La posizione del Garante e il quadro generale

Sta facendo, molto, discutere in questi giorni tra gli addetti ai lavori la nota del Garante per la protezione dei dati personali, pubblicata sulla newsletter n. 546 del 15 aprile 2026, nella quale, condannando l’azienda con una sanzione amministrativa di 50.000 euro per una serie di violazioni accertate, è stato affermato che un lavoratore, dopo la cessazione del proprio rapporto di lavoro, può accedere a tutti i messaggi del proprio account email aziendale e ai documenti presenti nel pc. Eventuali limitazioni, secondo il Garante, vanno motivate specificatamente, come nel caso di segreti aziendali.

Le ragioni della perplessità interpretativa

La decisione dell’Authority ha destato molte perplessità per una serie di ragioni che cercherò, succintamente, di ricapitolare.

La vicenda concreta e la richiesta di accesso email aziendale

Il tutto ha inizio con la richiesta di una ex dipendente di una compagnia assicurativa che, dopo la cessazione del rapporto, aveva presentato una domanda di accesso al contenuto della casella di posta elettronica aziendale posta a disposizione dall’impresa (nella sostanza l’account comprendeva il nome, il cognome della lavoratrice ed il nome dell’azienda, assegnatole per svolgere la propria attività con il pc messo a disposizione dalla società). Nall’istanza la ex dipendente chiedeva di ottenere tutta la posta presente sul proprio indirizzo, senza alcuna distinzione. L’azienda aveva fornito copia dei contenuti delle mail di carattere strettamente personale, escludendo quelle che riguardavano, direttamente, l’attività lavorativa che, tra l’altro, contenevano (almeno alcune) notizie riservate. L’interessata non era rimasta soddisfatta e, di conseguenza, aveva presentato ricorso al Garante per la privacy, lamentando che non le era stato garantito appieno il diritto di accesso.

L’istruttoria e la decisione del Garante

Al termine di una istruttoria lunga e complessa che ha presentato diverse interlocuzioni con la società di assicurazione, con la ex dipendente e con il legale di quest’ultima, il Garante, con la decisione del 12 aprile 2026 (doc. web 10233328), ha ritenuto che l’azienda abbia adottato comportamenti non conformi alla disciplina in materia di protezione dei dati in quanto, secondo la stessa, la richiesta di ricevere copie di “tutte le email presenti nella casella di posta elettronica esula dal diritto di accesso ex art. 15 del GDPR in quanto i dati e le informazioni sono di proprietà aziendale e la richiesta deve essere limitata ai dati personali contenuti nella casella email”.

La qualificazione dell’account “individualizzato”

Il Garante (in maniera alquanto opinabile, a mio avviso) ha ritenuto che la società dovesse mettere a disposizione della ex dipendente tutta la posta elettronica presente sul proprio account aziendale “individualizzato”, usato durante il rapporto di lavoro., perché la casella di posta elettronica, proprio perché “individualizzata” rientra nella piena disponibilità ex lavoratrice che, quindi ha diritto ad avere copia di tutto, salvo il caso dei documenti che, secondo il datore (il quale ne dovrebbe fornire, però, prova), contengano segreti aziendali. Secondo il Garante il datore di lavoro non avrebbe potuto effettuare, autonomamente, un accesso sull’account dell’interessata, neanche per consegnare le comunicazioni di carattere personale, atteso che “le comunicazioni in transito su un account individualizzato sono inevitabilmente riconducibili a dati personali dell’assegnatario”.

Le criticità sul confine tra vita privata e attività lavorativa

La decisione che, a mio avviso, sembra non essere al passo con i tempi pone serie questioni in quanto si afferma che le comunicazioni scambiate sul posto di lavoro rientrano nella nozione di “vita privata” e che la linea di confine tra la prestazione professionale e la sfera privata appare, talvolta, di difficile tracciabilità.

Profili relativi alla gestione e conservazione dei dati

Il Garante ritiene, inoltre, che vi siano forti criticità relativamente alla gestione dei dati, in particolare, per la mancanza di informative e per i tempi di conservazione (5 anni) e dei dati di navigazione (un anno) che vengono ritenuti eccessivi.

Backup, log e controllo a distanza dei lavoratori

C’è, inoltre, un passaggio che desta una ulteriore perplessità che riguarda sia il back up della posta elettronica che i log di navigazione: secondo l’Authority, trattandosi di strumenti attraverso i quali si può esercitare un controllo dell’attività dei lavoratori, è necessario che i sistemi vengano condivisi con un accordo sindacale o autorizzati dall’Ispettorato del Lavoro, competente per territorio (art. 4, comma 1 della legge n. 300/1970).

Il rapporto con l’art. 4, comma 2, dello Statuto dei lavoratori

La perplessità che ho appena evidenziato nasce dal fatto che il Garante sembra fornire una lettura non in linea con quanto previsto dal comma 2 del predetto art. 4 ove si afferma che “la disposizione di cui al comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa”, ove, a mio avviso, non può non rientrare il pc aziendale e l’account di posta elettronica fornito proprio per rendere operativa l’attività del dipendente.

Considerazioni finali sull’impatto operativo

Una considerazione finale che riguarda il possibile intervento dell’Ispettorato del Lavoro sull’autorizzazione per il “back up per la posta elettronica” inteso come forma di controllo rientrante nel comma 1: ve lo immaginate lo stato di paralisi in cui cadrebbero questi Uffici qualora dovessero esaminare centinaia di migliaia di richieste atteso che, al contempo, con i propri ridotti organici, debbono assicurare la vigilanza sui posti di lavoro, anche, e soprattutto, in materia di sicurezza e di lotta al lavoro nero, cosa che rappresenta il loro “core business”?