Il Garante per la protezione dei dati personali torna a ribadire un principio importante per tutte le aziende: la gestione delle email aziendali non può trasformarsi in uno strumento di controllo sistematico dei dipendenti. Un recente provvedimento, concluso con una sanzione amministrativa di 460 mila euro, ricorda che la conservazione delle caselle di posta elettronica, dei backup e dei relativi log deve rispettare i principi del GDPR e le tutele previste dallo Statuto dei lavoratori.
Il caso è nato dai reclami presentati da due ex dipendenti che avevano contestato l’accesso alle proprie email aziendali e il mancato riscontro alle richieste sulla disattivazione degli account dopo la cessazione del rapporto di lavoro. L’istruttoria del Garante ha portato all’accertamento di diverse violazioni della normativa sulla protezione dei dati personali.
Cosa è successo
Nel corso dell’indagine è emerso che il datore di lavoro aveva effettuato accessi alle caselle di posta elettronica di due dipendenti per verificare la fondatezza di presunti comportamenti illeciti.
Complessivamente erano state acquisite 112 email, utilizzate anche nell’ambito dei procedimenti disciplinari.
Il Garante ha rilevato però che alcuni dei messaggi recuperati risalivano a periodi molto antecedenti rispetto alla nascita del sospetto, arrivando fino a circa due anni prima. Secondo l’Autorità, questo elemento rende incompatibile il trattamento con i principi che regolano i cosiddetti controlli difensivi, i quali devono riguardare dati acquisiti successivamente all’insorgere del fondato sospetto e non consentire una ricostruzione retroattiva dell’attività del lavoratore.
Backup delle email e tempi di conservazione eccessivi
Uno dei principali rilievi riguarda la politica di conservazione della posta elettronica.
Dall’istruttoria è emerso che:
- le email venivano conservate in backup per tutta la durata del rapporto di lavoro;
- i backup restavano disponibili fino a 5 anni dopo la cessazione del rapporto;
- i log della posta elettronica venivano conservati per 6 mesi.
Per il Garante, tempi di conservazione così estesi non rispettano il principio di limitazione della conservazione previsto dal GDPR e consentono, di fatto, di ricostruire nel tempo l’attività svolta dai dipendenti.
Quando il controllo delle email diventa illecito
Nel provvedimento viene ribadito un principio molto importante anche per gli altri datori di lavoro.
La raccolta sistematica delle email e dei relativi metadati può permettere di conoscere:
- con chi comunica il lavoratore;
- quando invia o riceve messaggi;
- la frequenza delle comunicazioni;
- altri elementi idonei a ricostruire l’attività lavorativa.
Secondo il Garante, quando tali trattamenti consentono un controllo a distanza dei lavoratori devono rispettare anche le garanzie previste dall’articolo 4 dello Statuto dei lavoratori, richiamato dal Codice Privacy. In assenza di tali garanzie, il trattamento dei dati risulta illecito.
Informative poco trasparenti
L’Autorità ha inoltre riscontrato carenze nelle informazioni fornite ai dipendenti.
In particolare, le informative non spiegavano in modo sufficientemente chiaro:
- perché venissero conservate email e log;
- quale fosse la base giuridica del trattamento;
- per quanto tempo i dati sarebbero stati mantenuti.
Il GDPR impone invece che tali informazioni siano fornite preventivamente e in modo trasparente, così da consentire ai lavoratori di conoscere come vengono trattati i propri dati personali.
Nessun riscontro alle richieste degli ex dipendenti
Tra le violazioni contestate figura anche il mancato riscontro alle richieste presentate dai due ex lavoratori.
Dopo la cessazione del rapporto avevano chiesto conferma della disattivazione delle rispettive caselle di posta elettronica aziendale, ma non avevano ricevuto risposta nei tempi previsti dalla normativa.
Anche questo comportamento è stato ritenuto contrario agli obblighi previsti dal GDPR in materia di esercizio dei diritti degli interessati.
Le modifiche introdotte durante il procedimento
Nel corso dell’istruttoria il datore di lavoro ha comunicato di aver aggiornato le proprie procedure interne.
Tra le principali modifiche figurano:
- riduzione della conservazione delle email da cinque anni a tre mesi dopo la cessazione del rapporto;
- riduzione della conservazione dei log della posta elettronica a 21 giorni;
- aggiornamento delle policy aziendali e delle informative rivolte ai dipendenti.
Il Garante ha preso atto favorevolmente di questi interventi, precisando però che le modifiche successive non eliminano le violazioni già commesse.
Cosa cambia per le aziende
Il provvedimento rappresenta un importante richiamo per tutti i datori di lavoro che gestiscono sistemi di posta elettronica aziendale.
In particolare, viene ribadito che:
- la conservazione delle email deve essere limitata al tempo strettamente necessario;
- i log devono essere mantenuti solo per periodi proporzionati alle finalità perseguite;
- le informative ai dipendenti devono essere complete e trasparenti;
- eventuali controlli devono rispettare sia il GDPR sia le garanzie previste dallo Statuto dei lavoratori.
La semplice disponibilità tecnica delle email aziendali non legittima, infatti, una conservazione indiscriminata dei messaggi né controlli generalizzati sull’attività dei dipendenti.
La decisione del Garante
Al termine del procedimento, con il provvedimento del 18 giugno 2026 Doc-Web 10272529, il Garante ha dichiarato illecito il trattamento dei dati personali effettuato nel caso esaminato, ritenendo violate numerose disposizioni del GDPR e del Codice Privacy. La notizia è emersa solo ora in quanto il provvedimento è stato tratto nella NEWSLETTER del Garante Privacy del 29 luglio 2026.
Garante Privacy: Provvedimento del 18 giugno 2026 [10272529] (70,8 KiB, 0 hits)
Oltre alla sanzione amministrativa di 460 mila euro, l’Autorità ha disposto il divieto di utilizzare i dati raccolti illecitamente, sottolineando che le violazioni hanno riguardato principi fondamentali come la liceità del trattamento, la minimizzazione dei dati, la limitazione della conservazione e la tutela dei diritti dei lavoratori.
Consulente del Lavoro iscritto al n. 238 dell'albo provinciale di Campobasso [Link all'albo di categoria], fondatore e direttore di Lavoro e Diritti. D.U. in Economia e Amministrazione delle Imprese (eq. Laurea in Economia Aziendale) conseguito presso l'Università degli Studi di Teramo. Iscritto nell'elenco speciale dell'Albo dei Giornalisti del Molise. Da quasi venti anni mi occupo di gestione del personale soprattutto per aziende medio piccole e per i più disparati settori. Negli anni mi sono specializzato anche in Previdenza e Welfare, aiutando e informando migliaia di lavoratori attraverso il sito e i canali social collegati.
