Una recente pronuncia del Garante per la protezione dei dati personali (provvedimento n. 165 del 12 marzo 2026) è intervenuta in tema di bilanciamento tra poteri datoriali e diritti del lavoratore. Al centro della questione il diritto dell’ex dipendente di ottenere copia integrale dei messaggi presenti nella propria casella di posta elettronica aziendale individualizzata.
La vicenda nasce dal rifiuto di una società di concedere a un ex dipendente l’accesso completo al proprio account di posta. Inizialmente l’azienda si è opposta citando generiche ragioni tecniche, per poi consegnare solo una parte dei messaggi, limitandoli a quelli di natura strettamente privata (comunicazioni familiari, rimborsi spese, CU).
In un secondo momento, l’azienda ha fornito una documentazione “epurata”, oscurando gran parte dei contenuti per tutela dei segreti aziendali e della privacy di terzi.
L’Autorità ha censurato duramente l’operato della società, smontando l’erroneo convincimento che tutto ciò che transita su un account di lavoro sia nella piena ed esclusiva disponibilità del datore.
I punti chiave della decisione sono:
- Tutela della personalità: Richiamando la giurisprudenza della Corte Europea dei Diritti dell’Uomo (CEDU), il Garante ha ribadito che il confine tra vita professionale e privata è labile. L’Articolo 8 della CEDU protegge la riservatezza anche sul luogo di lavoro, poiché è proprio nell’attività professionale che l’individuo esplica la propria personalità e sviluppa relazioni sociali.
- Accesso negato senza prove: Per limitare l’accesso ai dati (ai sensi dell’Art. 15, par. 4 del GDPR), non basta il timore generico di ledere segreti industriali o diritti altrui. L’azienda deve dimostrare concretamente il rischio. Nel caso specifico, le informazioni erano già note all’ex dipendente in quanto titolare della casella, rendendo l’oscuramento del tutto ingiustificato.
Oltre alla gestione della richiesta di accesso, l’istruttoria ha portato alla luce diverse violazioni strutturali nelle policy aziendali.
- Trasparenza – Le informative fornite ai dipendenti sulla gestione dei dati sono risultate carenti e non conformi.
- Conservazione delle mail – Il tempo di conservazione delle mail fissato a 5 anni è stato giudicato eccessivo e sproporzionato.
- Conservazione dei log – Il backup dei dati di navigazione per 12 mesi è andato oltre i limiti necessari per le finalità dichiarate.
Il provvedimento 165/2026 chiarisce che il datore di lavoro non può trasformarsi in un “censore” dei dati del dipendente al termine del rapporto.
L’attività di oscuramento e anonimizzazione non può essere una scelta unilaterale basata su presunzioni, ma deve essere supportata da prove oggettive di un potenziale danno.
