Controlli sulla posta elettronica aziendale: due nuovi provvedimenti del Garante che rafforzano la tutela dei lavoratori.
Il Garante per la protezione dei dati personali, attraverso due recenti provvedimenti, è tornato a pronunciarsi sul tema della gestione della posta elettronica aziendale e dei controlli datoriali.
Le decisioni riguardano casi differenti, ma convergono su un principio fondamentale: la casella e-mail aziendale, pur essendo uno strumento di lavoro messo a disposizione dal datore di lavoro, contiene dati personali del lavoratore e il suo utilizzo deve avvenire nel pieno rispetto del Regolamento UE 679/2016 sulla protezione dei dati personali e dello Statuto dei lavoratori (Legge 300/1970).
- Provvedimento del 12 marzo 2026 -> sanzione di 50.000 euro ad una società assicurativa
Contesto: l’ex dipendente di una compagnia assicurativa ha presentato un reclamo al Garante perché, dopo la cessazione del rapporto di lavoro, non aveva ottenuto un accesso completo ai dati personali contenuti nella propria casella di posta elettronica aziendale individuale.
La società, dopo aver effettuato l’accesso alla posta elettronica dell’ex dipendente ed aver esaminato il contenuto delle e-mail, aveva consentito l’accesso solo alle e-mail ritenute strettamente personali e non a quelle legate all’attività lavorativa.
Considerazioni del Garante:
- Le e-mail presenti in una casella aziendale individuale contengono dati personali del lavoratore, anche se l’account appartiene all’azienda.
- I dipendenti hanno il diritto di accesso, previsto dall’art. 15 del GDPR, a tutti i dati personali, compresi i dati contenuti nella propria e-mail aziendale.
- Non è legittimo che, preventivamente, il datore di lavoro legga e selezioni i contenuti ai quali il dipendente potrà accedere, distinguendo tra ambito personale e professionale.
- L’azienda non può oscurare il contenuto delle e-mail invocando la tutela dei segreti aziendali; eventuali limitazioni sono ammesse solo se motivate e comprovate.
- Le privacy policy aziendali devono specificare i tempi di conservazione delle e-mail, i quali devono essere proporzionati rispetto alle finalità dichiarate. Nel caso specifico, il contenuto delle e-mail era stato conservato per più di 5 anni, che non sono stati ritenuti proporzionati rispetto alle finalità dichiarate.
Il Garante ha ritenuto violati:
- I principi di liceità, correttezza, minimizzazione e limitazione della conservazione dei dati (art. 5 GDPR).
- Il diritto di accesso dell’interessato.
- Le norme specifiche sul trattamento dei dati del lavoratore.
Sanzione:
È stata irrogata una sanzione amministrativa di 50.000 euro, inoltre il Garante ha ordinato di consentire l’accesso integrale ai dati richiesti dall’ex dipendente e di adeguare le policy interne.
- Provvedimento del 18 giugno 2026 -> sanzione di 460.000 euro ad una società produttrice di veicoli
Contesto: due ex dipendenti di un’azienda produttrice di veicoli a motore, licenziati per giusta causa, hanno presentato un reclamo al Garante perché, durante il rapporto di lavoro, l’azienda aveva effettuato accessi alle loro caselle e-mail aziendali al fine di utilizzarle come prova nei procedimenti disciplinari.
Inoltre, dall’istruttoria del Garante è emerso che:
- La società conservava il backup delle caselle e-mail dei dipendenti per 5 anni dopo la cessazione del rapporto di lavoro; tale conservazione consentiva l’accesso ai messaggi per finalità interne, comprese le indagini disciplinari.
- Le e-mail utilizzate per giustificare il licenziamento risalivano a 2 anni prima dell’insorgere del sospetto dell’illecito.
- Le privacy policy aziendali non indicavano in modo chiaro le finalità e basi giuridiche del trattamento né i tempi di conservazione delle e-mail.
Considerazioni del Garante:
- Il datore di lavoro non può conservare sistematicamente il contenuto delle e-mail per lunghi periodi senza una base giuridica adeguata.
- Non è lecito effettuare controlli retrospettivi e generalizzati sulla corrispondenza dei dipendenti; eventuali controlli devono essere mirati, proporzionati e giustificati da esigenze concrete e non possono trasformarsi in una sorveglianza continua.
- Le policy interne devono spiegare chiaramente:
- le finalità del trattamento;
- la base giuridica;
- i tempi di conservazione;
- le modalità di utilizzo della posta elettronica aziendale.
Il Garante ha ritenuto violati:
- I principi di liceità, correttezza, minimizzazione e limitazione della conservazione dei dati (art. 5 GDPR).
- I presupposti di liceità del trattamento (art. 6 GDPR).
- Il diritto alla cancellazione nei casi previsti (art. 17 GDPR).
- Le norme sul trattamento dei dati dei lavoratori (art. 88 GDPR e art. 114 del Codice Privacy).
Sanzione:
È stata irrogata una sanzione amministrativa di 460.000 euro, inoltre il Garante ha dichiarato illecito il trattamento dei dati effettuato dalla società, vietato l’utilizzo dei dati raccolti e conservati illecitamente, ordinato di adeguare le policy interne.
Conclusione: i due provvedimenti confermano un orientamento ormai consolidato del Garante: il potere organizzativo e di controllo datoriale incontra limiti precisi quando incide sui dati personali dei lavoratori. In particolare, le aziende sono chiamate ad adottare procedure chiare, trasparenti e proporzionate, evitando conservazioni eccessivamente lunghe della posta elettronica e di accessi non adeguatamente giustificati.
Una corretta gestione degli strumenti informatici non rappresenta solo un obbligo normativo, ma costituisce anche un elemento essenziale per ridurre il rischio di contenziosi e di pesanti sanzioni amministrative.
Alla luce di questi recenti interventi del Garante, il nostro studio è a disposizione per verificare che i regolamenti interni, le informative privacy e le procedure di gestione delle caselle e-mail aziendali siano pienamente conformi alla disciplina vigente.
I nostri contatti: 040 3783211 – mail privacy@ergonstp.it
I Consulenti del lavoro di Ergon Stp:
| Erika Damiani | Massimo Iesu |
| Cristiana Comelli | Martina Iesu |
