Con provvedimento dello scorso 12 marzo 2026, il Garante della Privacy ha accolto il reclamo di un ex dipendente di una compagnia assicurativa che aveva chiesto copia dei messaggi della propria casella di posta elettronica aziendale e dei documenti salvati nel pc in costanza di rapporto. Il Garante, richiamando l’orientamento della Corte europea dei diritti dell’uomo, ha osservato come la linea di confine tra ambito lavorativo/professionale e ambito strettamente privato non sempre possa essere tracciata con chiarezza, motivo per cui deve ritenersi applicabile, anche all’ambito lavorativo, l’art. 8, CEDU, posto a tutela della vita privata, e che anche le comunicazioni di tipo elettronico scambiate sul luogo di lavoro rientrano, quindi, nelle nozioni di “vita privata” e di “corrispondenza”, di cui al citato art. 8.
Ciò premesso, secondo il Garante, deve quindi ritenersi contraria ai principi in materia di protezione dei dati personali la condotta, posta in essere dalla Società, consistente nella decisione di esaminare preventivamente il contenuto delle e-mail presenti sull’account di posta elettronica individualizzato del lavoratore, al fine di limitare l’accesso dello stesso alle sole comunicazioni di carattere “strettamente personale”, sull’erroneo convincimento che lo scambio di corrispondenza, intrattenuto sull’account aziendale, sia di piena ed esclusiva disponibilità dell’azienda.
Per le medesime ragioni, a detta del Garante, deve ritenersi illecita anche l’ulteriore attività di oscuramento e anonimizzazione effettuata dalla Società sul contenuto della corrispondenza email, per rispondere all’esigenza di tutelare i diritti dei terzi e i segreti aziendali contenuti nelle e-mail. Nel caso di specie, infatti, la Società non avrebbe dimostrato alcun reale pregiudizio, neppure in via potenziale, al diritto al segreto industriale.
Secondo il Garante, il diritto di accesso riguarda quindi tutti i dati personali, comprese le comunicazioni intercorse tramite un account aziendale “personale”. Non è quindi legittimo selezionare preventivamente i contenuti da fornire né limitarli o oscurarli sulla base della distinzione tra ambito personale e professionale.
L’Autorità ha poi constatato anche la violazione nella gestione dei dati, in particolare per la mancanza di trasparenza nelle informative privacy consegnate ai lavoratori e per i tempi di conservazione delle email (5 anni) e dei dati di navigazione (12 mesi), ritenuti non proporzionati rispetto alle finalità dichiarate e in violazione con l’art. 4, St. Lav.
