Cosa succede alla casella email aziendale quando un dipendente lascia il lavoro? Può il datore di lavoro conservarla e leggere i messaggi per verificare eventuali comportamenti illeciti?

A chiarire i limiti di queste attività è il Garante per la protezione dei dati personali, che, con il provvedimento n. 583 del 6 agosto 2026, ha inflitto una sanzione di 225mila euro a Michael Page International Italia S.r.l. per diverse violazioni della normativa privacy nella gestione della posta elettronica di tre ex dipendenti.

La vicenda nasce dai reclami presentati dai lavoratori, le cui caselle email aziendali erano state conservate per un periodo compreso tra due anni e oltre due anni e mezzo dopo la cessazione del rapporto di lavoro.

La società aveva giustificato questa scelta con la necessità di tutelare i propri interessi e raccogliere prove di possibili comportamenti illeciti, tra cui concorrenza sleale e sottrazione di informazioni riservate a favore di un’impresa concorrente.

Per svolgere queste verifiche, l’azienda aveva esaminato i messaggi contenuti nelle caselle di posta elettronica e, in alcuni casi, consentito ai responsabili aziendali di accedere alle comunicazioni.

Ma fino a che punto un’azienda può spingersi per difendere i propri interessi?

Secondo il Garante, il datore di lavoro può certamente avere un interesse legittimo a proteggere il patrimonio aziendale e a far valere i propri diritti in giudizio. Tuttavia, queste esigenze non autorizzano automaticamente a conservare per anni le email dei dipendenti o a consultarne liberamente il contenuto.

Anche quando si sospettano comportamenti illeciti, infatti, le verifiche devono rispettare i principi di necessità, proporzionalità e minimizzazione previsti dal GDPR. In altre parole, le informazioni raccolte e le modalità di controllo devono essere limitate a quanto effettivamente necessario.

Un aspetto particolarmente importante riguarda i cosiddetti controlli difensivi, cioè le verifiche effettuate dal datore di lavoro per accertare possibili condotte illecite.

Il Garante, richiamando la giurisprudenza della Corte di Cassazione, ha evidenziato che tali controlli, per poter essere svolti al di fuori delle ordinarie garanzie previste dall’articolo 4 dello Statuto dei lavoratori, devono rispettare precise condizioni. In particolare, devono basarsi su un sospetto concreto e riguardare dati acquisiti successivamente alla sua insorgenza.

Non è quindi sufficiente richiamare genericamente la necessità di difendere l’azienda per giustificare controlli retroattivi su comunicazioni raccolte in precedenza.

Nel caso esaminato, invece, la società aveva conservato le caselle di posta e verificato anche comunicazioni risalenti ai mesi precedenti le dimissioni dei lavoratori.

Un altro elemento contestato riguarda la gestione degli indirizzi email dopo la conclusione del rapporto di lavoro. La società, pur avendo disabilitato l’accesso agli account da parte degli ex dipendenti, ne aveva mantenuto la disponibilità per un periodo prolungato, senza attivare un messaggio automatico che informasse i mittenti della cessazione del rapporto professionale.

Per il Garante, questa modalità di gestione non rispettava i principi di minimizzazione e limitazione della conservazione dei dati personali.

La posta elettronica aziendale, infatti, non diventa liberamente accessibile al datore di lavoro soltanto perché viene utilizzata per ragioni professionali. Anche le comunicazioni scambiate attraverso strumenti aziendali sono tutelate dal diritto alla riservatezza della corrispondenza.

Il provvedimento affronta anche un altro aspetto spesso sottovalutato dalle imprese: l’informativa privacy e il regolamento sull’utilizzo degli strumenti informatici.

L’Autorità ha rilevato che le informazioni fornite ai lavoratori non descrivevano in modo sufficientemente chiaro e specifico le modalità con cui l’azienda poteva trattare i dati contenuti nella posta elettronica.

Non basta, quindi, predisporre un regolamento informatico o un’informativa generica. I dipendenti devono essere messi nelle condizioni di conoscere come vengono utilizzati gli strumenti aziendali, quali trattamenti possono essere effettuati e quali controlli sono previsti, nel rispetto della normativa applicabile.

Il Garante ha inoltre richiamato l’articolo 88 del GDPR e l’articolo 114 del Codice Privacy, che rinvia alle garanzie previste dall’articolo 4 dello Statuto dei lavoratori. La gestione della posta elettronica aziendale deve quindi rispettare sia le regole sulla protezione dei dati personali sia quelle che disciplinano i controlli sui lavoratori.

La decisione rappresenta un richiamo importante per tutte le aziende.

La gestione delle caselle email non può essere lasciata all’improvvisazione, soprattutto quando un dipendente cambia mansione o termina il rapporto di lavoro. È necessario prevedere procedure chiare per la disattivazione degli account, la gestione delle comunicazioni professionali e l’eventuale conservazione delle informazioni strettamente necessarie.

Allo stesso modo, le esigenze di difesa in giudizio devono essere valutate caso per caso, individuando strumenti e modalità compatibili con i diritti dei lavoratori.

Il messaggio che emerge dal provvedimento è chiaro: il diritto dell’azienda di tutelare i propri interessi non può tradursi in un accesso indiscriminato alla corrispondenza dei dipendenti, nemmeno dopo la cessazione del rapporto di lavoro.