19 mag Email aziendale e privacy del lavoratore: verso un equilibrio possibile?

Il provvedimento del Garante per la protezione dei dati personali del 12 marzo 2026 (n. 10233328, Registro provvedimenti n. 165) torna a interrogarsi su un nodo tutt’altro che risolto: fino a che punto il datore di lavoro può disporre delle comunicazioni elettroniche transitate sulla casella aziendale assegnata al dipendente? E quali diritti conserva quest’ultimo — anche dopo la cessazione del rapporto — sulla corrispondenza che vi ha generato?

I. Il caso: accesso selettivo e “anonimizzazione” delle email

La vicenda da cui origina il provvedimento riguarda un ex dipendente di una compagnia assicurativa che, successivamente alla cessazione del rapporto lavorativo, richiedeva di accedere ai documenti archiviati sul proprio pc aziendale e alla casella di posta elettronica individualizzata — del formato nome.cognome@azienda — utilizzata durante l’impiego.

La società acconsentiva, in parte, alla richiesta: consentiva il recupero dei file personali dal desktop e consegnava alcune comunicazioni definite “strettamente personali” — tra cui scambi con familiari e documentazione fiscale —, trattenendo però tutti i messaggi ritenuti afferenti all’attività lavorativa, in quanto qualificati come patrimonio aziendale riservato. La corrispondenza veniva inoltre restituita, in un momento successivo, in forma parzialmente anonimizzata con riguardo ai dati dei terzi mittenti.

L’interessato contestava tale approccio selettivo, lamentando il mancato riscontro alla propria istanza di accesso formulata ai sensi dell’art. 15 del Regolamento (UE) 2016/679 (GDPR), e presentava reclamo al Garante.

II. Il quadro normativo di riferimento

Il provvedimento si inscrive in un tessuto normativo composito, che intreccia il GDPR con il diritto del lavoro nazionale. I principali riferimenti sono:

Articolo 8 CEDU e aspettativa di riservatezza. Il Garante richiama la giurisprudenza della Corte europea dei diritti dell’uomo (si veda, tra gli altri, Corte EDU, Grande Camera, 5 settembre 2017), secondo cui il confine tra sfera professionale e sfera privata non è mai netto: anche nell’ambito lavorativo l’individuo conserva un’aspettativa ragionevole di riservatezza sulle comunicazioni elettroniche, specie laddove la casella presenti un formato individualizzato.

Articolo 4 dello Statuto dei lavoratori (L. n. 300/1970), come riformato dal d.lgs. n. 151/2015. Qualsiasi strumento che consenta il controllo a distanza dell’attività lavorativa — ivi compresi, secondo l’orientamento prevalente, i sistemi di backup sistematico e i log di navigazione — richiede, per essere lecitamente attivato, un accordo collettivo con le rappresentanze sindacali (RSU o RSA) ovvero, in assenza, l’autorizzazione dell’Ispettorato Nazionale del Lavoro.

GDPR, articoli 5, 6, 12, 15 e 17. I principi di minimizzazione dei dati, limitazione della conservazione e trasparenza trovano applicazione diretta nella gestione delle caselle di posta elettronica, imponendo al titolare del trattamento di definire con precisione finalità, tempi e modalità di archiviazione dei messaggi.

Linee guida e documenti di indirizzo del Garante. Il provvedimento richiama le “Linee guida per posta elettronica e Internet” e il “Documento di indirizzo su programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” del giugno 2024 (doc. web n. 10026277).

III. I profili di criticità rilevati dall’Autorità

a) La casella email individualizzata come spazio di potenziale vita privata

Il Garante ribadisce che una casella del tipo nome.cognome@azienda.it, per la sua stessa struttura, è idonea a contenere comunicazioni di natura non esclusivamente professionale. L’aspettativa di riservatezza dell’interessato — e dei terzi mittenti — appare pertanto meritevole di tutela indipendentemente dal contenuto effettivo dei singoli messaggi. Il titolare del trattamento che accede alla casella, anche a seguito della cessazione del rapporto, non parrebbe quindi legittimato a operare una selezione discrezionale delle comunicazioni da consegnare, escludendo quelle ritenute “aziendali”.

Questa impostazione, già tracciata in precedenti interventi (si vedano, tra gli altri, il provvedimento del 18 dicembre 2025, n. 754, e quello del 9 ottobre 2025, n. 613), viene ora ulteriormente consolidata: la qualificazione del messaggio come “lavorativo” o “personale” non potrebbe spettare unilateralmente al datore di lavoro, giacché tale valutazione invaderebbe la sfera di controllo esclusivo del dipendente sul proprio patrimonio informativo.

b) Il backup sistematico come strumento di controllo a distanza

Uno degli aspetti di maggiore impatto pratico riguarda il trattamento dei sistemi di archiviazione automatica. La società conservava le email per un periodo di cinque anni, motivando tale scelta con la necessità di preservare il proprio patrimonio informativo. L’Autorità ha ritenuto che un simile sistema di backup sistematico, applicato all’intera posta elettronica, presenti le caratteristiche di uno strumento potenzialmente idoneo al controllo a distanza dei lavoratori. In quanto tale, sembrerebbe soggetto alle garanzie previste dall’art. 4 dello Statuto dei lavoratori: in assenza di accordo sindacale o di autorizzazione ispettiva, la base giuridica del trattamento risulterebbe carente.

Analoghe considerazioni sembrerebbero estendersi ai log di navigazione internet, la cui conservazione per dodici mesi è stata parimenti ritenuta non proporzionata alla finalità dichiarata di sicurezza informatica, alla luce del principio di limitazione della conservazione sancito dall’art. 5, par. 1, lett. e), del GDPR.

c) Il diritto di accesso e la sua portata

L’istanza dell’interessato si fondava sull’art. 15 del GDPR, che attribuisce al dipendente il diritto di ottenere copia delle informazioni personali oggetto di trattamento. Il Garante ha ritenuto che il riscontro fornito dalla società — selettivo, parziale e con anonimizzazione non richiesta dei dati di terzi — non soddisfacesse i requisiti di completezza imposti dalla disposizione. Va osservato che l’anonimizzazione dei riferimenti ai mittenti esterni, pur in astratto conciliabile con le esigenze di tutela di soggetti estranei al rapporto, non potrebbe essere utilizzata come criterio per sottrarre al reclamante l’intero contenuto dei messaggi di interesse lavorativo.

d) La gestione della casella di posta post-cessazione

Il provvedimento affronta anche le modalità di disattivazione del profilo email a seguito della cessazione del rapporto. Nel caso esaminato era previsto un periodo di disattivazione di quattordici giorni, seguito dalla cancellazione definitiva. L’Autorità ha sottolineato l’importanza che il datore di lavoro predisponga, prima di procedere alla disattivazione, procedure che consentano all’interessato di recuperare le proprie comunicazioni, in conformità a quanto indicato nelle linee guida sul trattamento dei metadati. La sola conservazione offline dei messaggi, senza ulteriori accessi da parte del titolare, potrebbe rappresentare una misura transitoria adeguata, purché accompagnata da procedure trasparenti e temporalmente definite.

IV. La sanzione e il suo significato sistemico

Il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 50.000, ravvisando la violazione degli artt. 5, 12 e 15, nonché — per il profilo del backup sistematico — dei presupposti di liceità del trattamento di cui all’art. 6 del GDPR, letti in combinato disposto con l’art. 4 dello Statuto dei lavoratori.

Sul piano quantitativo, la misura si colloca in una fascia medio-bassa rispetto ai massimi edittali previsti dal Regolamento; il suo significato va tuttavia apprezzato soprattutto come precedente interpretativo. Il provvedimento consolida un orientamento che la prassi aziendale sembra talora sottovalutare: la gestione della posta elettronica dei dipendenti non è una questione di mera organizzazione IT, bensì un terreno in cui prerogative datoriali e diritti fondamentali si incontrano — e talvolta si scontrano.

V. Implicazioni operative per i titolari del trattamento

Il provvedimento offre spunti di riflessione per tutte le organizzazioni che gestiscono caselle di posta elettronica aziendali individualizzate. Di seguito si indicano, a mero titolo di esempio, alcune aree di intervento che potrebbe rivelarsi opportuno esaminare alla luce degli orientamenti espressi dall’Autorità.

▸ Nota operativa

Politiche di conservazione delle email. Un periodo di retention pari a cinque anni è stato ritenuto eccessivo rispetto alle finalità dichiarate. Appare opportuno ridefinire i tempi di archiviazione sulla base di una valutazione analitica degli scopi perseguiti (sicurezza informatica, difesa in giudizio, obblighi normativi), documentando le scelte nel Registro dei trattamenti. Per la sola finalità di sicurezza informatica, il Garante ha già in precedenti occasioni indicato che periodi significativamente più contenuti potrebbero risultare adeguati.

Sistemi di backup e accordo sindacale. Laddove il sistema di archiviazione automatica della posta consenta, anche solo potenzialmente, di ricostruire l’attività del lavoratore nel tempo, si rivelerebbe prudente verificare l’esistenza di un accordo collettivo o di un’autorizzazione ispettiva. In assenza, l’attivazione di tali sistemi parrebbe suscettibile di essere contestata come controllo a distanza non autorizzato.

Procedure di offboarding. Potrebbe risultare utile predisporre un protocollo strutturato per la gestione della casella di posta alla cessazione del rapporto: informativa preventiva al dipendente, finestra temporale adeguata per il recupero dei propri dati, modalità di accesso assistito e documentazione di tutte le operazioni effettuate.

Riscontro alle istanze di accesso. Il diritto ex art. 15 GDPR richiede un riscontro completo e non selettivo. Una risposta che esclude categorie di messaggi sulla base di una valutazione unilaterale del titolare potrebbe non soddisfare i requisiti normativi, indipendentemente dalla motivazione addotta.

Informativa ai dipendenti. La privacy policy nel contesto lavorativo dovrebbe descrivere in modo chiaro finalità e modalità di conservazione dei messaggi, le eventuali attività di backup e le procedure applicabili alla cessazione del rapporto, così da assicurare la trasparenza richiesta dagli artt. 13 e 14 del GDPR.

VI. Una linea di tendenza da presidiare con attenzione

Il provvedimento del 12 marzo 2026 si inscrive in una linea di tendenza ormai consolidata: il Garante considera la casella email individualizzata non come un semplice strumento di lavoro nella disponibilità esclusiva del datore, bensì come uno spazio che — per la sua struttura e per l’utilizzo fattone — incorpora dati personali meritevoli di protezione, riferibili sia al dipendente sia ai terzi con cui questi ha corrisposto.

Le implicazioni per le organizzazioni sono significative. La gestione della posta elettronica aziendale si rivela un ambito in cui compliance privacy, diritto del lavoro e policy IT devono necessariamente dialogare: una disciplina interna incoerente con i principi del GDPR, o un sistema di backup attivato senza le necessarie garanzie sindacali, potrebbe esporre il titolare del trattamento a procedimenti sanzionatori, anche a prescindere dall’esistenza di un danno concreto in capo all’interessato.

L’invito che emerge dalla decisione sembra essere quello di abbandonare un approccio meramente reattivo — affrontare il problema solo quando si presenta un reclamo — a favore di una progettazione preventiva dei flussi documentali aziendali, idonea a ridurre l’esposizione a trattamenti potenzialmente invasivi. Le soluzioni tecniche e organizzative esistono; la sfida consiste nell’integrarle in modo coerente con l’intero quadro normativo applicabile.

Riferimenti normativi e documentali

— Regolamento (UE) 2016/679 (GDPR), artt. 5, 6, 12, 13, 14, 15, 17

— D.lgs. 30 giugno 2003, n. 196 (Codice Privacy), come modificato dal d.lgs. 10 agosto 2018, n. 101

— L. 20 maggio 1970, n. 300 (Statuto dei lavoratori), art. 4, come modificato dal d.lgs. 14 settembre 2015, n. 151

— Garante per la protezione dei dati personali, provv. 12 marzo 2026, n. 165, doc. web n. 10233328

— Garante per la protezione dei dati personali, provv. 18 dicembre 2025, n. 754

— Garante per la protezione dei dati personali, provv. 9 ottobre 2025, n. 613, doc. web n. 10185435

— Garante per la protezione dei dati personali, “Documento di indirizzo. Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”, 6 giugno 2024, doc. web n. 10026277

— Corte EDU, Grande Camera, 5 settembre 2017

Avv. Domenico Balestra