Cosa è successo: il provvedimento del Garante
Il 12 marzo 2026, il Garante della Privacy ha adottato un provvedimento che sta creando non poca preoccupazione negli ambienti aziendali.
La decisione riguarda un caso apparentemente semplice: un ex dipendente ha chiesto accesso a tutte le email della sua casella aziendale (nome.cognome@azienda.it) utilizzata durante il rapporto di lavoro.
L’azienda aveva rifiutato, consegnando solo le email a contenuto personale e trattenendo quelle contenenti informazioni riservate, dati sensibili dei clienti e strategie commerciali. Il Garante, tuttavia, ha dato ragione al lavoratore, ordinando all’azienda di consentire l’accesso completo a tutti i messaggi, e irrogando una sanzione amministrativa di 50mila euro.
Il ragionamento del Garante (e perché è controverso)
La logica della decisione si basa su un’idea: poiché la casella email è “personalizzata” (riporta il nome del dipendente), appartiene sostanzialmente al lavoratore, non all’azienda. Di conseguenza, il dipendente avrebbe il diritto di accedere a tutto il contenuto, salvo provare casi di segreti industriali (una prova che il Garante definisce “diabolica”).
Inoltre, il Garante ha ritenuto che anche le comunicazioni di lavoro, scambiate su un account individuale, rientrerebbero nella “vita privata” del lavoratore, rendendo illegittimo anche un semplice esame del contenuto per individuare le email personali.
Il problema pratico
Se interpretata alla lettera, questa decisione obbliga le aziende a consegnare ai dipendenti (al momento della cessazione) email che contengono:
- Dati sensibili di clienti e fornitori
- Strategie commerciali riservate
- Informazioni tecniche proprietarie
- Corrispondenza confidenziale con partner strategici
- Dati di altri dipendenti
I rischi concreti per le aziende
Il provvedimento del Garante è suscettibile di critica sotto diversi profili, e gli stessi consulenti del lavoro e gli osservatori legali hanno notato alcune incongruenze significative.
1. Confusione tra proprietà e diritti del lavoratore
Una casella email aziendale è uno strumento di lavoro di proprietà dell’azienda, proprio come il computer, il telefono o la scrivania. Il fatto che sia “personalizzata” non ne trasferisce la proprietà al dipendente. Tuttavia, il Garante sembra aver invertito questa logica.
2. Violazione della riservatezza di terzi
Le email aziendali contengono spesso dati di clienti, fornitori e altri dipendenti. Consegnare al lavoratore la corrispondenza integrale significa potenzialmente esporre dati personali di terzi senza il loro consenso, creando una violazione di privacy ancora più grave.
3. Rischi per il know-how aziendale
Uno studio di consulenza, un’azienda manifatturiera o un’agenzia di servizi ha nella propria corrispondenza email l’intero patrimonio operativo: relazioni con clienti, margini, metodologie, processi. La consegna indiscriminata di questa documentazione mette a rischio diretto la continuità aziendale.
4. Altre violazioni censurate dal Garante
Nel provvedimento, il Garante ha contestato anche:
- La conservazione delle email per 5 anni → ritenuta eccessiva (senza indicare quale sia il termine appropriato)
- La conservazione dei log di navigazione per 12 mesi → anch’essa ritenuta incongrua
- Il backup e il monitoraggio → il Garante sostiene che richiedano autorizzazione sindacale, ignorando le modifiche introdotte dal Jobs Act 2015
Nota importante
Gli osservatori legali segnalano che il Garante sembra ignorare una riforma fondamentale: il Jobs Act del 2015 ha tolto gli strumenti di lavoro dall’obbligo di autorizzazione sindacale preventiva. La posta elettronica aziendale dovrebbe rientrare in questa categoria, ma il Garante propone un’interpretazione “che riporta le lancette dell’orologio a prima del 2015”.
Cosa potete fare da subito
Per evitare situazioni analoghe, consigliamo di intervenire immediatamente sulla struttura della vostra gestione della posta elettronica. Ecco le azioni concrete:
Interventi prioritari
- Passare a caselle email collettive (dove possibile)
Anziché nome.cognome@azienda.it, utilizzate funzione@azienda.it o team@azienda.it (es. commerciale@azienda.it, amministrativo@azienda.it, consulenza@azienda.it). Questa è la soluzione più riconosciuta dal Garante per proteggere il patrimonio aziendale, perché elimina il carattere “personalizzato” che il Garante considera decisivo. - Aggiornare e formalizzare la policy aziendale
Documentate per iscritto che: (a) le caselle email sono strumenti di lavoro di proprietà aziendale; (b) l’uso personale è vietato o limitato; (c) l’azienda si riserva il diritto di monitorare e conservare i messaggi; (d) al termine del rapporto, l’accesso ai dati riservati non sarà concesso. - Verificare gli accordi sindacali in essere
Se avete accordi di secondo livello o contratti aziendali, controllate se contengono già clausole su monitoraggio, backup e conservazione. Se no, valutate se è opportuno integrarli. - Ridefinire i tempi di conservazione
Il Garante critica i 5 anni. Considerate di ridurre il periodo di conservazione della posta (ad es. 3 anni) documentando le motivazioni tecniche e operative. Per i log di navigazione, 6-9 mesi potrebbe essere un compromesso più accettabile. - Separare i flussi di comunicazione sensibile
Se tecnicamente possibile, create canali dedicati (ad es. email crittografate, gestioni documentali protette) per la corrispondenza altamente sensibile, per renderla distinguibile dalle comunicazioni ordinarie.
Conclusioni e prospettive
Il provvedimento del Garante della Privacy solleva perplessità significative sia sotto il profilo giuridico che operativo. Una lettura così ristretta del diritto di accesso ai dati personali rischia di compromettere seriamente l’operatività delle aziende, soprattutto di quelle che operano nel consulenza, nel manifatturiero e nei servizi.
D’altro canto, non è prevedibile che il Garante modifichi rapidamente la sua posizione. Pertanto, la strategia più prudente è adattare l’infrastruttura organizzativa della comunicazione aziendale alle nuove realtà interpretative, riducendo i rischi di sanzioni e contenziosi.
Lo strumento più efficace rimane il passaggio a caselle email collettive, accompagnate da una policy scritta e da una comunicazione trasparente ai dipendenti su come l’azienda gestisce la posta, quali dati conserva e per quanto tempo.
