Con il provvedimento n. 476/2026 il Garante per la protezione dei dati personali ha irrogato una sanzione di 460.000 euro a una società che aveva consultato oltre cento caselle di posta elettronica aziendale dei propri dipendenti. La decisione ricostruisce con precisione i limiti entro i quali il datore di lavoro può accedere agli account di posta assegnati al personale.
Il primo profilo contestato attiene alla conservazione. La società effettuava il backup integrale delle caselle per l'intera durata del rapporto di lavoro e per i cinque anni successivi alla cessazione, mantenendo inoltre i log di accesso per sei mesi. Tempi di questa ampiezza sono stati ritenuti sproporzionati rispetto alle finalità dichiarate e contrari al principio di limitazione della conservazione.
Il secondo profilo riguarda il controllo a distanza. L'accesso generalizzato alla corrispondenza elettronica dei dipendenti, in assenza delle garanzie procedurali dell'art. 4 dello Statuto dei lavoratori, integra un controllo sull'attività lavorativa privo di legittimazione. Né l'accordo sindacale né l'autorizzazione dell'Ispettorato del lavoro erano stati acquisiti; conseguentemente, i dati raccolti risultano inutilizzabili anche in sede disciplinare.
Sono state infine censurate un'informativa carente, priva dell'indicazione dei tempi di conservazione e delle modalità di accesso agli account, e la mancata risposta alle istanze presentate dagli interessati, in violazione dell'art. 12 del Regolamento europeo e dell'art. 157 del Codice privacy.
La pronuncia sollecita una revisione dei disciplinari aziendali sull'uso degli strumenti informatici. Le misure minime consistono in tempi di conservazione definiti e proporzionati, nella disattivazione dell'account alla cessazione del rapporto con risposta automatica che indichi un recapito alternativo, nella preventiva informativa al personale e nel coinvolgimento delle rappresentanze sindacali ove sia previsto un accesso ai contenuti.
provvedimento Garante per la protezione dei dati personali n. 476/2026 · art. 4 L. 300/1970 · artt. 5 e 12 Reg. UE 2016/679 · art. 157 D.Lgs. 196/2003