Con il provvedimento n. 476/2026, il Garante per la protezione dei dati personali ha irrogato a un’importante società appartenente al settore dell’automotive una sanzione amministrativa di importo pari a 460.000 euro per violazioni in materia di privacy riguardanti la gestione delle caselle di posta elettronica aziendale, la conservazione dei dati e le attività di controllo dei dipendenti.

Nel caso di specie, due dipendenti avevano lamentato, mediante reclamo all’Autorità, la violazione della disciplina in materia di protezione dei dati personali da parte della società, alle cui dipendenze avevano svolto attività lavorativa, fino al licenziamento per giusta causa, comunicato loro con una lettera del 2 marzo 2023.
Nell’ambito delle impugnazioni dei rispettivi licenziamenti, il 26 aprile 2023 i due dipendenti avevano richiesto al datore di lavoro conferma dell’avvenuta disattivazione degli account di posta elettronica aziendale di tipo individualizzato, utilizzati dagli stessi nel corso del rapporto di lavoro.
In assenza di risposta, tali richieste erano state riproposte il successivo 31 maggio e, sebbene fossero state regolarmente notificate all’indirizzo PEC della società, non avevano ricevuto riscontro nei termini indicati dall’art. 12 par. 3 del Regolamento Ue 2016/679 (GDPR), ossia un mese con eventuale proroga di due mesi tenuto conto di eventuali complessità e del numero delle richieste.

Nei successivi reclami presentati al Garante per la privacy il 14 settembre 2023, gli ex dipendenti hanno denunciato che la società, nel corso del rapporto di lavoro, aveva effettuato accessi alla corrispondenza in transito sui propri account di posta elettronica aziendale di tipo individualizzato e aveva acquisito numerose e-mail, transitate sui predetti account e sulle caselle di posta elettronica personale, per poi utilizzarle nell’ambito dei procedimenti disciplinari.
Precisamente, sulla base di quanto emerso dalle contestazioni disciplinari loro notificate, risultava che la società aveva acquisito, trattato e utilizzato ben 112 mail complessive transitate sulle caselle mail aziendale dei dipendenti reclamanti nel periodo compreso tra il novembre 2020 e il gennaio 2022 e che tale scambio di mail riguardava anche molti messaggi di posta elettronica transitati sulla casella di posta elettronica personale e scambiati con terzi.

Tenuto conto di ciò, il Garante per la protezione dei dati personali ha quindi formulato nei confronti della società una richiesta di informazioni, ai sensi dell’art. 157 del DLgs. 196/2003, invitandola a fornire osservazioni su quanto rappresentato nei reclami, con particolare riferimento ai presupposti di legittimità alla base dell’accesso eseguito sugli account di posta elettronica aziendale dei due reclamanti.
Dall’istruttoria effettuata dal Garante è poi emersa la conferma che la società aveva effettuato accessi alle loro email aziendali, nel corso del rapporto di lavoro, acquisendo in totale le citate 112 e-mail, al fine di verificare la fondatezza di presunti comportamenti illeciti da parte dei due dipendenti.
Peraltro, si evidenzia come le e-mail acquisite risalissero addirittura a circa due anni prima che la società maturasse tale sospetto.

Il monitoraggio, osserva il Garante, è stato effettuato mediante una sistematica raccolta e conservazione dei dati relativi alla posta elettronica, effettuate dalla società mediante backup per tutta la durata del rapporto di lavoro e fino a 5 anni dopo la cessazione, nonché dei relativi log, per un periodo di 6 mesi, in violazione dei principi del GDPR e in assenza delle garanzie previste all’art. 4 della L. 300/70 (Statuto dei lavoratori).

In altri termini, i trattamenti messi in atto dalla società si sono rivelati idonei a ricostruire l’attività dei dipendenti e a effettuare un controllo a distanza.

Inoltre, nel provvedimento in commento si evidenzia una criticità nella conservazione dei dati, giudicando eccessivi i tempi di mantenimento delle e-mail aziendali e dei log di accesso, nonché carenze nelle informazioni fornite ai dipendenti sulle finalità e sulle basi giuridiche del trattamento. Ancora, al datore di lavoro viene altresì contestata la mancata risposta alle richieste di esercizio dei diritti degli ex dipendenti relative alla conferma della disattivazione degli account.

In conclusione, nel dichiarare illecito il trattamento dei dati personali relativi alla posta elettronica aziendale, come anticipato, con il provvedimento n. 476/2026 il Garante Privacy ha vietato alla società l’accesso ai dati raccolti e conservati sui propri sistemi e ha irrogato una sanzione amministrativa di importo pari a 460.000 euro.