Un recente provvedimento del Garante per la protezione dei dati personali, adottato il 12 marzo 2026, riporta al centro dell’attenzione il tema della gestione della posta elettronica aziendale individuale e dei diritti di accesso dell’ex dipendente ai dati contenuti nella casella utilizzata durante il rapporto di lavoro.
Il caso
La decisione trae origine dal reclamo di un ex dipendente che, dopo la cessazione del rapporto, aveva chiesto alla società datrice di lavoro copia integrale della corrispondenza contenuta nella casella email aziendale a lui assegnata (del tipo nome.cognome@azienda.it), utilizzata nello svolgimento dell’attività lavorativa.
L’azienda, ritenendo la richiesta eccessivamente ampia, aveva consegnato all’ex lavoratore soltanto le comunicazioni di carattere personale, negando l’accesso alle email relative all’attività lavorativa, in quanto contenenti informazioni riservate e dati aziendali sensibili.
Il lavoratore si è quindi rivolto al Garante Privacy, lamentando la violazione del proprio diritto di accesso ai dati personali.
La decisione del Garante
Il Garante ha accolto il reclamo dell’ex dipendente, ritenendo che l’interessato abbia diritto ad accedere integralmente alla corrispondenza presente nella casella email aziendale individualizzata utilizzata durante il rapporto di lavoro.
Secondo l’Autorità:
- anche le comunicazioni elettroniche scambiate sul luogo di lavoro rientrano nella nozione di “vita privata” e di “corrispondenza”;
- la distinzione tra ambito lavorativo e personale non è sempre chiaramente tracciabile;
- l’utilizzo di una casella nominativa rafforza l’aspettativa di riservatezza del dipendente.
Di conseguenza, il datore di lavoro è stato obbligato a consentire l’accesso integrale alla corrispondenza, anche qualora essa contenga informazioni aziendali o dati riferiti a terzi, con evidenti criticità operative per le imprese.
Ulteriori rilievi del Garante
Nel provvedimento l’Autorità ha inoltre evidenziato ulteriori profili di possibile illegittimità nella gestione degli strumenti informatici aziendali, tra cui:
- la conservazione delle email per un periodo di cinque anni, ritenuta eccessiva;
- la conservazione dei log di navigazione internet per dodici mesi, considerata sproporzionata;
- l’utilizzo di sistemi di backup della posta elettronica e di registrazione dei log di navigazione come strumenti potenzialmente idonei al controllo a distanza dei lavoratori.
Secondo il Garante, tali strumenti sarebbero soggetti alle garanzie previste dall’art. 4 dello Statuto dei lavoratori, con necessità di accordo sindacale o autorizzazione dell’Ispettorato del lavoro.
Implicazioni per le aziende
La decisione evidenzia rischi significativi per le imprese, soprattutto quando:
- le caselle email sono nominative e individualizzate;
- la corrispondenza contiene informazioni riservate aziendali;
- sono presenti dati riferiti a clienti, fornitori o colleghi.
In tali casi, la richiesta di accesso dell’ex dipendente potrebbe comportare la trasmissione di documentazione strategica o confidenziale, con potenziali conseguenze in termini di tutela del know-how aziendale e della riservatezza.
Possibili misure preventive
Alla luce dell’orientamento espresso dal Garante, le aziende dovrebbero valutare l’adozione di misure organizzative e tecniche idonee a ridurre i rischi, tra cui:
- utilizzo di caselle email funzionali o di team (es. ufficio.acquisti@azienda.it);
- policy aziendali chiare sull’uso della posta elettronica;
- limitazione dei tempi di conservazione dei dati;
- regolamentazione dei sistemi di backup e logging;
- informativa privacy aggiornata per i lavoratori.
Conclusioni
Il provvedimento conferma un orientamento particolarmente rigoroso in materia di tutela dei dati personali dei lavoratori e impone alle aziende una revisione delle modalità di gestione della posta elettronica aziendale. In particolare, l’utilizzo di caselle individualizzate può esporre il datore di lavoro all’obbligo di consegnare all’ex dipendente l’intero contenuto della corrispondenza, con potenziali impatti sull’organizzazione e sulla protezione delle informazioni aziendali riservate.