Con il provvedimento n. 476/2026, il Garante per la protezione dei dati personali ha irrogato a un’importante società appartenente al settore dell’automotive una sanzione amministrativa di importo pari a 460.000 euro per violazioni in materia di privacy riguardanti la gestione delle caselle di posta elettronica aziendale, la conservazione dei dati e le attività di controllo dei dipendenti. Nel caso di specie, due dipendenti avevano lamentato, mediante reclamo all’Autorità, la violazione della disciplina in materia di protezione dei dati personali da parte della società, alle cui dipendenze avevano svolto attività lavorativa, fino al licenziamento per giusta causa, comunicato loro con una lettera del 2 marzo 2023. Nell’ambito delle impugnazioni dei rispettivi licenziamenti, il 26 aprile 2023 i due dipendenti avevano richiesto al datore di lavoro conferma dell’avvenuta disattivazione degli account di posta elettronica aziendale di tipo individualizzato, utilizzati dagli stessi nel corso del rapporto di lavoro. In assenza di risposta, tali richieste erano state riproposte il successivo 31 maggio e, sebbene fossero state regolarmente notificate all’indirizzo PEC della società, non avevano ricevuto riscontro nei termini indicati dall’art. 12 par. 3 del Regolamento Ue 2016/679 (GDPR), ossia un mese con eventuale proroga di due mesi tenuto conto di eventuali complessità e del numero delle richieste. Nei successivi reclami presentati al Garante per la privacy il 14 settembre 2023, gli ex dipendenti hanno denunciato che la società, nel corso del rapporto di lavoro, aveva effettuato accessi alla corrispondenza in transito sui propri account di posta elettronica aziendale di tipo individualizzato e aveva acquisito numerose e-mail, transitate sui predetti account e sulle caselle di posta elettronica personale, per poi utilizzarle nell’ambito dei procedimenti disciplinari. Precisamente, sulla base di quanto emerso dalle contestazioni disciplinari loro notificate, risultava che la società aveva acquisito, trattato e utilizzato ben 112 mail complessive transitate sulle caselle mail aziendale dei dipendenti reclamanti nel periodo compreso tra il novembre 2020 e il gennaio 2022 e che tale scambio di mail riguardava anche molti messaggi di posta elettronica transitati sulla casella di posta elettronica personale e scambiati con terzi. Tenuto conto di ciò, il Garante per la protezione dei dati personali ha quindi formulato nei confronti della società una richiesta di informazioni, ai sensi dell’art. 157 del DLgs. 196/2003, invitandola a fornire osservazioni su quanto rappresentato nei reclami, con particolare riferimento ai presupposti di legittimità alla base dell’accesso eseguito sugli account di posta elettronica aziendale dei due reclamanti. Dall’istruttoria effettuata dal Garante è poi emersa la conferma che la società aveva effettuato accessi alle loro email aziendali, nel corso del rapporto di lavoro, acquisendo in totale le citate 112 e-mail, al fine di verificare la fondatezza di presunti comportamenti illeciti da parte dei due dipendenti. Peraltro, si evidenzia come le e-mail acquisite risalissero addirittura a circa due anni prima che la società maturasse tale sospetto. Il monitoraggio, osserva il Garante, è stato effettuato mediante una sistematica raccolta e conservazione dei dati relativi alla posta elettronica, effettuate dalla società mediante backup per tutta la durata del rapporto di lavoro e fino a 5 anni dopo la cessazione, nonché dei relativi log, per un periodo di 6 mesi, in violazione dei principi del GDPR e in assenza delle garanzie previste all’art. 4 della L. 300/70 (Statuto dei lavoratori). [CATENACCIO] In altri termini, i trattamenti messi in atto dalla società si sono rivelati idonei a ricostruire l’attività dei dipendenti e a effettuare un controllo a distanza. Inoltre, nel provvedimento in commento si evidenzia una criticità nella conservazione dei dati, giudicando eccessivi i tempi di mantenimento delle e-mail aziendali e dei log di accesso, nonché carenze nelle informazioni fornite ai dipendenti sulle finalità e sulle basi giuridiche del trattamento. Ancora, al datore di lavoro viene altresì contestata la mancata risposta alle richieste di esercizio dei diritti degli ex dipendenti relative alla conferma della disattivazione degli account. In conclusione, nel dichiarare illecito il trattamento dei dati personali relativi alla posta elettronica aziendale, come anticipato, con il provvedimento n. 476/2026 il Garante Privacy ha vietato alla società l’accesso ai dati raccolti e conservati sui propri sistemi e ha irrogato una sanzione amministrativa di importo pari a 460.000 euro.

5 agosto 2026 / Luca MAMONE

La funzione delle misure protettive e cautelari, come si evince dagli artt. 2 lett. p) e q), 54 commi 1, 55 commi 4 e 5 del DLgs. 14/2019 (CCII), nonché dall’art. 6 par. 1 e dal considerando n. 32 della Direttiva Ue 2019/1023, è quella di:
- favorire il buon esito delle negoziazioni finalizzate alla individuazione dello strumento di regolazione della crisi o dell’insolvenza e alla elaborazione del relativo piano di ristrutturazione;
- assicurare, in via provvisoria, gli effetti dello strumento prescelto. Ai fini della conferma delle misure protettive tipiche, ex art. 55 comma 3 del CCII, e ai fini della concessione di misure atipiche e cautelari, il tribunale deve positivamente accertare la strumentalità tra i provvedimenti richiesti dal debitore e le trattative con le parti interessate dal piano di ristrutturazione, ovvero la soluzione della crisi prescelta (Trib. Busto Arsizio 16 Gennaio 2025 e Trib. Arezzo 9 dicembre 2024). La concessione di un provvedimento di natura cautelare è condizionata anche al riscontro dei requisiti del fumus boni iuris e del periculum in mora. Muovendo da tali presupposti, il Tribunale di Nola del 17 aprile 2026 ha accolto una richiesta di adozione della misura cautelare, nell’ambito di un procedimento di regolazione della crisi della società, consistente nell’estensione degli effetti protettivi (favorevoli alla debitrice) anche ai soci garanti, sussistendone i presupposti di legge. Si osserva in particolare che, nella specie, la volontà della compagine sociale di mettere a disposizione la finanza esterna in modo equivalente al valore di liquidazione dei beni di cui i soci si erano dichiarati titolari e per i quali avevano invocato la protezione cautelare consentiva di constatare la serietà dell’impegno e induceva ad affermare che la misura cautelare richiesta fosse strumentale al progetto concordatario e alla migliore soddisfazione dei creditori, in primis quelli privi di garanzie personali. Si apprende, in punto di fatto, inoltre, che la società non disponeva di beni di apprezzabile valore, pertanto la proposta concordataria che prevedeva l’apporto di finanza esterna risultava più conveniente rispetto all’alternativa liquidatoria. Le misure cautelari non apparivano eccessivamente sproporzionate rispetto al pregiudizio verso i creditori, stante la temporaneità delle stesse e la funzionalità alla predisposizione di una proposta di risoluzione della crisi in grado di soddisfare le esigenze dei creditori. Nell’ottica di attuare un equo bilanciamento dei rispettivi interessi, i giudici hanno comunque ritenuto necessario fissare un termine di durata delle misure cautelari pari a quello residuo delle misure protettive concesse in favore della società, in modo da monitorare in tempi brevi la concretezza dell’impegno assunto e la concreta evoluzione dell’offerta. Circa la possibilità di estendere le misure protettive in favore dei terzi garanti, invece, la giurisprudenza più recente (Trib. di Brescia 17 aprile 2025) ha offerto una soluzione positiva, qualora sia dimostrato che le azioni esecutive nei confronti dei medesimi garanti pregiudichino il buon esito del piano di risanamento, trattandosi di coobbligati per obbligazioni connesse e solidali. Le misure protettive non hanno carattere meramente difensivo, ma strumentale al risanamento dell’impresa; la loro estensione ai garanti è giustificata, infatti, dalla necessità di evitare il depauperamento di asset strategici o la disarticolazione del patrimonio utile alla realizzazione del piano. Sul tema, inoltre, il Tribunale di Modena 8 marzo 2025 ha statuito come la misura avente a oggetto lo stay of executions nei confronti del garante abbia natura essenzialmente cautelare (e non protettiva, nemmeno “atipica”, non sussistendo tale genus nell’ambito della CNC, diversamente da quanto avviene con riferimento agli “strumenti” ex art. 54 comma 2 terzo periodo del CCII). Il periculum insito nella concreta aggressione “particolare” al patrimonio del garante, da parte di un creditore coinvolto insieme agli altri nella CNC, consiste nel possibile pregiudizio alle ragioni degli altri, tutte le volte in cui il garante si sia impegnato a intervenire con ulteriori risorse destinate al risanamento.

5 agosto 2026 / Antonio NICOTRA