1. Il caso

Il Provvedimento n. 165 del 12 marzo 2026 del Garante Privacy origina da un reclamo proposto da un ex dipendente di una società  di assicurazioni, il quale lamentava di non aver ricevuto idoneo riscontro alla propria istanza di accesso ex art. 15 GDPR al contenuto della casella di posta aziendale individualizzata.

In questo provvedimento l’Autorità affronta tre questioni di rilevanza sistematica per la gestione della protezione dei dati personali nel contesto del rapporto di lavoro: i confini del diritto di accesso dell’ex dipendente alla casella di posta elettronica individualizzata, fornita dall’azienda; la liceità del trattamento di conservazione delle e-mail mediante backup per un periodo quinquennale; la riconduzione delle attività di backup della posta elettronica e di conservazione dei log di navigazione nell’ambito dell’art. 4 dello Statuto dei Lavoratori.

La vicenda in esame si è conclusa con l’irrogazione di una sanzione pari a €50.000 a carico della Società, accompagnata dall’ordine di consentire all’interessato l’accesso integrale alla propria corrispondenza e di adeguare le policy aziendali e i trattamenti effettuati alla normativa privacy entro 90 giorni.

È opportuno analizzare con precisione i tre profili di non conformità emersi dall’istruttoria del Garante.

2. L’e-mail aziendale individualizzata è dato personale ed è protetta dall’art. 8 CEDU

Di fronte all’istanza ex art. 15 GDPR, ITAS aveva consentito all’interessato l’accesso alle sole comunicazioni di carattere “strettamente personale”, ritenendo che la corrispondenza avente ad oggetto questioni lavorative dovesse rimanere nella propria esclusiva disponibilità e che questo legittimasse l’Organizzazione ad effettuare una cernita preventiva della corrispondenza.

L’Autorità contesta, in primo luogo, le scelte aziendali anzidette e avvia il proprio ragionamento ribadendo il granitico orientamento secondo il quale le comunicazioni elettroniche scambiate nel contesto lavorativo rientrano nelle nozioni di “vita privata” e “corrispondenza”, contemplate dall’art. 8 CEDU, richiamando a supporto i pertinenti arresti giurisprudenziali della Corte EDU (cfr: Niemietz c. Germania, Copland c. Regno Unito, Brbulescu c. Romania, Antonovi e Mirkovi c. Montenegro).

Il Garante, inoltre, ricorda che il trattamento dei dati effettuato nel contesto del rapporto di lavoro mediante strumenti tecnologici deve rispettare i diritti, le libertà fondamentali e la dignità dell’interessato. Conseguentemente, come affermato nel documento recante “Linee Guida per posta elettronica e Internet”, la corrispondenza elettronica gode delle “garanzie di segretezza tutelate anche costituzionalmente” indipendentemente dalla natura personale o professionale, al fine di “proteggere il nucleo essenziale della dignità umana e il pieno sviluppo della personalità nelle formazioni sociali”.

In secondo luogo, il Garante valuta la condotta della Società che, prima della consegna della corrispondenza all’ex dipendente, aveva filtrato il contenuto delle e-mail per stabilirne la natura personale o professionale ed effettuato un’attività di oscuramento e anonimizzazione, invocando l’esigenza di proteggere i diritti dei terzi e i segreti aziendali.

Lo scrutinio si conclude con il rilievo della violazione del diritto riconosciuto dall’art.15 GDPR, le cui uniche limitazioni sono: i) il carattere manifestamente infondato o eccessivo della richiesta (art. 12, par. 5) e ii) la tutela dei diritti e delle libertà altrui (art. 15, par. 4).  Avuto riguardo a questa ultima previsione, il considerando 63 annovera anche “il segreto industriale e aziendale e la proprietà intellettuale” tra gli elementi meritevoli di tutela. Tuttavia, il Garante ritiene non integrati tali presupposti: infatti, richiamando le “Linee Guida 1/2022 sui diritti degli interessati”, ricorda come non sia sufficiente invocare una “generica preoccupazione” che i diritti e le libertà altrui possano essere lesi dall’accoglimento dell’istanza di accesso, per negare il diritto alla disclosure o limitarne la portata. Al contrario, è necessario che venga dimostrato nella “situazione concreta” quali siano i diritti o le libertà altrui effettivamente minacciate dall’accesso.

3. La conservazione della posta elettronica tramite backup è trattamento dei dati

Il Garante prosegue la disamina illustrando le ragioni di illiceità della conservazione del contenuto delle caselle di posta elettronica dei dipendenti, mediante backup off-line, per una durata di 5 anni dalla cessazione del rapporto. ITAS aveva motivato tale scelta con la necessità di preservare il patrimonio informativo ma le policy aziendali omettevano di disciplinare l’attività di backup, giacché la Società, come illustrato in sede di istruttoria, riteneva che la mera conservazione dei dati “in sistemi non on-line” non configurasse un’operazione di trattamento dei dati personali.

L’Autorità di controllo confuta la tesi difensiva anzitutto, recuperando nuovamente la definizione di “trattamento di dati” di cui all’art. 4, par. 2 GDPR e chiarendo che l’“attività di conservazione della posta elettronica aziendale mediante backup del contenuto delle e-mail costituisce un’operazione di trattamento dei dati”, indipendentemente dalla modalità conservativa, che non rileva ai fini definitori. Per dirlo con le parole del Garante, ritenere che il backup in modalità offline non costituisca trattamento di dati personali è un’“interpretazione errata che non tiene conto della nozione più ampia di trattamento che è data dal Regolamento”.

Il precipitato di un tale ragionamento è che anche a tale attività si applicano integralmente i principi in materia di data protection, ivi compresi quelli di trasparenza e chiarezza, minimizzazione, limitazione delle finalità e limitazione della conservazione, tutti disattesi nel caso di specie.

Rispetto alla trasparenza e chiarezza, l’assenza della regolamentazione dell’attività di conservazione tramite backup nei documenti informativi destinati ai dipendenti ha impedito a questi ultimi di “conoscere le attività di trattamento effettivamente svolte sulla posta elettronica in transito sui propri account”, la loro finalità, i tempi di conservazione e i presupposti di legittimità. Infatti, come emerge dall’istruttoria, l’informativa resa ai dipendenti si limitava a indicare genericamente che “la società conserva, di regola, i dati del dipendente per un periodo di dieci anni dall’estinzione del rapporto di lavoro, salvo che sia previsto un periodo di conservazione diverso […]”. Per di più, essa divergeva in modo significativo dal documento sulle “Regole di utilizzo degli strumenti informatici” adottato, nel quale si legge che il periodo di conservazione delle comunicazioni elettroniche può variare significativamente in base a una serie di variabili come la finalità o il tipo di dato trattato. Tale indeterminatezza di contenuti, unitamente all’assenza di una specifica menzione dell’attività di conservazione tramite backup, ha condotto il Garante a ritenere integrata una violazione dei principi di cui all’art. 5 GDPR e dell’obbligo informativo ex art. 13 GDPR.

Invece, sotto i profili della minimizzazione, limitazione delle finalità e della conservazione, l’Autorità evidenzia un aspetto organizzativo importante e spesso ignorato dalle Organizzazioni: la continuità aziendale come generica finalità per la conservazione delle caselle di posta, anche individualizzate. Infatti, nel provvedimento viene sottolineato come tale legittima esigenza possa essere soddisfatta unicamente attraverso la predisposizione di “sistemi di gestione documentale”, i quali, mediante adeguate misure tecnologiche ed organizzative, consentano di archiviare i documenti rilevanti preservandone l’autenticità, integrità, affidabilità, leggibilità e reperibilità. I sistemi di posta elettronica, non assicurando tali caratteristiche, non possono essere utilizzati come un surrogato di un archivio documentale, come invece ha fatto ITAS.

Emerge allora un principio che le Aziende dovranno introiettare e riflettere nelle proprie policy: la scelta di conservare in blocco l’intero contenuto della casella di posta aziendale, anziché procedere ad un’archiviazione selettiva dei soli documenti aventi effettiva rilevanza giuridico-commerciale in appositi sistemi di gestione documentale, configura una violazione dei principi di minimizzazione e di limitazione della conservazione.

4. I log di navigazione e il backup della casella rientrano tra gli strumenti di controllo a distanza dell’attività lavorativa

L’Autorità chiude la propria riflessione attenzionando nuovamente, seppur sotto diverso profilo, l’attività di backup sopra descritta e quella di conservazione dei file di log della navigazione in Internet dei dipendenti per un periodo di 12 mesi, giustificata da finalità che includevano anche la “difesa dei propri diritti contro gli abusi previsti dalla legge”.

Secondo il Garante, tali attività rappresentano strumenti “potenzialmente idonei a realizzare un controllo sull’attività dei dipendenti in quanto consentono di trattare informazioni e dati personali riferiti ai lavoratori”. Una simile qualificazione implica l’esigenza per l’Azienda di rispettare il disposto dell’art. 4 dello Statuto dei Lavoratori (Legge 300/1970).

Nel caso di specie, il rischio di controllo a distanza è attuale e non risulta essere escluso dalla circostanza, allegata dalla Società, che non vi siano stati in concreto accessi al contenuto della posta o delle navigazioni. Infatti, per l’attivazione dell’art. 4 dello Statuto è sufficiente la mera potenzialità di tale controllo.

Tanto premesso, l’Autorità di controllo contesta la violazione da parte di ITAS degli artt. 5, par. 1 lett. a) e 88 del Regolamento per non aver rispettato quanto previsto dall’art. 4 dello Statuto, dato che nessun accordo sindacale né autorizzazione dell’Ispettorato risultavano acquisiti prima di avviare le attività di backup e conservazione dei log di navigazione, potenzialmente idonee a controllare i dipendenti.

5. Conclusioni

Il Provvedimento n. 165/2026 si contraddistingue per l’organicità e la chiarezza delle motivazioni, oltre che per la capacità di affrontare i più rilevanti temi di data protection riferiti al trattamento dei dati nel rapporto di lavoro.

Il primo profilo, rappresentato dalla portata del diritto di accesso ex art. 15 GDPR rispetto alla posta elettronica aziendale, è forse quello di maggiore impatto pratico e sistematico. Il Garante ribadisce che la titolarità fisica dell’infrastruttura non corrisponde alla titolarità dei dati personali che ivi vi transitano. Pertanto, il datore di lavoro non è titolare di un potere di filtraggio rispetto alla corrispondenza elettronica del dipendente. La messaggistica transitante su un account aziendale individualizzato contiene dati personali che sono del dipendente e che, in quanto tali, devono risultare pienamente consultabili, prescindendo dal carattere eventualmente professionale della corrispondenza. In termini operativi, le imprese devono predisporre procedure chiare e conformi per il riscontro alle istanze di accesso presentate dai lavoratori, favorendo un approccio orientato all’accoglimento delle stesse e fondando le eventuali limitazioni su elementi di fatto concreti e documentati.

Il secondo profilo, ossia la liceità del backup generalizzato della posta elettronica, conferma un orientamento consolidato chiarendone i contorni applicativi: la conservazione effettuata mediante backup in modalità offline è a tutti gli effetti un trattamento di dati personali, che, in quanto tale, deve rispettare i principi privacy. Conseguentemente, per il principio di limitazione e minimizzazione, le Aziende devono conservare la documentazione aziendale, anche quella che transita negli account di posta elettronica individualizzata, mediante un sistema di gestione documentale ad hoc, non già mediante backup dell’intera casella. Di tale trattamento, inoltre, devono essere edotti i dipendenti attraverso adeguate informative che illustrino le modalità di archiviazione documentale e il destino dei relativi dati.

Il terzo profilo concerne, infine, il raccordo tra normativa privacy e disciplina giuslavoristica con riferimento ai log di navigazione e al backup stesso, considerati strumenti di potenziale controllo a distanza dei lavoratori e, per l’effetto, richiede il rispetto dell’art. 4 dello Statuto dei lavoratori e della relativa procedura di garanzia.

Arianna Ciracò, avvocato  in Prato

Visualizza il documento: Garante privacy, 12 marzo 2026, n. 165

Scarica il commento in PDF

L'articolo Il Garante Privacy sanziona la violazione dei principi data protection nei confronti di un ex dipendente di una società di assicurazioni sembra essere il primo su Rivista Labor - Pacini Giuridica.