Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Sanzione Garante Privacy email aziendali dipendenti: 460.000 euro e un caso che cambia le regole
Immaginate di aver conservato per anni le email di tutti i vostri dipendenti — perché il sistema di backup funziona così, perché "non si sa mai", perché la continuità operativa lo consiglia. Poi nasce il sospetto che due collaboratori abbiano tenuto comportamenti scorretti. Andate a ripescare quei messaggi. Il Garante apre un'istruttoria. Il risultato è una sanzione da 460.000 euro, il divieto di accedere ulteriormente ai dati conservati e la dichiarazione di illiceità dell'intero trattamento. È esattamente quello che è accaduto a Piaggio & C. S.p.A.
Il Garante per la protezione dei dati personali ha comminato a Piaggio & C. Spa una sanzione amministrativa di 460.000 euro per gravi violazioni della normativa sulla privacy. L'istruttoria è scaturita dai reclami di due ex dipendenti: dalle verifiche è emerso che la società aveva acceduto alle loro caselle di posta aziendale, acquisendo complessivamente 112 messaggi allo scopo di verificare la fondatezza di presunti comportamenti illeciti, con alcune email che risalivano a circa due anni prima che l'azienda maturasse il sospetto delle presunte irregolarità.
Il caso, definito con il provvedimento n. 476 del 18 giugno 2026, si inserisce nel filone dei cosiddetti "controlli difensivi", ossia le verifiche che il datore di lavoro può effettuare sugli strumenti informatici aziendali per accertare condotte illecite dei propri collaboratori. Ma il Garante ha tracciato una linea netta: il problema non era soltanto il singolo accesso alle email, bensì la struttura stessa del sistema di conservazione che lo aveva reso possibile.
La società conservava in backup la posta elettronica di tutti i dipendenti per l'intera durata del rapporto di lavoro e fino a 5 anni dopo la cessazione, insieme ai log di accesso conservati per 6 mesi. I trattamenti realizzati dalla società si sono risultati idonei a ricostruire l'attività dei dipendenti e a effettuare un controllo a distanza.
Con il provvedimento n. 476 del 18 giugno 2026 (doc. web n. 10272529), reso noto con la newsletter del 29 luglio, il Garante ha dichiarato illecito il trattamento dei dati relativi alla posta elettronica aziendale effettuato da Piaggio & C. S.p.A., disponendo il divieto di accesso ai dati raccolti e una sanzione amministrativa di 460.000 euro per violazione degli artt. 5, par. 1, lett. a), b), c) ed e), 6, 12, 13, 17 e 88 del Regolamento e dell'art. 114 del Codice.
Il quadro normativo violato è dunque denso: principi di liceità, finalità, minimizzazione e limitazione della conservazione del GDPR; obblighi di informativa; diritti degli interessati; e le garanzie specifiche per i lavoratori contenute nell'art. 88 del Regolamento e nell'art. 114 del Codice Privacy, che a sua volta rinvia all'art. 4 dello Statuto dei Lavoratori. Come ricorda il brocardo vigilantibus iura subveniunt, il diritto tutela chi è attento: ma nel caso di specie, l'azienda aveva tutto tranne che vigilanza normativa sul proprio sistema di gestione della posta.
Il datore di lavoro può accedere alle email aziendali del dipendente?
La risposta è: sì, ma solo a condizioni molto precise che la maggior parte delle aziende non rispetta. Il monitoraggio delle email aziendali non è di per sé vietato, ma è ammesso solo se rispetta condizioni di liceità piuttosto rigide: la normativa europea e italiana consente forme di monitoraggio, ma solo entro limiti stringenti di liceità, proporzionalità e trasparenza, che il datore di lavoro deve conoscere e rispettare con attenzione.
L'articolo 4 dello Statuto dei Lavoratori resta il pilastro della normativa italiana sul controllo a distanza dei lavoratori. Il principio base è chiaro: qualsiasi strumento che possa potenzialmente controllare l'attività lavorativa richiede un accordo sindacale preventivo o, in alternativa, l'autorizzazione dell'Ispettorato del Lavoro. Non conta l'intenzione del datore di lavoro, ma la capacità oggettiva dello strumento di raccogliere dati sull'attività del dipendente.
Il Garante ha rafforzato questo impianto con un orientamento progressivo. Il provvedimento del Garante Privacy, n. 165 del 12 marzo 2026, nell'esprimersi sulle modalità di adempimento alle richieste di accesso del lavoratore ai propri dati ex art. 15 del GDPR, aveva già subordinato la legittimità dell'impiego di strumenti di backup della posta elettronica al rispetto delle procedure autorizzative previste dal co. 1 dell'art. 4 dello Statuto dei Lavoratori, previste per gli strumenti che comportano un controllo della prestazione lavorativa.
Vale dunque la regola: il backup sistematico delle email non è una semplice operazione tecnica di sicurezza informatica. È un trattamento di dati personali che richiede base giuridica chiara, informativa adeguata e — soprattutto — limiti di conservazione proporzionati allo scopo.
Esiste però un elemento di complessità che il caso Piaggio ha portato drammaticamente in superficie: lo stesso fatto (accesso alle email aziendali di una dipendente sospettata di conflitto di interessi) può essere valutato in modo opposto a seconda dell'organo che lo esamina. Il 13 giugno 2026 il Tribunale di Pisa ha ritenuto legittimo il controllo difensivo sulla casella aziendale e ha confermato il licenziamento. Cinque giorni dopo il Garante ha dichiarato illecito lo stesso trattamento e irrogato 460.000 euro.
Con la sentenza n. 800 del 13 giugno 2026, il Tribunale di Pisa ha confermato che l'accesso alla posta elettronica aziendale è legittimo quando sia giustificato da un concreto sospetto di illecito e venga effettuato in modo mirato, senza tradursi in un controllo generalizzato dell'attività lavorativa. Il Tribunale ha considerato utilizzabili soltanto le comunicazioni successive al 18 ottobre 2021, data in cui la lavoratrice aveva accettato formalmente la policy informatica.
Il punto di divergenza tra i due organi è precisamente qui: il giudice del lavoro ha separato l'utilizzabilità processuale delle prove dal giudizio sulla struttura complessiva della data retention. Il giudice ha qualificato l'attività come controllo difensivo ex post, ritenendola circoscritta, proporzionata e diretta a documentare un comportamento illecito già ipotizzato, valorizzando l'accettazione telematica, da parte della dipendente, delle regole interne sull'impiego dei sistemi informatici e sulla possibilità di effettuare controlli. Il Garante ha invece guardato all'intera architettura del trattamento: il backup decennale non può essere "sanato" dall'esistenza di un sospetto fondato sopraggiunto anni dopo.
Per l'azienda, questa divergenza non è una consolazione. Significa che vincere la causa di lavoro e ricevere comunque 460.000 euro di sanzione amministrativa sono due esiti perfettamente compatibili. Il rischio, insomma, è duplice.
Quanto rischia un'azienda se monitora le email dei lavoratori senza consenso?
La cifra di 460.000 euro merita di essere contestualizzata. Le violazioni contestate al caso Piaggio — artt. 5, 6, 12, 13, 17 e 88 GDPR, art. 114 Codice Privacy — possono teoricamente raggiungere il 4% del fatturato globale annuo o 20 milioni di euro (il maggiore dei due), ai sensi dell'art. 83, par. 5, GDPR. Piaggio è una società con ricavi nell'ordine del miliardo di euro: la sanzione, pur significativa, rappresenta una quota contenuta del massimo edittale.
Per le PMI il rapporto è ribaltato. Una società con 10 milioni di euro di fatturato che subisse una sanzione proporzionalmente equivalente vedrebbe compromessa in modo serio la propria situazione patrimoniale. E il rischio non si esaurisce nella sanzione amministrativa.
Sul piano civile, il lavoratore può agire per il risarcimento del danno non patrimoniale derivante dalla violazione della propria riservatezza; sul piano penale, l'installazione di apparecchiature di controllo in violazione delle disposizioni dello Statuto dei Lavoratori costituisce reato. A questi si aggiunge il rischio reputazionale, amplificato dall'obbligo del Garante di pubblicare i provvedimenti sanzionatori sul proprio sito.
La sentenza chiarisce inoltre che l'utilizzo in giudizio di prove ottenute attraverso un monitoraggio illegittimo delle email può essere dichiarato inammissibile, con conseguenze rilevanti sul piano disciplinare e processuale. In altri termini, l'azienda potrebbe pagare la sanzione privacy e poi perdere anche la causa di lavoro per inutilizzabilità delle prove: scenario doppiamente oneroso.
La Cassazione, con le sentenze n. 25732/2021, n. 18168/2023 e n. 7514/2026, ha chiarito che il datore deve dimostrare la legittima acquisizione dei dati tecnologici. Le informazioni raccolte prima del sospetto o in assenza delle garanzie previste non possono essere sanate attraverso una successiva indagine disciplinare.
Quali regole GDPR si applicano alla conservazione dei backup delle email aziendali?
Il nodo centrale del provvedimento Garante n. 476/2026 non è l'accesso in sé, ma la conservazione sistematica che lo ha reso possibile. È qui che si concentra il rischio pratico per le aziende.
Il principio di limitazione della conservazione (art. 5, par. 1, lett. e), GDPR) impone che i dati non siano conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo superiore a quello necessario alle finalità del trattamento. Per un sistema di backup delle email, la finalità dichiarata è tipicamente la continuità operativa e il disaster recovery: si tratta di esigenze tecniche che giustificano finestre di conservazione brevi e determinate, non archivi storici pluriennali.
Alcune delle email acquisite risalivano a due anni prima che la società maturasse il sospetto dell'illecito: tale monitoraggio era stato reso possibile grazie alla raccolta e conservazione sistematica dei dati inerenti la posta elettronica, effettuata mediante backup durante tutto il rapporto di lavoro e fino a 5 anni dopo la cessazione. La società aveva inoltre conservato i relativi log per un periodo di 6 mesi, in violazione del GDPR e delle garanzie previste dallo Statuto dei lavoratori.
Il Garante ha dunque colpito non l'investigazione interna in quanto tale, ma la sua precondizione strutturale: un sistema di archiviazione che trasformava ogni dipendente in un soggetto monitorato a vita, senza che egli ne fosse consapevole, senza accordo sindacale e senza limiti temporali proporzionati. Come scriveva Rodotà, la privacy non è un lusso borghese ma la condizione di esistenza della persona nella dimensione pubblica: e la posta elettronica aziendale, per quanto strumento di lavoro, è anche comunicazione personale che il lavoratore invia nella convinzione di non essere sistematicamente archiviato e riletto.
La compliance che il provvedimento impone alle aziende è concreta. È opportuno che le imprese verifichino i tempi di conservazione delle email e dei log, aggiornino le informative privacy e le policy ICT, definiscano procedure corrette per la gestione degli account alla cessazione del rapporto, e riesaminino eventuali sistemi di monitoraggio e controllo degli strumenti informatici alla luce dell'art. 4 dello Statuto dei Lavoratori e delle più recenti indicazioni del Garante.
Tre azioni sono prioritarie. Prima: ridefinire i periodi di retention dei backup delle email (il Garante ha già indicato orientativamente un limite di pochi giorni per i log dei metadati nel precedente Documento di Indirizzo n. 364/2024). Seconda: verificare che il sistema di backup sia stato portato all'attenzione delle rappresentanze sindacali o, in alternativa, sia stato autorizzato dall'Ispettorato del Lavoro, poiché — come ribadito dal Garante n. 165/2026 — il backup è strumento idoneo al controllo indiretto dell'attività lavorativa. Terza: predisporre un'informativa specifica, distinta dalla privacy policy generale, che descriva chiaramente ai dipendenti le modalità di gestione delle caselle di posta, i tempi di conservazione e le condizioni in presenza delle quali l'azienda può accedere ai messaggi.
Il caso Piaggio segna un punto di non ritorno nell'interpretazione italiana del GDPR applicato al lavoro. La tensione tra controllo difensivo del datore e diritti del lavoratore non si risolve scegliendo un versante o l'altro: si governa attraverso una struttura di compliance preventiva che renda il controllo eccezionale, mirato, proporzionato e documentato. Tutto il resto — la conservazione indiscriminata, il backup "per ogni evenienza", l'accesso retroattivo a email di due anni prima — non è gestione del rischio aziendale. È, come ha chiarito il Garante, il rischio stesso.
Redazione - Staff Studio Legale MP
