lazio appare totalmente assimilata dalla struttura UGL Terziario, sia dal punto di vista amministrativo che decisionale” (v. nota cit., p. 6);

- “si ritiene che la considerazione delle due entità come soggetti distinti, ai fini dell’eventuale adozione di provvedimenti correttivi o di sanzioni, risulterebbe un esito sproporzionato alle finalità, in particolare rispetto agli effetti retributivi e dissuasivi che si vogliono ottenere. Al contrario, l’organizzazione sindacale, in relazione ai trattamenti di dati personali dalla stessa effettuati, sostiene che UGL Terziario e UGL Terziario Roma e Lazio debbano essere considerati un unico soggetto” (v. nota cit., p. 6).

In data 2 aprile 2025, si è tenuta l’audizione chiesta dalla parte e in tale occasione il Sindacato ha rappresentato che:

- “UGL Terziario Roma e Lazio […] fa parte di UGL Terziario Nazionale, è il suo braccio operativo a livello territoriale. Pertanto non può essere considerata una struttura autonoma con conseguente esclusione della configurazione in termini di contitolarità tra le due strutture”;

- “UGL Terziario Nazionale ha impostato un sistema di gestione privacy multilivello e allo stato in evoluzione. In ogni caso, al momento, ogni federazione ha adottato un proprio modello organizzativo privacy che si avvale della digitalizzazione della documentazione prodotta in proposito”;

- “UGL, a differenza di altre organizzazioni sindacali, ha un unico statuto; pertanto le articolazioni territoriali e di comparto non si sono dotate allo stato di una propria disciplina statutaria. A ciascuna articolazione territoriale è stato invece attribuito un codice fiscale per consentire la ripartizione delle quote sindacali”;

- “il reclamante non è mai stato un dipendente di UGL, ma era dirigente sindacale, in posizione di distacco dal proprio datore di lavoro. Per tale ragione UGL non ha fornito al reclamante un documento contenente l’informativa che avrebbe dovuto essere fornita dal datore di lavoro”;

- “l’account oggetto di reclamo è stato assegnato nel 2018 dal [legale rappresentante di UGL Terziario Nazionale e di UGL Terziario Roma e Lazio]. Ciò considerato che nel caso di distacco e aspettative sindacali così come nei confronti dei propri dipendenti, il sindacato assegna alcuni strumenti tecnologici necessari per svolgere l’attività”;

- “l’attività del sindacato non è né un’attività economica né un’attività produttiva bensì un’attività sindacale. A conferma di ciò si precisa che il sindacato presenta un rendiconto economico in quanto non è tenuto a presentare un bilancio”;

- “nei primi giorni del mese di gennaio 2022 il sindacato ha riscontrato una serie di gravi inadempienze. Pertanto il 10 gennaio 2022 si è deciso di cambiare la password della e-mail attribuita al reclamante il quale aveva comunque accesso all’account dai propri dispositivi mobili, tanto che, nella notte tra il 10 e l’11 gennaio 2022, ha scaricato tutte le mail presenti sull’account. Prova di ciò è la produzione del contenuto delle predette comunicazioni da parte del reclamante nell’ambito di un procedimento avviato davanti alla Confederazione UGL. Pertanto si ritiene che l’esercizio del diritto di accesso sia stato strumentale”;

- “alcuni documenti, tra cui copia dei verbali di conciliazione, erano presenti solo sull’account del reclamante in quanto non erano salvati altrove”.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

3.1  Il quadro normativo applicabile.

L’art. 5, par. 1, lett. b) e c) del Regolamento prevedono che i dati personali sono “raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità” (principio di limitazione delle finalità) e che sono “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (principio di minimizzazione dei dati). 

L’art. 5, par. 1, lett. e) del Regolamento prevede che i dati personali sono “conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati” (principio di limitazione della conservazione). 

L’art. 13 del Regolamento prevede che il titolare è tenuto a fornire all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento prima che questo abbia inizio. 

Con riferimento alle condizioni di liceità dei trattamenti effettuati mediante sistemi di posta elettronica e della rete Internet nel contesto del rapporto di lavoro il Garante ha adottato le "Linee guida del Garante per posta elettronica e Internet", Provv. 1.3.2007, in G. U. n. 58 del 10.3.2007. 

L’art. 12 del Regolamento, da leggere anche in combinato disposto con le norme relative agli specifici diritti riconosciuti dall’ordinamento all’interessato, in base al quale “il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro […]. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovato con altri mezzi l’identità dell’interessato” (par. 1). Viene, inoltre, disposto che “il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 15 a 22” (par. 2). 

Il paragrafo 3 del medesimo articolo precisa che “il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l’interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. Se l’interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell’interessato”.

In base al paragrafo 4 del medesimo articolo il titolare del trattamento, qualora non ottemperi all’istanza dell’interessato, “informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”. 

L’art. 15 del Regolamento dispone che “l'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle […] informazioni” indicate nello stesso articolo (par. 1) e che “Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall'interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l'interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell'interessato, le informazioni sono fornite in un formato elettronico di uso comune” (par. 3). 

3.2 Esito dell’istruttoria.

All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, risulta che UGL Terziario (di seguito, Sindacato), in qualità di titolare, ha effettuato alcune operazioni di trattamento, riferite al reclamante, che risultano non conformi alla disciplina in materia di protezione dei dati personali, sia per quanto riguarda il trattamento dell’account di posta elettronica allo stesso assegnato nel periodo in cui ha rivestito la carica di dirigente sindacale sia per quanto riguarda l’esercizio del diritto di accesso.

In proposito, si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

Preliminarmente, esaminate le dichiarazioni rilasciate nel corso dell’istruttoria, alla luce della documentazione prodotta e considerato quanto precisato negli scritti difensivi e nel corso dell’audizione dal Sindacato, si rileva che UGL Terziario Roma e Lazio sia di fatto da considerarsi, a tutti gli effetti, come un'articolazione di UGL Terziario nazionale; in particolare, sulla base di quanto emerso, vista la commistione delle attività dei due soggetti, con riferimento alla fattispecie concreta oggetto di esame, posto che, come specificato dal segretario responsabile di UGL Terziario Roma e Lazio, UGL Terziario Roma e Lazio “fa parte di UGL Terziario Nazionale, è il suo braccio operativo a livello territoriale. Pertanto non può essere considerata una struttura autonoma con conseguente esclusione della configurazione in termini di contitolarità tra le due strutture”, le condotte oggetto del presente procedimento sono imputabili pertanto solo a UGL Terziario e il provvedimento è adottato solo nei confronti di UGL Terziario. 

3.3. Trattamento relativo all’account di posta elettronica individualizzato. 

La condotta posta in essere da UGL Terziario con riferimento all’account di posta elettronica “XX” a seguito della cessazione del rapporto di collaborazione tra il reclamante e UGL Terziario Roma e Lazio ha violato l’art. 5, par. 1, lett. b), c) ed e), e l’art. 13 del Regolamento. Ciò per i motivi di seguito indicati. 

Il predetto account è stato mantenuto attivo per un periodo significativo di tempo, a seguito della cessazione del rapporto di collaborazione. In particolare il rapporto con UGL Terziario Roma e Lazio è terminato in data 28 febbraio 2022; l’account, in base a quanto dichiarato dal Segretario responsabile di UGL Terziario Roma e Lazio, è stato definitivamente cancellato il 3 ottobre 2023 dai tecnici informatici di XX, società nominata responsabile del trattamento, su indicazione dell’amministratore di sistema (v. nota 1° luglio 2024, p. 3). 

Durante tale periodo di tempo sono stati effettuati accessi al predetto account, da parte dell’amministratore di sistema, volti al “recupero della documentazione sindacale mai depositata” (v. nota 15/11/2024, p. 2). 

In merito al ruolo di amministratore di sistema, sia per l’indirizzo con suffisso e-mail @uglterziario.it sia per l’indirizzo con suffisso @uglterziarioromaelazio, si rileva che lo stesso è stato rivestito dal Segretario responsabile di UGL Terziario Roma e Lazio che, tra l’altro, dal 9 novembre 2024 e per sei mesi ha concentrato su di sé anche la carica di Segretario responsabile di UGL Terziario. 

Come dichiarato nei riscontri forniti durante l’istruttoria avviata dall’Ufficio, non è stato neppure attivato un sistema automatico di risposta segnalante quella che sarebbe stata la futura cancellazione dell’account in esame (v. nota 1/07/2024, p. 3). 

La condotta pertanto non risulta conforme ai principi di limitazione delle finalità, minimizzazione dei dati, limitazione della conservazione.

Il Sindacato, infatti, ha mantenuto attivo e ha acceduto al predetto indirizzo di posta elettronica per un periodo significativo di tempo, nonostante lo stesso fosse un indirizzo individualizzato, assegnato al reclamante per lo svolgimento dell’attività di dirigente sindacale.

In merito al trattamento di account di posta elettronica, si ricorda che lo scambio di corrispondenza − estranea o meno all’attività lavorativa − su un account aziendale di tipo individualizzato configura un’operazione di trattamento che consente di conoscere alcune informazioni personali relative all’interessato (v. "Linee guida del Garante per posta elettronica e Internet", in G. U. n. 58 del 10/3/2007, spec. punto 5.2, lett. b), e che il Garante ha già ritenuto conforme ai principi in materia di protezione dei dati personali che, dopo la cessazione del rapporto di lavoro, il titolare provveda alla rimozione dell’account, previa disattivazione dello stesso e adozione di sistemi automatici volti a informarne i terzi e a fornire, a questi ultimi, indirizzi alternativi riferiti alla sua attività professionale, provvedendo altresì ad adottare misure idonee ad impedire la visualizzazione dei messaggi in arrivo durante il periodo in cui tale sistema automatico è in funzione (v. tra i numerosi, Provv.ti 1 dicembre 2023, n. 602, doc. web n. 9978536; 4 dicembre 2019, n. 216, doc. web 9215890; 1° febbraio 2018, n. 53, doc. web n. 8159221, punto 3.4.). 

Si rileva altresì che tali principi risultano applicabili anche con riferimento a relazioni ricollegate all’ambito sindacale, considerato che il rapporto tra il sindacato e il dirigente sindacale che svolge attività per lo stesso può assimilarsi, quantomeno relativamente ai principi di protezione dei dati personali che trovano applicazione in specie con riferimento al trattamento sull’account di posta elettronica con dominio del sindacato, a un rapporto di lavoro. 

La sistematica persistente attività dell’account, a suo tempo assegnato al reclamante, anche dopo la cessazione del rapporto di collaborazione con il sindacato e per un arco temporale significativo (dal 28/02/2022 al 3/10/2023), durante il quale il sindacato ha acceduto allo stesso, in assenza di alcuna specifica, esplicita e legittima finalità perseguita, viola il principio di minimizzazione dei dati (art. 5, par. 1, lett. c) del Regolamento) e di limitazione delle finalità (art. 5, par. 1, lett. b) del Regolamento) nonché di limitazione della conservazione (art. 5, par. 1, lett. e) del Regolamento). 

Per quanto riguarda la violazione del principio di minimizzazione, si sottolinea come il Sindacato, con la condotta descritta, non si sia limitato a trattare dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono stati trattati (come richiesto invece dall’art. 5, par. 1, lett. c), del Regolamento). 

La stessa finalità dichiarata dal Sindacato (corretta gestione della documentazione sindacale), si sarebbe potuta perseguire con modalità di trattamento conformi alla disciplina di protezione dei dati, in quanto meno invasive della sfera di riservatezza del reclamante; in particolare, il Garante ha già ritenuto che la legittima necessità di assicurare la conservazione di documentazione necessaria per l’ordinario svolgimento e la continuità dell’attività aziendale (alla quale, si precisa, può ritenersi, da questo punto di vista, equiparabile l’attività sindacale), anche in relazione ai rapporti intrattenuti con soggetti privati e pubblici, nonché in base a specifiche disposizioni dell’ordinamento, è assicurata, in primo luogo, dalla predisposizione di sistemi di gestione documentale con i quali attraverso l’adozione di appropriate misure organizzative e tecnologiche individuare i documenti che nel corso dello svolgimento dell’attività lavorativa devono essere via via archiviati con modalità idonee a garantire le caratteristiche di autenticità, integrità, affidabilità, leggibilità e reperibilità prescritte dalla disciplina di settore applicabile. 

I sistemi di posta elettronica, per loro stessa natura, non consentono di assicurare tali caratteristiche (v. provv. n. 214 del 29 ottobre 2020, doc. web n. 9518890; 1° febbraio 2018, n. 53, doc. web n. 8159221).

Sempre con riferimento alla finalità di corretta gestione della documentazione sindacale, si osserva come la stessa (in astratto lecita), non può considerarsi, nel caso di specie, essere stata perseguita con modalità conformi all’ordinamento; ciò rende il trattamento (i.e. accesso all’account individualizzato assegnato al reclamante per lo svolgimento delle attività assegnate allo stesso in qualità di dirigente sindacale di UGL Terziario Roma e Lazio) non conforme alla disciplina di protezione dei dati personali. 

Il Sindacato, infatti, ha acceduto alle conversazioni pervenute sull’indirizzo di posta assegnato al reclamante; in merito a queste ultime si precisa peraltro che il contenuto dei messaggi di posta, così come i dati esteriori delle comunicazioni stesse e i file allegati, riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente (artt. 2 e 15 Cost.). La tutela dei medesimi, quindi, è riconosciuta dall’ordinamento a favore del soggetto destinatario delle comunicazioni. 

In merito al trattamento in esame, inoltre, non risulta sia stata fornita dal sindacato al reclamante idonea informativa sul trattamento dei dati, come invece richiesto dall’art. 13 del Regolamento. In proposito, priva di pregio è la precisazione del Sindacato secondo cui l’obbligo di fornire idonea informativa sarebbe gravato sul datore di lavoro del reclamante: l’informativa ai sensi dell’art. 13 del Regolamento, infatti, deve essere fornita dal soggetto che riveste, con riferimento ai dati oggetto di trattamento, il ruolo di titolare. Relativamente all’account di posta elettronica “XX”, in particolare, UGL Terziario ha rivestito il ruolo di titolare del trattamento e dunque l’informativa in merito al trattamento del medesimo avrebbe dovuto essere fornita proprio dal Sindacato.

3.4. Esercizio dei diritti. 

La condotta posta in essere da UGL Terziario, con riferimento all’istanza di esercizio del diritto di accesso ai dati presentata dal reclamante in data 12 dicembre 2022, viola gli artt. 12 e 15 del Regolamento. 

In particolare, l’unico riscontro fornito al reclamante è stato quello trasmesso, in data 19 dicembre 2022, e firmato dalla Segreteria nazionale di UGL Terziario. 

Tra l’altro e in ogni caso, il riscontro fornito non risulta idoneo, considerato innanzitutto che, a fronte del diniego, non è stata indicata, come invece richiesto dall’art. 12 par. 4 del Regolamento, “la possibilità di proporre reclamo a un’autorità di controllo e di proporre riscorso giurisdizionale”. 

Inoltre non è stato consentito l’accesso a quanto richiesto dal reclamante; in tale occasione sono stati indicati, come motivi del diniego, il fatto che il reclamante avesse sottoscritto la lettera di nomina ad incaricato, che il reclamante, in data 11 gennaio 2022, avesse scaricato il contenuto dell’account di posta elettronica in esame, nonché che gli account con dominio @uglterziario.it debbano essere utilizzati esclusivamente per le attività relative all’attività sindacale. 

Nel predetto riscontro del Sindacato è stato inoltre precisato che “a seguito della sua PEC con la quale per la prima volta ci ha manifestato la Sua intenzione definitiva di non voler riprendere la collaborazione, abbiamo provveduto ad avviare le procedure di disattivazione dell’indirizzo di posta elettronica [a lei assegnato]. Tale procedura sarà definitiva una volta che avrà consegnato la documentazione di cui sopra relativa a verbali di conciliazione di vertenze individuali in sede sindacale ed accordi collettivi aziendali mai depositati in Federazione”.

Priva di pregio è dunque l’osservazione del Sindacato secondo cui il reclamo sarebbe stato presentato prima del decorso del termine concesso al titolare del trattamento per fornire riscontro di cui all’art. 12 del Regolamento; il Sindacato, in particolare, ha precisato di avere ritenuto la pec del 23 dicembre 2022 “come esercizio del diritto di accesso da parte del [reclamante]”. 

In proposito, si rileva che già la comunicazione del 12 dicembre 2022 conteneva chiaramente l’istanza di accesso ai dati, tanto che su alcune questioni poste dal reclamante il Sindacato ha fornito riscontro proprio in data 19 dicembre 2022, seppure, come predetto, tale riscontro sia da considerare inidoneo.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato da UGL Terziario, risulta infatti illecito, nei termini su esposti, in relazione agli artt.  5, par. 1, lett. b), c) ed e), 12, 13, 15 del Regolamento.

In relazione alla fattispecie in esame, deve osservarsi però che l’assenza di precedenti specifici a carico del Sindacato, il carattere episodico della violazione, il numero di interessati coinvolti (pari a uno), la cooperazione del Sindacato con l’Autorità, costituiscono tutti elementi che, unitamente alla natura del Sindacato e alla sua funzione di rappresentanza di interessi collettivi, inducono a qualificare l’infrazione come “violazione minore” (art. 83, par. 2, e Considerando 148 del Regolamento).

Si ritiene, quindi, che, relativamente al caso in esame, sia sufficiente ammonire il titolare del trattamento, ai sensi degli artt. 143 del Codice e 58, par. 2, lett. b), del Regolamento, per aver acceduto all’account di posta elettronica individualizzato assegnato al reclamante e per non avere fornito idoneo riscontro all’istanza di accesso ai dati, nei termini indicati in motivazione.

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

- ai sensi dell’art. 57, par. 1, lett. f), del Regolamento rileva l’illiceità del trattamento effettuato da UGL Terziario, con sede legale in sede legale in Roma – Viale Liegi 28, C.F. 96128110580, descritto nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. b), c) ed e), 12, 13, 15 del Regolamento;

- ai sensi dell’art. 58, par. 2, lett. b), del Regolamento ammonisce UGL Terziario, quale titolare del trattamento, per avere effettuato trattamenti in violazione di quanto prescritto dagli artt. 5, par. 1, lett. b), c) ed e), 12, 13, 15 del Regolamento;

- determina di archiviare la contestazione, adottata nei confronti di UGL Terziario Roma e Lazio, con atto dell’11 febbraio 2025; 

- ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante. 

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 3 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori