Un ex dipendente chiede all’azienda di sapere quali suoi dati personali ha trattato negli anni. La risposta completa arriva dopo nove mesi, quando ormai il Garante ha già aperto l’istruttoria. E nel corso delle verifiche emerge un secondo problema, che con il reclamo non c’entrava nulla: il regolamento interno prevedeva di tenere attiva per mesi la email aziendale dell’ex dipendente, con la possibilità per la società di leggerne i messaggi. Il conto finale è di 25.500 euro.
È il contenuto del provvedimento del Garante per la protezione dei dati personali n. 796 del 20 ottobre 2026 (doc. web n. 10313657), ordinanza ingiunzione nei confronti di Techpartner s.r.l., società con sede a Modena, segnalato nella newsletter dell’Autorità del 12 novembre 2026.
Come è nato il procedimento
Il lavoratore aveva inviato all’azienda, tramite il proprio legale, una lettera che conteneva molte contestazioni sul rapporto di lavoro e, al loro interno, una richiesta espressa di accesso ai propri dati personali trattati dal 2013, ai sensi dell’art. 15 del GDPR. La società aveva risposto pochi giorni dopo dichiarandosi disponibile, ma i documenti sono stati trasmessi soltanto ad aprile 2024, a fronte di una richiesta di fine luglio 2023, e solo dopo l’intervento dell’Autorità.
L’azienda si è difesa con due argomenti. Il primo: la richiesta era confusa in mezzo a tante altre questioni lavorative, ed era difficile riconoscerla come esercizio di un diritto privacy. Il secondo: i documenti più vecchi erano stati spostati per effetto di una fusione societaria ed era complicato recuperarli.
Il Garante li ha respinti entrambi. La richiesta richiamava espressamente la disciplina sulla protezione dei dati e, in ogni caso, il Regolamento non impone agli interessati una forma particolare per chiedere l’accesso, come chiarito anche dalle Linee guida EDPB 1/2022. Quanto alle difficoltà di reperimento, l’art. 12, par. 3, del GDPR consente di prorogare il termine di un mese di ulteriori due mesi, ma la proroga va comunicata all’interessato: un ritardo silenzioso resta una violazione. Per questo profilo la sanzione è stata di 9.500 euro.
Email aziendale dell’ex dipendente: cosa ha contestato il Garante
La parte più interessante del provvedimento riguarda la posta elettronica. Esaminando la documentazione prodotta, l’Ufficio ha trovato un regolamento interno che prevedeva di mantenere attiva per un periodo da tre a sei mesi la casella individuale del dipendente cessato, riservando alla società la facoltà di leggerne i messaggi per garantire la continuità dell’attività.
L’azienda ha provato a difendersi in due modi. Ha sostenuto che nella pratica le cose andavano diversamente da come era scritto nel disciplinare, e che comunque non risultavano segnalazioni o reclami dei dipendenti sulla gestione della posta. Ha aggiunto che al lavoratore uscente veniva chiesto di cancellare i messaggi privati, lasciando quelli professionali come patrimonio aziendale.
Nessuno di questi argomenti ha retto:
- Il reclamo non delimita i poteri del Garante. L’Autorità ha ricordato di poter verificare la conformità dei trattamenti anche d’ufficio, richiamando l’art. 57 del GDPR, il proprio regolamento n. 1/2019 e l’ordinanza della Cassazione n. 40635 del 17 dicembre 2021. Un reclamo nato per un’altra ragione può quindi aprire la porta a contestazioni su aspetti mai segnalati da nessuno.
- Il contenuto della posta resta corrispondenza. Messaggi e dati esteriori delle comunicazioni godono di una tutela di segretezza anche costituzionale (artt. 2 e 15 Cost.), e nel contesto lavorativo esiste una legittima aspettativa di riservatezza, già affermata nelle Linee guida del Garante del 2007 su posta elettronica e internet.
- La continuità aziendale non passa dalla casella del singolo. Secondo il Garante, la conservazione dei documenti necessari all’attività va garantita con sistemi di gestione documentale, non con la posta elettronica, che per sua natura non assicura autenticità, integrità e reperibilità.
- Le dichiarazioni difensive non bastano. La società ha affermato di aver ridotto il periodo a tre mesi e di aver adottato una nuova policy, ma non l’ha prodotta. Anche nella versione corretta descritta negli scritti difensivi, per l’Autorità restava l’idea di poter disporre del contenuto delle email dei dipendenti.
Il Garante ha considerato non conforme anche la consultazione della posta in caso di assenze improvvise e prolungate, così come prevista dal disciplinare aziendale. Ne è derivata la violazione dei principi di liceità, minimizzazione e limitazione della conservazione (art. 5, par. 1, lett. a, c ed e, del GDPR), sanzionata con altri 16.000 euro.
Perché il caso riguarda quasi tutte le aziende
Il provvedimento non riguarda un grande gruppo: nel quantificare le sanzioni il Garante ha tenuto conto delle condizioni economiche della società, che ha chiuso il bilancio 2025 in perdita. È una situazione in cui può trovarsi qualunque impresa con dipendenti e caselle di posta individuali.
Tre aspetti meritano attenzione. Il primo è l’origine: il procedimento nasce da una richiesta di accesso inserita in una lettera su questioni di lavoro, inviata tramite un legale. Il secondo è che la violazione più pesante non è stata quella denunciata, ma quella scoperta leggendo i documenti interni consegnati durante l’istruttoria: il disciplinare aziendale è diventato la prova a carico. Il terzo è che la gravità è stata qualificata come media e la violazione non è stata considerata “minore”, proprio perché toccava i principi generali del Regolamento e i diritti degli interessati.
Va detto per completezza che le altre doglianze del reclamante, sulla videosorveglianza aziendale e sulla comunicazione a terzi della convocazione a visita medica, sono state archiviate, così come la contestazione relativa all’art. 88 del GDPR e all’art. 114 del Codice privacy.
Le conseguenze oltre la sanzione
Oltre al pagamento, il Garante ha ordinato alla società di conformare entro 60 giorni i disciplinari sull’uso degli strumenti informatici, sia durante il rapporto di lavoro sia dopo la sua cessazione, e ha disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito come sanzione accessoria. Il nome dell’azienda, in altre parole, resta associato alla violazione in un documento pubblico e consultabile da chiunque.
Sono conseguenze che si sommano al costo del contenzioso con il lavoratore e che, in questo caso, sono nate in buona parte da un documento interno che l’azienda stessa ha consegnato all’Autorità. Sullo stesso tema abbiamo già esaminato i limiti al controllo della posta elettronica dei dipendenti e i termini per il riscontro al diritto di accesso ai dati personali, oltre alle contestazioni che arrivano quando manca un’informativa adeguata ai dipendenti.
Prima che la richiesta arrivi
Ogni cessazione di un rapporto di lavoro è un momento in cui regolamenti interni, caselle di posta e tempi di risposta vengono messi alla prova, come nel caso esaminato, da una persona assistita da un legale. Chi vuole sapere se il proprio disciplinare reggerebbe a una verifica come quella descritta può rivolgersi al nostro servizio di consulenza privacy, attivo per aziende ed enti in tutta Italia, oppure valutare l’affiancamento di un DPO esterno che segua nel tempo questi passaggi.
Se avete ricevuto una richiesta di accesso da un ex dipendente, o una lettera del Garante, il momento per esaminare documenti e scadenze è adesso: potete scriverci dalla pagina contatti per un primo esame della situazione.
Avv. Elio Errichiello
