50.000 euro di sanzione. È quanto ha dovuto pagare un’azienda del settore assicurativo per aver gestito in modo scorretto le email aziendali dei propri dipendenti.

Il provvedimento n. 165 del 12 marzo 2026 del Garante per la Protezione dei Dati Personali ha stabilito principi chiari che ogni datore di lavoro dovrebbe conoscere. Perché le regole sulle email aziendali sono più stringenti di quanto molti immaginino.

Il caso: un ex dipendente chiede accesso alle proprie email aziendali

La vicenda nasce da una richiesta apparentemente semplice. Un ex dipendente, dopo la cessazione del rapporto di lavoro, chiede di accedere ai dati contenuti nella propria casella email aziendale.

L’azienda risponde consegnando solo le email ritenute “personali”, escludendo quelle relative all’attività lavorativa. Il ragionamento era: le comunicazioni di lavoro appartengono all’azienda, non al dipendente.

Sbagliato.

Il Garante ha stabilito che tutte le email presenti in una casella individualizzata (del tipo nome.cognome@azienda.it) costituiscono dati personali del lavoratore. Il datore di lavoro non può decidere autonomamente cosa consegnare e cosa trattenere. Il diritto di accesso previsto dall’articolo 15 del GDPR riguarda l’intero contenuto della casella.

Le email aziendali sono dati personali del dipendente

Questo è il primo principio da comprendere: la casella email aziendali con nome e cognome del dipendente rientra nella sua sfera personale, anche se lo strumento è fornito dall’azienda per finalità lavorative.

Il GDPR definisce dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile. Un’email inviata da mario.rossi@azienda.it è inevitabilmente riconducibile a Mario Rossi, indipendentemente dal contenuto.

Questo non significa che il datore di lavoro non abbia alcun diritto sui contenuti aziendali. Significa che deve gestire la situazione in modo trasparente, con regole chiare comunicate in anticipo, nel rispetto dei principi del GDPR.

Il problema della conservazione: cinque anni sono troppi

Nel caso esaminato dal Garante, l’azienda conservava le email aziendali dei dipendenti tramite backup per un periodo di cinque anni. L’obiettivo dichiarato era tutelare il patrimonio informativo aziendale e rispondere a eventuali richieste degli organi di vigilanza.

Il Garante ha ritenuto questa pratica contraria ai principi di minimizzazione e limitazione della conservazione previsti dal GDPR. Non si possono conservare sistematicamente tutte le email per anni solo “nel caso servissero”.

Il punto critico è che questa conservazione non era nemmeno indicata nell’informativa ai dipendenti. I lavoratori non sapevano che le loro comunicazioni venivano archiviate per un periodo così lungo.

Backup e log: servono accordi sindacali

C’è un aspetto che molte aziende sottovalutano. Il backup della posta elettronica e i log di navigazione internet, secondo il Garante, rientrano tra gli strumenti dai quali può derivare un controllo a distanza dell’attività dei lavoratori.

Questo significa che si applica l’articolo 4 dello Statuto dei Lavoratori: tali strumenti possono essere utilizzati solo previo accordo sindacale o autorizzazione dell’Ispettorato del Lavoro.

Non conta se l’azienda effettivamente utilizzi questi dati per controllare i dipendenti. Conta che potrebbe farlo. La sola possibilità teorica di controllo è sufficiente a far scattare l’obbligo dell’accordo preventivo.

Nel provvedimento, il Garante ha contestato proprio questo: l’azienda dichiarava di non aver mai effettuato controlli sui dipendenti, ma la policy aziendale prevedeva esplicitamente la possibilità di farlo. E non c’era alcun accordo sindacale.

L’informativa non può essere generica

Uno degli errori più comuni è pensare che basti un’informativa privacy standard, magari scaricata da internet e adattata con il nome dell’azienda.

Il Garante ha ribadito che l’informativa deve essere specifica e dettagliata. Deve indicare chiaramente quali trattamenti vengono effettuati, con quali finalità, per quanto tempo vengono conservati i dati, chi può accedervi.

Se l’azienda conserva le email aziendali tramite backup, deve dirlo. Se conserva i log di navigazione, deve dirlo. Se si riserva la possibilità di accedere alla casella del dipendente in determinati casi, deve specificare quali.

Un’informativa generica che non riflette le pratiche reali dell’azienda non soddisfa i requisiti del GDPR e espone a sanzioni.

Cosa succede quando il dipendente lascia l’azienda

La gestione dell’account email dopo la cessazione del rapporto di lavoro è un altro tema critico.

Molte aziende mantengono attive le caselle degli ex dipendenti per mesi, a volte anni, per non perdere comunicazioni potenzialmente importanti. Altre le chiudono immediatamente, rischiando di perdere informazioni rilevanti.

Il Garante ha indicato che la conservazione prolungata della casella email di un ex dipendente richiede giustificazioni specifiche e deve essere limitata nel tempo. Non è accettabile mantenere un archivio completo delle comunicazioni per anni dopo la fine del rapporto.

Una soluzione pratica suggerita da diversi esperti è l’utilizzo di caselle email funzionali (tipo amministrazione@azienda.it o commerciale@azienda.it) in affiancamento a quelle individualizzate. Le comunicazioni di rilevanza aziendale possono transitare su caselle non personali, facilitando la gestione dopo l’uscita del dipendente.

Le conseguenze pratiche per le aziende

Il provvedimento del Garante non è un caso isolato. È parte di un orientamento consolidato che richiede alle aziende di ripensare la gestione della posta elettronica.

Cosa dovrebbe fare concretamente un’azienda?

Primo: mappare con precisione tutti i trattamenti relativi alle email aziendali. Non solo il contenuto delle comunicazioni, ma anche log, metadati, backup, sistemi di archiviazione.

Secondo: verificare i tempi di conservazione. Ogni categoria di dati deve avere una retention definita e giustificata. Non si può conservare tutto per sempre “a scopo cautelativo”.

Terzo: aggiornare l’informativa ai dipendenti. Deve descrivere in modo chiaro e completo cosa viene trattato, come, per quanto tempo, da chi. Se l’informativa non riflette la realtà, va riscritta.

Quarto: predisporre una policy sull’utilizzo degli strumenti informatici. Deve essere specifica per l’azienda, non un modello generico. Deve indicare cosa è consentito e cosa no, quali controlli possono essere effettuati, in quali circostanze.

Quinto: verificare la necessità di accordi sindacali. Se i sistemi di backup o monitoraggio possono teoricamente consentire il controllo dell’attività dei dipendenti, serve un accordo preventivo o l’autorizzazione dell’Ispettorato.

Sesto: definire procedure chiare per la cessazione del rapporto. Cosa succede alla casella email? Chi vi accede? Per quanto tempo viene conservata? Tutto deve essere previsto in anticipo e comunicato.

Il diritto di accesso non si può limitare arbitrariamente

Un ultimo punto importante riguarda le richieste di accesso ai dati da parte dei dipendenti o ex dipendenti.

Il GDPR prevede che ogni interessato possa chiedere accesso ai propri dati personali. Il titolare del trattamento deve rispondere entro 30 giorni, fornendo copia dei dati richiesti.

Nel caso esaminato, l’azienda aveva cercato di limitare l’accesso selezionando preventivamente le email aziendali da consegnare. Il Garante ha stabilito che questo approccio non è legittimo. Il datore di lavoro non può fare da filtro, decidendo cosa l’interessato debba o possa vedere.

Le uniche limitazioni ammesse sono quelle espressamente previste dal GDPR: tutela dei diritti di terzi, segreti aziendali specifici e documentati, esigenze di difesa in giudizio motivate. Ma devono essere eccezioni circostanziate, non scuse generiche per negare l’accesso.

Conclusione: la compliance email è diventata urgente

La gestione della posta elettronica aziendale non è più un tema che si può affrontare con superficialità. Il provvedimento del Garante del marzo 2026 conferma un orientamento chiaro: le aziende devono essere trasparenti con i dipendenti su come vengono trattate le loro comunicazioni.

Le sanzioni possono essere significative, ma il danno reputazionale e il contenzioso con ex dipendenti possono costare ancora di più.

La buona notizia è che adeguarsi non richiede stravolgimenti tecnologici. Richiede chiarezza: sapere cosa si fa, comunicarlo correttamente, farlo nel rispetto delle regole.

Chi non ha ancora affrontato il tema, dovrebbe farlo ora. Prima che arrivi una richiesta di accesso o un’ispezione a ricordare che le email dei dipendenti non sono solo “roba dell’azienda”.

Garante Privacy – provvedimento 165/2026 sul caso riguardante le email aziendali

P.I. Computers supporta le aziende nella compliance privacy: audit dei sistemi IT, redazione di policy e informative, formazione del personale. Richiedi una consulenza →