Mail aziendale: ok all'accesso post licenziamento - le regole del Garante privacy

Con provvedimento   del 12 marzo 2026 n.10233328, pubblicato il 15 aprile il . Garante per la privacy ha riaffermato che l' accesso alle e-mail aziendali è consntito al lavoratore anche dopo la cessazione del rapporto di lavoro.  Di conseguenza ha irrogato una multa da 50mila euro a una compagnia assicurativa

Il principio era contenuto anche in un precedente intervento sanzionatorio  di dicembre 2025 (v. paragrafo seguente)

Nel caso piu recente, è stato accolto  il reclamo presentato da un ex dipendente di una compagnia assicurativa che aveva richiesto copia delle email contenute nel proprio account aziendale e dei file archiviati sul pc in uso durante il rapporto di lavoro. 

La società, dopo aver effettuato un accesso alla casella di posta dell’ex lavoratore ed esaminato il contenuto, aveva trasmesso soltanto i messaggi considerati “strettamente personali”, escludendo  quelli connessi all’attività lavorativa.

Secondo l’Autorità, invece,  il diritto di accesso si estende a tutti i dati personali, comprese le comunicazioni effettuate tramite un account aziendale nominativo. Non è quindi legittimo operare una selezione preventiva dei contenuti da fornire, né limitarli o oscurarli sulla base della distinzione tra sfera privata e professionale.

Il Garante ha inoltre evidenziato alcune criticità nella gestione dei dati da parte della società, in particolare per la scarsa trasparenza delle informative e per i tempi di conservazione ritenuti eccessivi: cinque anni per le email e dodici mesi per i dati di navigazione, non proporzionati rispetto alle finalità dichiarate.

A fronte delle violazioni riscontrate è stata irrogata una sanzione amministrativa di 50mila euro.

 L’Autorità ha disposto l’obbligo per la compagnia di consentire l’accesso completo ai dati richiesti dall’ex dipendente e di aggiornare informative e policy interne in conformità alla normativa sulla protezione dei dati personali.

1) Il caso: account posta attivo dopo il recesso e mancato riscontro al dipendente

Anche con il provvedimento n. 754 del 18 dicembre 2025, richiamato in una lewsletter di febbraio 2026 ,  il Garante per la protezione dei dati personali  si è occupato  gestione della posta elettronica aziendale  individuale  dopo la cessazione del rapporto di lavoro. Il caso esaminato riguarda un rapporto di lavoro apicale e pone l’attenzione su due profili abbastanza ricorrenti: 

• il mancato riscontro a una richiesta di esercizio dei diritti privacy e
•  il mantenimento attivo dell’account email aziendale dopo il licenziamento del dipendente.

Il Garante ha analizzato la vicenda applicando le regole del Regolamento (UE) 2016/679 e della normativa nazionale di adeguamento, soffermandosi in particolare sulla natura dei dati trattati attraverso la posta elettronica individuale e sulle modalità corrette di gestione degli account al termine del rapporto. 

Il provvedimento si conclude con la dichiarazione di illiceità del trattamento e con l’applicazione di una sanzione  pecuniaria. Vediamo piu in dettaglio nei paragrafi seguenti.

La vicenda prende avvio dalla sospensione cautelare e dal successivo licenziamento di un dirigente. 

 Dopo la cessazione del rapporto, l’account di posta elettronica aziendale che utilizzava risultava ancora attivo e continuava a ricevere comunicazioni, comprese email rilevanti per la gestione del contenzioso in corso.

L’interessato, accortosi che la casella non era stata disattivata, aveva presentato una richiesta formale per ottenere la disattivazione dell’account, l’accesso alla corrispondenza ricevuta nel frattempo e l’attivazione di un sistema di risposta automatica che informasse i terzi dell’avvenuta cessazione del rapporto, indicando un recapito alternativo. Tale richiesta, però, non aveva ricevuto alcun riscontro nei termini previsti.

La società datrice di lavoro aveva ritenuto che la comunicazione fosse collegata esclusivamente alla controversia giuslavoristica già in atto e aveva quindi deciso di rispondere in sede giudiziale. Nel frattempo, l’account di posta elettronica era stato mantenuto attivo per circa due mesi dopo il licenziamento, con inoltro automatico delle email verso altri indirizzi aziendali, in base a una procedura interna che prevedeva tempi più lunghi di gestione per le posizioni apicali.

Nel corso dell’istruttoria, la società ha sostenuto di aver agito per garantire la continuità dell’attività aziendale e per tutelare le proprie esigenze difensive, dichiarando di non aver svolto attività di controllo durante il rapporto di lavoro e di essersi attenuta al regolamento IT interno.

 Il reclamo includeva anche rilievi sull’uso di una sim aziendale, che tuttavia non sono stati ritenuti rilevanti ai fini della decisione.

2) Le violazioni accertate dal Garante privacy

All’esito dell’istruttoria, il Garante ha ritenuto fondate le contestazioni relative alla violazione dei diritti dell’interessato e ai principi generali del trattamento dei dati personali.

In primo luogo, è stato accertato il mancato riscontro alla richiesta di accesso ai dati personali entro il termine previsto dalla normativa.

L’Autorità ha chiarito che il diritto di accesso può essere esercitato senza particolari formalità e che il titolare del trattamento è comunque tenuto a fornire una risposta, anche quando ritenga di non poter accogliere integralmente la richiesta.

Secondo il Garante, la circostanza che fosse in corso un contenzioso giuslavoristico non giustificava l’assenza di riscontro, né il rinvio della risposta a una fase successiva del giudizio. È stato inoltre escluso che potesse applicarsi una limitazione generalizzata del diritto di accesso per esigenze difensive, in assenza di una dimostrazione concreta del pregiudizio che ne sarebbe derivato.

Quanto alla gestione della casella di posta elettronica dopo la cessazione del rapporto, l’Autorità ha rilevato che il mantenimento attivo dell’account individuale e l’inoltro automatico della corrispondenza verso altri indirizzi aziendali hanno comportato un trattamento di dati personali non conforme ai principi di liceità, minimizzazione e limitazione della conservazione. In particolare, il Garante ha osservato che le esigenze di continuità organizzativa possono essere soddisfatte con strumenti diversi, come i messaggi automatici di risposta e la riassegnazione dei contatti, senza accedere o conservare indiscriminatamente le email in arrivo.

Alla luce di tali elementi, il trattamento è stato dichiarato illecito. Il Garante ha quindi  ordinato alla società di consentire l’accesso alla corrispondenza richiesta dall’interessato e di procedere alla cancellazione dei dati non più necessari, fatta salva la conservazione limitata a fini di tutela in sede giudiziaria.

 È stata infine applicata una sanzione amministrativa pecuniaria pari a 40.000 euro, determinata in base alle circostanze del caso concreto.