Garante privacy: e-mail aziendali e controlli difensivi, sanzione di 460.000 euro a Piaggio per la conservazione sistematica della posta elettronica dei dipendenti.

rando illecito il trattamento dei dati relativi alla posta elettronica aziendale dei dipendenti e vietando alla società di accedere ai contenuti raccolti e conservati nei propri sistemi. L’istruttoria, avviata a seguito dei reclami di due ex dipendenti, ha accertato che la società aveva acquisito complessivamente 112 messaggi di posta elettronica — 18 relativi a una lavoratrice e 94 a un lavoratore — per verificare la fondatezza di sospetti riguardanti presunte condotte illecite. La ricerca era stata effettuata anche su comunicazioni risalenti a circa due anni prima dell’insorgenza del sospetto e aveva interessato messaggi transitati attraverso caselle aziendali e, in alcuni casi, corrispondenza con account personali e soggetti terzi.

Il Garante ha richiamato la giurisprudenza della Corte di cassazione secondo cui i controlli tecnologici diretti a tutelare il patrimonio aziendale o ad accertare comportamenti illeciti possono essere ammessi, in presenza di un fondato sospetto, soltanto nel rispetto di un adeguato bilanciamento con la dignità e la riservatezza del lavoratore. Un punto è però decisivo: il controllo difensivo deve riguardare dati acquisiti successivamente alla nascita del sospetto. Non può quindi essere utilizzato per legittimare ricerche retrospettive su una massa di comunicazioni raccolte sistematicamente prima che emergessero elementi concreti di possibile illecito. Nel caso esaminato, la ricerca era stata invece estesa a ritroso sino a circa due anni prima.

La predisposizione di una procedura interna, di parole chiave, di filtri di ricerca o di un test di bilanciamento non è quindi, da sola, sufficiente a rendere lecito l’accesso alla posta elettronica. Occorre anzitutto verificare che i dati siano stati raccolti e conservati legittimamente e che il controllo rispetti i limiti temporali e sostanziali stabiliti dalla disciplina lavoristica e dalla giurisprudenza. L’attività di indagine era stata resa possibile da un sistema che prevedeva il backup della posta elettronica per tutta la durata del rapporto di lavoro e sino a cinque anni dopo la sua cessazione, oltre alla conservazione dei log della posta per sei mesi. Secondo il Garante, la raccolta sistematica di e-mail e metadati per periodi così estesi consentiva di ricostruire l’attività dei dipendenti e rendeva possibile un controllo a distanza in assenza delle garanzie previste dall’articolo 4 dello Statuto dei lavoratori, richiamato dall’articolo 114 del Codice privacy. Il trattamento è stato pertanto ritenuto contrario ai principi di liceità, limitazione delle finalità, minimizzazione e limitazione della conservazione previsti dal GDPR.  L’Autorità ha inoltre ribadito che gli archivi di posta devono essere protetti mediante misure organizzative e tecnologiche che impediscano l’accesso da parte di soggetti diversi dall’intestatario, salvo una sua espressa richiesta per finalità di assistenza.

Ulteriori violazioni hanno riguardato la trasparenza. Le policy aziendali non indicavano in modo sufficientemente preciso le finalità e i presupposti giuridici della conservazione delle e-mail e dei relativi log. La sola indicazione dei periodi di conservazione non è sufficiente: i lavoratori devono essere informati preventivamente e in maniera comprensibile anche sulle ragioni del trattamento, sulle basi giuridiche e sulle concrete modalità degli eventuali controlli.

La società non aveva inoltre risposto alle richieste con cui gli ex dipendenti chiedevano conferma della disattivazione dei propri account individuali. Il Garante ha chiarito che una simile richiesta costituisce esercizio dei diritti riconosciuti dal GDPR, anche quando l’interessato non richiami espressamente una specifica disposizione normativa.

Il provvedimento impone alle aziende di riesaminare non soltanto le procedure di accesso alla posta elettronica, ma l’intera architettura di raccolta e conservazione dei dati generati dagli strumenti di lavoro.

La decisione conferma che il controllo difensivo non può sanare una raccolta preventiva, generalizzata e sproporzionata della corrispondenza. Per le imprese, la gestione della posta elettronica aziendale deve essere progettata sin dall’origine secondo i principi di minimizzazione, privacy by design e accountability, evitando di creare archivi che consentano una ricostruzione indiscriminata dell’attività lavorativa.