Email dei dipendenti conservate per anni: il Garante sanziona Piaggio per 460.000 euro.

Cosa devono verificare aziende ed enti.

Quanto a lungo si possono conservare le email dei dipendenti? E si può andare a rileggerle quando nasce il sospetto di un illecito? Il Garante per la protezione dei dati personali ha risposto con una sanzione da 460.000 euro a Piaggio & C. S.p.A., resa nota con la newsletter del 29 luglio 2026. La vicenda nasce dal reclamo di due ex dipendenti che, dopo il licenziamento, avevano chiesto conferma della disattivazione dei propri account di posta aziendale senza ricevere riscontro nei termini di legge.

L’istruttoria ha fatto emergere un quadro molto più ampio. La società conservava in backup la posta elettronica di tutti i dipendenti per l’intera durata del rapporto di lavoro e fino a 5 anni dopo la cessazione, insieme ai log di accesso conservati per 6 mesi. Su questa base aveva potuto acquisire 112 email dei due ex dipendenti per verificare presunti comportamenti illeciti, recuperando in alcuni casi messaggi risalenti a circa due anni prima che il sospetto sorgesse. Per il Garante il punto è proprio questo, ovvero che una conservazione così estesa e priva di finalità predeterminate rende possibile ricostruire a posteriori l’attività del lavoratore e realizza un controllo a distanza senza le garanzie previste dall’art. 4 dello Statuto dei lavoratori, in violazione dei principi di limitazione delle finalità, minimizzazione e limitazione della conservazione.

La giurisprudenza ammette i cosiddetti controlli difensivi, ma a condizioni precise, richiamate nel provvedimento sulla scorta della Cassazione. Il controllo deve nascere da un fondato sospetto di illecito e può riguardare soltanto dati acquisiti dopo l’insorgere del sospetto. Recuperare dai backup messaggi di due anni prima significa rovesciare questa logica, perché il datore attinge a un archivio costituito in via preventiva e indiscriminata. Il Garante ha inoltre accertato carenze nelle informative ai dipendenti sui tempi e sulle finalità della conservazione, e il mancato riscontro alle richieste degli ex dipendenti, in violazione degli obblighi di trasparenza e dei diritti degli interessati.

Un elemento istruttivo è che la società, nel corso del procedimento, ha ridotto la conservazione della posta dopo la cessazione del rapporto da 5 anni a 3 mesi. Oltre alla sanzione, l’Autorità ha vietato l’ulteriore accesso ai dati raccolti e conservati sui sistemi aziendali e ha disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito.

 

Il caso in sintesi
Provvedimento	n. 476 del 18 giugno 2026 (doc. web 10272529), reso noto con Newsletter n. 550 del 29 luglio 2026
Sanzione	460.000 euro, con divieto di accesso ai dati conservati e pubblicazione dell’ordinanza
Violazioni accertate	artt. 5, par. 1, lett. a), b), c) ed e), 6, 12, 13, 17 e 88 del GDPR; art. 114 del Codice privacy
Conservazione contestata	email in backup per tutta la durata del rapporto e fino a 5 anni dopo la cessazione; log di accesso per 6 mesi
Controllo contestato	acquisizione di 112 email di due ex dipendenti, in parte risalenti a circa due anni prima del sospetto
Correzione in corso di istruttoria	conservazione post-cessazione ridotta da 5 anni a 3 mesi
Fonte	Garante per la protezione dei dati personali, doc. web 10272529 e Newsletter n. 550 del 29/07/2026

 

Che cosa insegna il caso a chi gestisce personale, nei Comuni come nelle imprese? La posta elettronica individuale è a tutti gli effetti un dato personale del lavoratore, e la tentazione di conservare tutto “per sicurezza” espone a rischi concreti. Ne deriva una verifica in cinque passi che ogni organizzazione può avviare subito.

 

Verifica operativa	Cosa controllare
1. Tempi di conservazione	Definire e documentare tempi di conservazione di email e log proporzionati e con finalità esplicite; dopo la cessazione del rapporto l’account va disattivato e i contenuti eliminati entro un termine breve e motivato
2. Informative	Le informative ai dipendenti devono indicare chiaramente tempi di conservazione, finalità e possibili controlli, prima che i trattamenti avvengano
3. Controlli difensivi	Prevedere una procedura che limiti i controlli ai dati successivi all’insorgere di un fondato sospetto, con test di bilanciamento documentato
4. Diritti degli interessati	Garantire riscontro alle istanze di dipendenti ed ex dipendenti entro un mese, anche quando la richiesta non cita espressamente il GDPR
5. Accordi e garanzie lavoristiche	Verificare il rispetto dell’art. 4 dello Statuto dei lavoratori per strumenti e trattamenti che consentano, anche indirettamente, il controllo a distanza
Fonte	Elaborazione iSimply sul provvedimento n. 476/2026 del Garante

 

iSimply affianca enti e imprese nella revisione delle policy sulla posta elettronica, nelle informative ai dipendenti e nelle procedure di gestione dei diritti degli interessati. Per un confronto sul vostro caso specifico siamo a disposizione.

 

Enrico Capirone – Presidente iSimply srl, DPO

Fonte ufficiale: Garante per la protezione dei dati personali, provvedimento del 18 giugno 2026, doc. web 10272529

 

Nota di trasparenza sull’uso dell’intelligenza artificiale (art. 50 del Regolamento (UE) 2024/1689). Questo contenuto è redatto con il supporto di strumenti di IA generativa (attualmente ChatGPT, NotebookLM, Claude). Ogni contenuto è sottoposto a revisione umana sostanziale, con notizie selezionate dalla redazione di iSimply, che verifica riferimenti, provvedimenti, importi, date e link sulle fonti ufficiali prima della pubblicazione. La responsabilità editoriale è di iSimply srl, nella persona del presidente Enrico Capirone. Ricorrendo revisione umana e responsabilità editoriale, il testo rientra nell’eccezione prevista dall’art. 50, par. 4, del Regolamento; rendiamo comunque nota questa informazione come scelta volontaria di trasparenza. La stessa chiarezza che dal 2 agosto 2026 la norma chiede a chi usa l’intelligenza artificiale è quella che vogliamo offrire per primi ai nostri lettori.