Il Garante per la protezione dei dati personali, con il provvedimento n. 165 del 12 marzo 2026, si è espresso sulla possibilità per un ex lavoratore di richiedere l’accesso alla propria casella di posta elettronica aziendale.
Con reclamo del 20.07.2023, veniva segnalata al Garante una violazione della disciplina in materia di protezione dei dati realizzata dall’ex datore di lavoro del reclamante. A seguito della cessazione del rapporto di lavoro, il reclamante aveva chiesto di accedere ai documenti personali presenti sul pc e nella casella di posta elettronica aziendali. La Società aveva accolto la richiesta limitatamente al recupero dei documenti presenti sul desktop, non permettendo invece l’accesso alla casella di posta elettronica. Solo in un momento successivo, inoltrava al reclamante alcuni messaggi di posta personale, ma occupandosi lei stessa di effettuare una cernita.
Il reclamante formulava apposita istanza chiedendo di ricevere copia di tutte le e-mail contenute nella propria casella. La Società consegnava allora quanto richiesto ma anonimizzando la corrispondenza relativamente ai dati personali di terzi ed epurandola dai segreti aziendali.
Nel corso dell’istruttoria, la Società ha rappresentato al Garante che la procedura aziendale nel caso di cessazione di un rapporto di lavoro prevede il blocco della casella di posta sia in entrata sia in uscita, consentendo l’accesso solo al titolare del trattamento. Dopo 14 giorni, la casella viene cancellata e la corrispondenza viene salvata nei sistemi di backup per 5 anni.
Il Garante ha ritenuto la condotta della società contraria, innanzitutto, agli artt. 12 e 15 del Regolamento. A tal proposito, ha sottolineato che “la linea di confine tra ambito lavorativo/professionale e ambito strettamente privato non sempre può essere tracciata con chiarezza, motivo per cui deve ritenersi applicabile anche all’ambito lavorativo l’art 8 della CEDU posto a tutela della vita privata”. Conseguentemente, si deve ritenere che il contenuto delle e-mail sia assistito dalle garanzie di segretezza che proteggono la dignità umana e lo sviluppo della personalità. Dunque, la condotta della società, che ha esaminato il contenuto delle e-mail presenti nella casella dell’interessato per trasmettergli solo quelle strettamente personali, sulla convinzione che la corrispondenza effettuata con l’account aziendale sia di proprietà dell’azienda stessa, è assolutamente illecita. Allo stesso modo, è illecito l’oscuramento e l’anonimizzazione sul contenuto delle e-mail per proteggere i diritti di terzi e i segreti aziendali, trattandosi di informazioni già conosciute dal reclamante.
Il Garante ha inoltre riscontrato la violazione degli artt. 5, par 1, lett. a) b) c) e) e 13 del Regolamento poiché l’attività di backup non risulta da nessun documento informativo predisposto dalla società e, pertanto, “gli interessati non sono stati messi in condizione di conoscere l’attività di trattamento effettivamente svolta sulla posta elettronica in transito sui propri account, né i tempi di conservazione, le finalità di tale trattamento e i relativi presupposti di legittimità”. La società ha realizzato dunque una condotta contraria al principio di correttezza e trasparenza.
Stante le numerose violazioni riscontrate, il Garante ha condannato la società a consentire al reclamante l’accesso integrale alla propria corrispondenza, conformare le policy aziendale alla disciplina in materia di protezione dei dati personali e pagare una sanzione amministrativa pecuniaria.