Il Garante Privacy chiarisce che la casella email aziendale contiene dati personali del lavoratore e il diritto di accesso ex art. 15 GDPR non può essere limitato selezionando solo le email “personali” ed escludendo quelle “professionali”. Le aziende devono rivedere policy e procedure.
Un dipendente lascia l’azienda. Qualche settimana dopo chiede copia di tutti i dati contenuti nella propria casella email aziendale. L’azienda risponde consegnando alcune email — quelle ritenute personali — e trattenendo le altre, quelle di natura professionale, sostenendo di dover proteggere il proprio patrimonio informativo. Il dipendente presenta reclamo al Garante.
La domanda che molti lavoratori e molte aziende si pongono è se il dipendente possa accedere alle email aziendali dopo la fine del rapporto di lavoro: la risposta del Garante per la protezione dei dati personali, con il provvedimento n. 10233328 del 12 marzo 2026, è sì — e il filtro unilaterale applicato dall’azienda non è conforme al GDPR. La casella email aziendale è anche un contenitore di dati personali del lavoratore, e il diritto di accesso previsto dall’art. 15 del Regolamento UE n. 2016/679 non può essere compresso sulla base della natura professionale del contenuto.
Il caso: email professionali trattenute, email personali consegnate
Il provvedimento nasce dal reclamo di un ex dipendente che, dopo la cessazione del rapporto, aveva chiesto copia dei dati contenuti nella propria casella email aziendale. L’azienda aveva risposto operando un filtro preventivo: aveva consegnato le comunicazioni ritenute personali e aveva trattenuto quelle valutate come professionali, invocando esigenze di riservatezza e tutela del patrimonio informativo aziendale.
Il Garante ha ritenuto questa operazione non conforme alla logica del Regolamento. Le email legate all’attività lavorativa possono contenere dati personali del dipendente — valutazioni sul suo operato, istruzioni ricevute, contestazioni disciplinari, riferimenti all’organizzazione del lavoro — anche quando il contenuto è di natura professionale. Escluderle dall’accesso sulla base di questa distinzione comprime il diritto di accesso in modo non giustificato.
Il diritto di accesso ai dati personali: cosa prevede il GDPR
L’art. 15 del Regolamento UE n. 2016/679 riconosce a ogni persona il diritto di ottenere dal titolare del trattamento la conferma che i propri dati personali siano o meno trattati, e in caso affermativo di ottenerne copia. Gli artt. 12 e 15 del GDPR impongono al titolare trasparenza sul trattamento: le eventuali limitazioni devono poggiare su ragioni specifiche e dimostrabili, non su valutazioni discrezionali unilaterali.
La gestione difensiva delle richieste di accesso — basata su lettura preventiva delle email, esclusione di categorie di messaggi o sull’assunto che la posta di lavoro sia sottratta all’accesso — diventa quindi un’area ad alto rischio per le aziende.
L’azienda non è obbligata a consegnare tutto indiscriminatamente
Il provvedimento del Garante non impone alle aziende di consegnare indiscriminatamente ogni email contenuta nella casella. Nelle caselle individuali possono convivere dati personali del dipendente, dati personali di terzi — clienti, colleghi, fornitori — e informazioni riservate dell’organizzazione. Tutto questo può giustificare limitazioni e oscuramenti.
Il punto è però metodologico: il datore di lavoro non può operare un filtro discrezionale e unilaterale. Deve strutturare processi che consentano di gestire il bilanciamento tra i diritti in gioco — il diritto di accesso del lavoratore, la tutela dei dati di terzi, le esigenze di riservatezza aziendale — attraverso misure tecniche adeguate come oscuramenti e estrazioni mirate, nel rispetto dei principi previsti dall’art. 5 del GDPR. Il baricentro si sposta dall’arbitrio all’accountability: non conta solo il risultato, ma il processo con cui si arriva a quel risultato.
Il problema dell’archivio email: la casella non può diventare un magazzino
Il provvedimento solleva anche un tema organizzativo più ampio. Le caselle email aziendali vengono spesso utilizzate come archivio permanente di documenti e decisioni. Questo accumulo di dati — conservati per periodi lunghi e senza criteri selettivi — è in tensione con i principi di minimizzazione e limitazione della conservazione previsti dal GDPR.
La casella email dovrebbe tornare alla sua funzione originaria di strumento di comunicazione. La conservazione delle informazioni rilevanti dovrebbe essere affidata a sistemi strutturati e governati, separati dalla posta elettronica. In assenza di questa separazione, il rischio di violazioni e di contenzioso aumenta.
Il collegamento con i controlli a distanza
La gestione delle email aziendali si intreccia con la disciplina dei controlli a distanza prevista dall’art. 4 della legge n. 300 del 1970. L’accesso e la gestione della posta elettronica del dipendente da parte del datore possono incidere indirettamente sull’attività del lavoratore e richiedere il rispetto delle procedure previste dalla norma. Il rischio per le aziende non è solo sanzionatorio in ambito privacy, ma anche organizzativo e probatorio.
La regola pratica per le aziende
Le aziende devono adottare una policy formalmente corretta sull’utilizzo della posta elettronica e sulla gestione delle richieste di accesso ai dati del lavoratore alla cessazione del rapporto. Questa policy deve prevedere procedure standard per rispondere alle richieste di accesso, misure tecniche per separare i dati del dipendente da quelli di terzi e dalle informazioni riservate, sistemi alternativi alla casella email per la conservazione documentale, e limitazioni temporali alla conservazione dei metadati della posta elettronica. La gestione informale di questi aspetti — affidata alla discrezionalità del singolo responsabile HR o IT — non è più accettabile.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Angelo Greco
Source link
