Il Garante della Privacy, con Provvedimento n. 476 del 18 giugno 2026 ha sanzionato Piaggio & C. S.p.A. per la gestione delle caselle di posta elettronica aziendali dei dipendenti e per l’utilizzo delle e-mail conservate ai fini di controlli interni e procedimenti disciplinari.
I fatti
L’azienda aveva effettuato accessi alle caselle di posta elettronica aziendali di due lavoratori, acquisendo numerose e-mail utilizzate successivamente nell’ambito di contestazioni disciplinari e dei conseguenti licenziamenti. Inoltre, i messaggi di posta elettronica venivano conservati in backup per tutta la durata del rapporto di lavoro e per diversi anni dopo la cessazione dello stesso.
Le principali violazioni contestate
Il Garante ha ritenuto illecito il trattamento dei dati per diverse ragioni:
Conservazione eccessiva delle e-mail e dei relativi log
Secondo l’Autorità, la conservazione sistematica delle e-mail aziendali per l’intera durata del rapporto e per anni successivi alla cessazione viola i principi di:
- limitazione delle finalità;
- minimizzazione dei dati;
- limitazione della conservazione;
- proporzionalità del trattamento.
La posta elettronica non può essere conservata senza una finalità specifica, predeterminata e adeguatamente comunicata ai lavoratori.
Accesso alle e-mail per controlli retroattivi
Il Garante ha chiarito che i cosiddetti “controlli difensivi” possono essere ammessi solo in presenza di un fondato sospetto di illecito e limitatamente a dati acquisiti successivamente all’insorgenza del sospetto. Nel caso esaminato, invece, l’azienda aveva ricostruito ex post la corrispondenza dei lavoratori risalendo fino a due anni prima dell’emersione dei sospetti.
Mancata risposta alle richieste degli ex dipendenti
L’azienda non aveva fornito riscontro alle richieste degli interessati sulla disattivazione delle loro caselle di posta elettronica, in violazione dei diritti riconosciuti dal GDPR.
Informativa non adeguata
Le policy aziendali non indicavano in modo sufficientemente chiaro:
- le finalità dei trattamenti;
- le basi giuridiche;
- i tempi di conservazione;
- le modalità dei controlli effettuabili sugli strumenti informatici.
Indicazioni di particolare interesse per le aziende
Dal provvedimento emergono alcuni principi di carattere generale:
Le e-mail aziendali contengono dati personali del lavoratore
Anche quando la casella è assegnata per finalità professionali, il lavoratore mantiene una legittima aspettativa di riservatezza sulla corrispondenza elettronica. Il contenuto dei messaggi e i relativi metadati (mittente, destinatario, data, orario, oggetto, allegati ecc.) sono tutelati dalla normativa privacy e dalle garanzie costituzionali sulla segretezza delle comunicazioni.
No al mantenimento dell’account dopo la cessazione
Alla cessazione del rapporto di lavoro, l’account individuale deve essere tempestivamente disattivato e successivamente eliminato. Per esigenze di continuità aziendale è possibile utilizzare sistemi automatici che informino i mittenti della cessazione del rapporto e forniscano recapiti alternativi, evitando però la visualizzazione delle nuove e-mail da parte dell’azienda.
Attenzione ai controlli sugli strumenti informatici
La raccolta sistematica e la conservazione delle e-mail e dei log possono integrare forme di controllo a distanza dei lavoratori. Pertanto tali trattamenti devono rispettare non solo il GDPR, ma anche l’art. 4 dello Statuto dei lavoratori, comprese le relative garanzie procedurali.
Sanzione
Il Garante ha dichiarato illecito il trattamento, ha vietato l’accesso ai dati raccolti e conservati illecitamente e ha irrogato una sanzione amministrativa di 460.000 euro nei confronti di Piaggio & C. S.p.A.
Conclusioni per le imprese
Il provvedimento conferma l’orientamento sempre più rigoroso del Garante in materia di posta elettronica aziendale. È quindi opportuno che le imprese:
- verifichino i tempi di conservazione delle e-mail e dei log;
- aggiornino le informative privacy e le policy ICT;
- definiscano procedure corrette per la gestione degli account alla cessazione del rapporto;
- riesaminino eventuali sistemi di monitoraggio e controllo degli strumenti informatici alla luce dell’art. 4 dello Statuto dei lavoratori e delle più recenti indicazioni del Garante.
Per ulteriori chiarimenti contattare i funzionari di riferimento:
Per Firenze: e.masi@confindutriatoscanacentroecosta.it; s.rinaldo@confindustriatoscanacentroecosta.it
Per Livorno: l.lorenzini@confindustriatoscanacentroecosta.it
Per Massa Carrara: a.biso@confindutriatoscanacentroecosta.it
Allegati
Questo contenuto è riservato ai soci. Accedi per leggere tutto.