COMMENTO
A CURA DI STUDIO TRIBUTARIO GAVIOLI & ASSOCIATI | 6 AGOSTO 2026
Il contenuto dei messaggi di posta elettronica, come pure i dati esteriori delle comunicazioni e i file allegati, riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente, che proteggono il nucleo essenziale della dignità della persona e il pieno sviluppo della sua personalità nelle formazioni sociali. Ciò comporta che, anche nel contesto lavorativo pubblico e privato, sussista una legittima aspettativa di riservatezza in relazione ai messaggi oggetto di corrispondenza, così il Garante della Privacy con Newsletter del 29 luglio scorso .
Premessa
Il Garante per la protezione dei dati personali ha irrogato, ad una nota industria italiana, una sanzione di 460 mila euro, per violazioni della normativa sulla privacy relativa alla gestione delle caselle di posta elettronica aziendale, alla conservazione dei dati e alle attività di controllo dei dipendenti; è il contenuto di una Newletter pubblicata sul portale del Garante della Privacy il 29 luglio scorso che riepiloga il provvedimento sanzionatorio del 18 giugno 2026.
La richiesta di tutela al Garante
Con i reclami presentati al Garante nel luglio 2023 tramite i propri legali, due dipendenti hanno lamentato una violazione della disciplina in materia di protezione dei dati personali da parte della società da cui dipendevano e alle cui dipendenze avevano svolto attività lavorativa, fino al licenziamento per giusta causa, comunicato loro con lettera del marzo 2023.
Sulla base di quanto emerso dalle contestazioni disciplinari loro notificate (e prodotte in atti), risultava che la Società aveva acquisito, trattato e utilizzato:
- almeno 18 mail complessive transitate sulla casella mail aziendale di uno dei reclamanti nel periodo dal novembre 2020 al gennaio 2022;
- ben 94 mail complessive transitate sulla casella mail aziendale dell’altro reclamante.
Tale scambio di mail ha riguardato anche molti messaggi di posta elettronica transitati sulla casella di posta elettronica personale e scambiati con terzi.
L’Ufficio del Garante, pertanto, formulava nei confronti della Società una richiesta di informazioni, ai sensi dell’art. 157 del Codice della Privacy, invitandola a fornire osservazioni in merito a quanto rappresentato nei reclami, con particolare riferimento ai presupposti di legittimità alla base dell’accesso eseguito sugli account di posta elettronica aziendale dei due reclamanti.
Con successivi reclami, presentati all’Autorità nel settembre 2023, i reclamanti lamentavano che la Società, nel corso del rapporto di lavoro, aveva effettuato degli accessi alla corrispondenza in transito sui propri account di posta elettronica aziendale di tipo individualizzato, e aveva acquisito numerose e-mail, transitate sui predetti account e sulle caselle di posta elettronica personale, per poi utilizzarle nell’ambito dei procedimenti disciplinari.
L’Ufficio del Garante provvedeva a notificare alla Società l’atto di avvio del procedimento sanzionatorio; la Società, inviava le proprie memorie difensive.
L’analisi del Garante
Osserva il Garante che risulta accertato che i reclamanti hanno chiesto alla Società, in due distinte occasioni, la conferma dell’avvenuta disattivazione degli account di posta elettronica aziendale di tipo individualizzato, a seguito dell’interruzione dei rapporti di lavoro.
Tali richieste erano motivate dalla necessità di conoscere lo stato dei suddetti account, avendo constatato che la Società aveva effettuato degli accessi finalizzati all’acquisizione di e-mail per muovere nei loro confronti degli addebiti disciplinari.
Ciò comporta, da un lato, che le richieste, sebbene non contenessero espliciti richiami alle disposizioni del Regolamento UE 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, in tema di esercizio dei diritti, dovessero in ogni caso essere lette alla luce delle disposizioni vigenti in materia di trattamento dei dati personali, proprio in considerazione delle violazioni derivanti da un persistente trattamento di dati personali afferenti alla posta elettronica dei reclamanti.
D’altro lato, deve considerarsi che, contrariamente a quanto ritenuto dalla parte, le richieste aventi ad oggetto la disattivazione degli accountaziendali di tipo individualizzato rientrano, a pieno titolo, nell’ambito dei diritti riconosciuti agli interessati dagli artt. 15 e ss. del citato Regolamento UE.
L’irrogazione della sanzione
Dopo la valutazione della documentazione l’Autorità ritiene che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio del Garante con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del procedimento, non ricorrendo peraltro, con riferimento a tali profili, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.
Il trattamento dei dati personali effettuato dalla Società, per il Garante risulta illecito.
La violazione accertata non può essere considerata “minore”, tenuto conto della natura della violazione che hanno riguardato i principi generali del trattamento dei dati (liceità, minimizzazione, limitazione della conservazione) e le disposizioni più specifiche in materia di controlli a distanza, oltre ai diritti riconosciuti agli interessati.
Pertanto, visti i poteri correttivi attribuiti dall’art. 58 , par. 2 del Regolamento, il Garante dispone il divieto del trattamento dei dati raccolti illecitamente e l’irrogazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58 , par. 2, lett. f) e i) Regolamento).
Il Garante, ai sensi dell’art. 58 , par. 2, lett. i) del Regolamento UE e dell’art. 166 del Codice della privacy, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione in relazione al trattamento dei dati personali posto in essere dalla Società di cui è stata accertata l’illiceità, nei termini sopra esposti.
Con riferimento agli elementi elencati dall’art. 83 , par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83 , par. 1 del Regolamento), il Garante evidenzia che, nel caso di specie, sono state considerate le seguenti circostanze:
– in relazione alla natura e alla gravità della violazione, sono state considerate rilevanti le violazioni commesse che hanno riguardato le disposizioni in materia di esercizio dei diritti, i principi generali del trattamento e disposizioni più specifiche in materia di controlli a distanza; in particolare, è stata presa in considerazione la natura del trattamento che ha riguardato la sistematica registrazione e conservazione di comunicazioni effettuate dai dipendenti (interessati vulnerabili) mediante la posta elettronica e dei relativi log;
– con riguardo alla durata della violazione, è stata considerata la circostanza che il riscontro all’istanza di esercizio dei diritti è pervenuta solo a seguito dell’avvio dell’istruttoria da parte dell’Autorità; mentre è stata considerata rilevante la estesa durata della conservazione della posta elettronica e dei log (l’intera durata del rapporto di lavoro più un ulteriore periodo dopo la cessazione dello stesso);
– con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare è stata presa in considerazione la condotta della Società che ha previsto in via generale la conservazione dei dati contenuti nella posta elettronica dei propri dipendenti con possibilità di accedervi per una pluralità di scopi;
– a favore della Società, si è tenuto conto della cooperazione fornita nel corso del procedimento, finalizzata a porre rimedio alle violazioni riscontrate e ad attenuarne gli effetti negativi; in particolare, sono state positivamente valutate le modifiche apportate ai propri sistemi informatici rispetto al periodo di conservazione dei dati, l’adozione di ulteriori misure tecniche, le revisioni ai documenti informativi per i dipendenti;
– è stata, altresì, considerata l’assenza di precedenti violazioni pertinenti commesse dal titolare.
Il Garante, in conclusione, ha sanzionato la Società per illiceità nelle modalità di conservazione dei log di accesso al sistema di posta elettronica e dei messaggi stessi.
Riferimenti normativi:
- Garante della Privacy, Newsletter 29 luglio 2026
Il contenuto di questa newsletter è strettamente riservato e destinato esclusivamente ai destinatari autorizzati.
È espressamente vietata la condivisione totale o parziale di questa comunicazione su qualsiasi piattaforma pubblica o privata, inclusi (ma non limitati a):
• Gruppi e canali Telegram
• Chat di gruppo o broadcast su WhatsApp
• Post o storie su Facebook, Instagram, X (Twitter), LinkedIn, o altri social network.
Ogni violazione di questa norma potrà comportare l’esclusione immediata dalla lista dei destinatari e, nei casi più gravi, azioni legali.
Grazie per il rispetto delle regole e per contribuire a mantenere la riservatezza delle informazioni condivise.