Può un lavoratore, dopo aver lasciato l’azienda, ottenere le email della propria casella aziendale? E fino a che punto il datore può limitare l’accesso?
A fare chiarezza è il Garante per la protezione dei dati personali, con un provvedimento reso noto nella newsletter del 15 aprile 2026, che interviene su una questione molto concreta e ancora spesso gestita in modo non uniforme nelle aziende.
Il caso: accesso parziale alle email
La vicenda riguarda un ex dipendente di una compagnia assicurativa che, dopo la cessazione del rapporto, aveva chiesto accesso alla propria casella email aziendale e ai documenti presenti nel computer di lavoro.
L’azienda aveva però consegnato solo i messaggi considerati personali, escludendo quelli legati all’attività lavorativa. Una scelta che ha portato il lavoratore a presentare reclamo.
Il principio chiarito dal Garante
Il primo punto su cui interviene il Garante riguarda l’estensione del diritto di accesso.
Nel provvedimento si legge che:
“Il diritto di accesso riguarda tutti i dati personali, comprese le comunicazioni intercorse tramite un account aziendale individualizzato”
Questo significa che il lavoratore può accedere non solo alle email personali, ma anche a quelle professionali, se riferite alla sua persona.
Email di lavoro e dati personali
Uno degli aspetti più rilevanti riguarda proprio la natura delle email aziendali.
Il Garante chiarisce che le comunicazioni contenute in una casella individuale non possono essere considerate esclusivamente aziendali, perché sono comunque riconducibili al lavoratore.
In questo senso, il provvedimento sottolinea che:
Le comunicazioni in transito su un account individualizzato sono riconducibili a dati personali dell’assegnatario
Da qui deriva l’impossibilità di escludere automaticamente le email di lavoro dal diritto di accesso.
Il limite alle scelte del datore di lavoro
Nel caso esaminato, l’azienda aveva effettuato una selezione preventiva dei messaggi da consegnare.
Secondo il Garante, questa modalità non è corretta. Il datore di lavoro non può decidere autonomamente quali dati fornire sulla base di una distinzione tra contenuti personali e professionali.
Eventuali limitazioni sono possibili solo in presenza di motivazioni concrete. Sul punto, il provvedimento precisa che:
La generica preoccupazione che l’accesso possa ledere diritti o segreti aziendali non è sufficiente, se non è dimostrato un pregiudizio concreto
Nel caso specifico, questa dimostrazione non è stata fornita.
Le altre criticità: conservazione e trasparenza
Il Garante ha rilevato anche problemi nella gestione dei dati.
In particolare, i tempi di conservazione delle email, fissati fino a cinque anni, sono stati considerati non proporzionati rispetto alle finalità dichiarate. Anche la conservazione dei dati di navigazione per dodici mesi è stata ritenuta eccessiva.
A questo si aggiunge una carenza nelle informative, giudicate poco chiare e non sufficientemente dettagliate.
La decisione finale
Alla luce delle violazioni accertate, il Garante ha ordinato all’azienda di consentire l’accesso completo ai dati richiesti e di adeguare le proprie policy interne.
È stata inoltre applicata una sanzione amministrativa di 50.000 euro, proporzionata alla gravità e alla durata delle violazioni.
Cosa cambia nella pratica
Il provvedimento offre indicazioni utili sia per i lavoratori sia per le aziende.
Per i primi, conferma che il diritto di accesso ai dati continua anche dopo la fine del rapporto. Per le seconde, rappresenta un richiamo a gestire queste richieste in modo corretto, evitando selezioni arbitrarie e rivedendo tempi di conservazione e informative.
Il punto che emerge con chiarezza è che, anche quando si utilizzano strumenti aziendali, i dati che riguardano il lavoratore restano dati personali e devono essere trattati nel rispetto delle regole.
