Controlli difensivi sulle email: il Garante sanziona l’accesso a ritroso

Con il provvedimento n. 476 del 18 giugno 2026 il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento dei dati contenuti nella posta elettronica aziendale di due dipendenti di una nota società industriale, ha vietato ogni ulteriore accesso a quei dati e ha irrogato una sanzione amministrativa che la newsletter dell’Autorità del 29 luglio quantifica in 460.000 euro.

La vicenda merita attenzione al di là delle dimensioni dell’impresa coinvolta, perché il punto su cui il Garante costruisce l’intera decisione è di quelli che riguardano qualunque datore di lavoro: non se l’impresa possa leggere la posta elettronica di un dipendente sospettato di condotte illecite, ma da quando in poi possa farlo. È una differenza che si misura in mesi e che, nel caso deciso, ha fatto la differenza tra un controllo difensivo legittimo e un trattamento vietato.

I fatti

Il procedimento nasce dai reclami di due lavoratori, entrambi poi licenziati. Nel corso del rapporto di lavoro la società aveva avuto accesso alla loro corrispondenza aziendale, acquisendo complessivamente 112 messaggi, allo scopo di verificare condotte ritenute illecite. Le policy interne prevedevano la conservazione delle email fino a cinque anni dopo la cessazione del rapporto e dei log di accesso per sei mesi.

La circostanza decisiva è cronologica. Una parte dei messaggi acquisiti risaliva a circa due anni prima del momento in cui la società aveva maturato il sospetto che ha giustificato la verifica. L’accesso, in altre parole, non ha fotografato la condotta sospetta: è andato a ritroso a cercarla.

La regola: il controllo difensivo è ammesso solo ex post

Il Garante richiama l’orientamento consolidato in materia di controlli difensivi, secondo cui il datore di lavoro può effettuare verifiche mirate sugli strumenti aziendali quando siano dirette ad accertare condotte illecite del lavoratore, ma solo entro un preciso limite temporale. Nel testo del provvedimento:

i dati acquisiti dalla Società siano cronologicamente precedenti all’insorgere del sospetto dell’illecito compiuto: infatti la raccolta dei dati relativi alla corrispondenza intrattenuta dai due reclamanti è stata svolta a ritroso nel tempo, fino a circa 2 anni prima.

La logica è comprensibile una volta esplicitata. Il controllo difensivo è ammesso perché reagisce a un sospetto già formato: è mirato, circoscritto, e trova nella condotta sospetta la propria giustificazione. Un controllo che retroceda liberamente nel tempo perde questa natura e diventa qualcos’altro — una ricognizione generalizzata sull’attività del lavoratore, condotta a posteriori alla ricerca di elementi che il sospetto non aveva individuato.

La conseguenza pratica è netta: il momento in cui il sospetto insorge va documentato, perché è quel momento a delimitare il perimetro di ciò che si può legittimamente esaminare. Un’impresa che non sia in grado di dimostrare quando e su quali basi il sospetto si è formato non ha modo di difendere l’estensione temporale della verifica compiuta.

Lo Statuto dei lavoratori entra dalla porta dell’art. 114

Il secondo pilastro della decisione è il raccordo tra disciplina della protezione dei dati e disciplina giuslavoristica. Il provvedimento richiama l’art. 114 del Codice in materia di protezione dei dati personali, che individua nell’art. 4 della legge 20 maggio 1970, n. 300 una condizione di liceità dei trattamenti effettuati nel contesto del rapporto di lavoro.

Il meccanismo va compreso nella sua portata. Non si tratta di due normative parallele che l’impresa deve rispettare separatamente: l’osservanza delle garanzie procedurali dello Statuto — le finalità tipiche previste dalla norma, l’accordo sindacale o l’autorizzazione dell’Ispettorato dove richiesti — diventa presupposto della liceità del trattamento. Se manca quella, il trattamento è illecito anche sul piano della protezione dei dati, e la violazione viene contestata come tale.

È un punto che nella pratica viene spesso sottovalutato, perché induce a ritenere che l’adempimento sindacale riguardi soltanto l’installazione degli strumenti di controllo. Il provvedimento chiarisce che la questione si pone anche a valle, sul trattamento dei dati che quegli strumenti generano.

Conservare non è una scelta libera

Il terzo profilo riguarda i tempi di conservazione. Cinque anni dopo la cessazione del rapporto per le email, sei mesi per i log: termini che l’Autorità ha ritenuto non giustificati, non perché siano intrinsecamente eccessivi, ma perché la società non aveva predeterminato le finalità per le quali quella conservazione sarebbe stata necessaria.

Qui sta la lezione più trasferibile del provvedimento. Un tempo di conservazione non si difende affermando che è ragionevole: si difende indicando lo scopo che lo rende necessario. In assenza di uno scopo dichiarato e verificabile, qualunque durata è per definizione sproporzionata, perché non esiste un termine di paragone rispetto al quale misurarla.

Nel corso del procedimento la società ha rivisto le proprie policy, riducendo la conservazione della posta a tre mesi dalla cessazione del rapporto e allineando la cancellazione dei log al provvedimento del Garante del 6 giugno 2024 richiamato nel testo. L’Autorità ne ha tenuto conto favorevolmente: è la conferma che l’adeguamento in corso di istruttoria conserva un valore, ma anche che arriva quando la violazione si è già consumata.

L’informativa: dire che si conserva non basta

Il Garante ha contestato inoltre la carenza dell’informativa e delle policy interne, che non specificavano le finalità e i presupposti della conservazione della posta elettronica e dei relativi log, né la base giuridica del trattamento. Anche il regolamento sull’utilizzo di internet e della posta elettronica prodotto dalla società nel corso del procedimento è stato giudicato ancora carente sotto questo profilo.

Vale la pena soffermarsi, perché è l’errore più diffuso. Molti regolamenti aziendali sull’uso degli strumenti informatici sono scritti come atti di disciplina: elencano ciò che al dipendente è vietato fare. Ciò che il Garante chiede è la parte speculare e quasi sempre assente — che cosa fa l’azienda: quali dati raccoglie, per quali finalità, per quanto tempo li conserva, a quali condizioni può accedervi, su quale base giuridica. Un regolamento che disciplina solo il comportamento del lavoratore non soddisfa l’obbligo di informativa, perché non descrive il trattamento.

Il riscontro alle istanze: trenta giorni

Un’ultima contestazione riguarda il mancato riscontro, nel termine di trenta giorni previsto dall’art. 12, par. 3, del Regolamento, alle richieste degli interessati relative alla disattivazione degli account. È la violazione che appare più banale e che nella pratica risulta più frequente: nella fase conflittuale che precede o accompagna un licenziamento, l’istanza dell’ex dipendente viene trattata come un atto della controversia anziché come esercizio di un diritto, e finisce sul tavolo del legale che segue il contenzioso invece che in quello del riscontro.

È un errore che costa. Il diritto di accesso e le richieste connesse hanno un termine autonomo, che non si sospende perché tra le parti è in corso una lite.

Cosa conviene verificare adesso

Il provvedimento si presta a essere usato come griglia di autovalutazione. Le domande da porsi sono cinque:

• Esiste una procedura scritta per l’accesso alla posta elettronica di un dipendente? Deve indicare chi autorizza l’accesso, in quale forma la decisione viene tracciata, chi materialmente lo esegue e come si documenta l’attività svolta.
• Il momento di insorgenza del sospetto viene documentato? È l’elemento che delimita il perimetro temporale legittimo della verifica. Senza una traccia della data e delle ragioni, l’estensione dell’accesso è indifendibile.
• I tempi di conservazione sono ancorati a una finalità dichiarata? Non basta averli fissati: occorre poter spiegare perché quella durata è necessaria a quello scopo.
• Il regolamento informatico descrive il trattamento o solo i divieti? Se contiene soltanto ciò che il dipendente non deve fare, va integrato con finalità, basi giuridiche, tempi e condizioni di accesso.
• Chi riceve le istanze degli interessati sa di avere trenta giorni? Il presidio va collocato in un punto della struttura che risponda anche quando il rapporto di lavoro è in conflitto.

Resta una considerazione di fondo. L’esigenza dell’impresa di accertare condotte illecite dei propri dipendenti è legittima, e la disciplina sulla protezione dei dati non la nega: la sottopone a condizioni. Quelle condizioni — un sospetto documentato, una verifica proporzionata al sospetto, regole dichiarate in anticipo — non sono ostacoli all’accertamento. Sono ciò che rende l’accertamento utilizzabile. Un controllo condotto fuori da quel perimetro non produce soltanto una sanzione dell’Autorità: produce materiale probatorio la cui utilizzabilità nel giudizio sul licenziamento diventa a sua volta terreno di contestazione.

Il presente contributo ha finalità informativa e riflette il contenuto del provvedimento richiamato alla data di pubblicazione. Nulla di quanto scritto costituisce parere legale sul caso concreto: la valutazione della liceità di un controllo sugli strumenti aziendali dipende da circostanze di fatto che vanno esaminate singolarmente.

Fonti: Garante per la protezione dei dati personali, provvedimento n. 476 del 18 giugno 2026 (doc. web n. 10272529); newsletter dell’Autorità del 29 luglio 2026.