TL;DR per il DPO
Non e' l'accesso in se' a essere stato contestato, ma l'infrastruttura che lo ha reso possibile: backup della posta per tutta la durata del rapporto piu' cinque anni, log per sei mesi, informativa carente. Chi conserva tutto puo' sempre ricostruire tutto, e per il Garante questa possibilita' e' gia' un controllo a distanza.
I fatti
Il procedimento nasce dai reclami di due ex dipendenti di Piaggio & C. Spa. Nel corso del rapporto di lavoro la societa' aveva effettuato accessi alle loro caselle di posta elettronica aziendale, acquisendo complessivamente 112 email, allo scopo dichiarato di verificare la fondatezza di presunti comportamenti illeciti.
Il punto che ha pesato di piu' e' un dettaglio cronologico. In alcuni casi le email acquisite risalivano a circa due anni prima che la societa' maturasse il sospetto. Non si trattava quindi di una verifica mirata su un fatto specifico, ma di una ricerca a ritroso dentro un archivio che esisteva gia', costruito prima e indipendentemente da qualunque sospetto.
Quell'archivio era il risultato di due scelte di conservazione: il backup dei dati di posta elettronica per tutta la durata del rapporto di lavoro e fino a cinque anni dopo la cessazione, e la conservazione dei relativi log per sei mesi. Il Garante ha giudicato entrambi i termini eccessivi.
Perche' diventa controllo a distanza
Il ragionamento dell'Autorita' e' quello ormai consolidato in materia di strumenti di lavoro: quando la raccolta e la conservazione sono sistematiche e prolungate, i trattamenti diventano idonei a ricostruire l'attivita' del dipendente. A quel punto non conta piu' l'intenzione del datore di lavoro, ma la capacita' oggettiva del sistema. E questa capacita' richiede le garanzie dello Statuto dei lavoratori, che nel caso non erano state attivate.
E' la ragione per cui la distinzione fra strumento di lavoro e strumento di controllo non si decide sulla carta ma sulla configurazione tecnica. Un client di posta e' uno strumento di lavoro; lo stesso client con retention illimitata dei backup e log conservati per mesi diventa un sistema di controllo, senza che nessuno abbia mai preso una decisione in tal senso.
Le altre contestazioni
- Tempi di conservazione eccessivi sia per le email aziendali sia per i log di accesso, in violazione del principio di limitazione della conservazione.
- Carenze nelle informazioni fornite ai dipendenti sulle finalita' e sulle basi giuridiche del trattamento: l'informativa non spiegava adeguatamente cosa venisse conservato, per quanto tempo e a quali condizioni fosse accessibile.
- Mancata risposta alle richieste di esercizio dei diritti degli ex dipendenti, in particolare a quelle relative alla conferma della disattivazione degli account.
Il Garante ha dichiarato illecito il trattamento dei dati personali relativi alla posta elettronica aziendale, ha vietato a Piaggio l'accesso ai dati raccolti e conservati sui propri sistemi e ha irrogato la sanzione amministrativa di 460mila euro.
Cosa verificare sui tuoi clienti, in concreto
1) Quanto durano i backup della posta elettronica dopo la cessazione del rapporto? Se la risposta e' 'non lo so' o 'per sempre', il problema esiste gia'. 2) Per quanto tempo restano i log di accesso alle caselle? 3) L'informativa ai dipendenti dice, con parole comprensibili, cosa viene conservato e per quanto? 4) Esiste una procedura scritta per disattivare gli account alla cessazione, con conferma all'interessato? 5) Esiste una procedura formale per l'accesso eccezionale alla casella di un dipendente, con presupposti, autorizzazione e verbalizzazione? Le prime tre sono domande da fare all'IT, non al responsabile del personale.
Il punto per chi segue piu' clienti
La gestione della posta elettronica aziendale e' probabilmente l'adempimento piu' trascurato fra quelli ad alto rischio sanzionatorio, perche' sta a meta' fra due funzioni: l'IT decide la retention tecnica, le risorse umane scrivono l'informativa, e quasi mai le due cose vengono confrontate. Il registro dei trattamenti e' il posto giusto dove farlo emergere, perche' obbliga a scrivere il termine di conservazione accanto alla finalita'. Se in un registro il trattamento 'posta elettronica dei dipendenti' non c'e', o c'e' con un termine generico, quel cliente ha lo stesso problema di Piaggio, solo su scala minore.
Fonte ufficiale:Garante per la protezione dei dati personali - Newsletter n. 550 del 29 luglio 2026; provvedimento del 18 giugno 2026 [doc-web 10272529]Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
