Il Garante per la protezione dei dati personali, con provvedimento n. 476 del 18 giugno 2026, riportato nella newsletter n. 550 del 29 luglio 2026, ha sanzionato per 460.000 euro una società per il trattamento illecito dei dati contenuti nelle caselle di posta elettronica aziendale e per l’utilizzo delle informazioni raccolte ai fini del controllo dei lavoratori. L’istruttoria, avviata in seguito ai reclami di due ex dipendenti, ha accertato che l’azienda aveva effettuato verifiche sui rispettivi account durante il rapporto di lavoro, acquisendo complessivamente 112 messaggi, alcuni dei quali erano stati successivamente utilizzati nell’ambito di procedimenti disciplinari. La società aveva qualificato tali verifiche come controlli difensivi, diretti ad accertare presunte condotte illecite.
Il Garante ha, tuttavia, ricordato che sia il contenuto dei messaggi sia i dati esteriori delle comunicazioni, compresi i log, sono informazioni rispetto alle quali il lavoratore conserva una legittima aspettativa di riservatezza, anche quando la posta elettronica rappresenta uno strumento utilizzato per lo svolgimento della prestazione.
Nel caso esaminato, le e-mail erano state sistematicamente raccolte e conservate mediante backup per tutta la durata del rapporto e fino a 5 anni dopo la sua cessazione, mentre i log di accesso venivano mantenuti per 6 mesi, tempi giudicati eccessivi e incompatibili con i principi di necessità, minimizzazione, proporzionalità e limitazione della conservazione stabiliti dal GDPR. Il datore di lavoro deve, infatti, determinare preventivamente tempi di conservazione adeguati alle specifiche finalità perseguite, sulla base di un idoneo presupposto di liceità, evitando raccolte generalizzate e indiscriminate. Quanto ai controlli difensivi, questi possono essere effettuati in presenza di un fondato sospetto e nel rispetto del necessario bilanciamento tra la tutela degli interessi aziendali e la dignità e la riservatezza del dipendente. Le verifiche devono, però, riguardare informazioni acquisite dopo l’insorgere del sospetto, mentre, nel caso concreto, la ricerca aveva interessato anche comunicazioni risalenti a circa due anni prima.
La conservazione sistematica di e-mail e log, consentendo di ricostruire l’attività svolta dai dipendenti, può, inoltre, configurare un controllo a distanza e deve, pertanto, rispettare le garanzie previste dall’art. 4, Legge n. 300/1970, richiamato dall’art. 114, Codice privacy.
L’Autorità ha rilevato anche l’inadeguatezza dell’informativa fornita al personale, che non indicava con sufficiente chiarezza finalità, basi giuridiche e criteri di conservazione, nonché la mancata risposta alle richieste degli ex dipendenti circa l’avvenuta disattivazione degli account. Alla cessazione del rapporto, infatti, l’indirizzo individualizzato dev’essere disattivato e successivamente rimosso, predisponendo un messaggio automatico che informi i mittenti e indichi eventuali recapiti alternativi, senza consentire al datore di visualizzare le nuove comunicazioni. Accertata la violazione di numerose disposizioni del GDPR e del Codice privacy, il Garante ha vietato alla società di accedere ai dati raccolti e conservati nei propri sistemi, applicato la sanzione di 460.000 euro e disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito.
