Il datore di lavoro che gestisce le email aziendali dei dipendenti deve predisporre un’informativa specifica, una policy d’uso, la mappatura del trattamento e regole precise su log, metadati e backup. La violazione di questi obblighi espone a sanzioni del Garante fino al 4% del fatturato globale annuo ai sensi dell’art. 83 GDPR. La chiusura dell’account alla cessazione del rapporto è un adempimento distinto e spesso trascurato che va disciplinato preventivamente.
Punti chiave
- Punto 1 — L’informativa ai dipendenti deve coprire esplicitamente log, metadati e controlli difensivi sulle email.
- Punto 2 — I backup delle caselle email rientrano nel trattamento e vanno mappati nel registro ex art. 30 GDPR.
- Punto 3 — La casella del dipendente cessato va disattivata con procedura documentata e tempi definiti dalla policy.
Se assisti imprese clienti nella gestione del personale, la posta elettronica aziendale è uno dei fronti privacy più esposti e meno presidiati. Informativa generica, assenza di policy, log conservati senza base giuridica e account attivi mesi dopo la fine del contratto sono le contestazioni più frequenti nelle istruttorie del Garante. Intervenire oggi significa evitare sanzioni e blindare le procedure interne del cliente.
Agenda Digitale ha pubblicato un’analisi dettagliata sugli obblighi privacy connessi alla gestione delle email aziendali dei dipendenti, con focus su informativa, policy, mappatura dei trattamenti, log, metadati, backup, controlli difensivi e disattivazione degli account post-cessazione. Puoi consultare l’articolo completo sul sito di Agenda Digitale.
Il contesto normativo
Il quadro di riferimento è stratificato. Il Reg. UE 679/2016 (GDPR) impone al titolare del trattamento l’obbligo di informativa ex art. 13, la tenuta del registro dei trattamenti ex art. 30 e il rispetto del principio di minimizzazione ex art. 5, par. 1, lett. c). Le sanzioni per violazione arrivano fino al 4% del fatturato globale annuo ex art. 83, par. 5.
Sul versante lavoristico, l’art. 4 della L. 300/1970 (Statuto dei Lavoratori), come modificato dal D.Lgs. 151/2015, disciplina i controlli a distanza: i log delle email e i metadati possono costituire strumenti di controllo indiretto, ammessi solo previo accordo sindacale o autorizzazione dell’Ispettorato del Lavoro, salvo che rientrino negli strumenti di lavoro assegnati. Il Garante ha chiarito questo confine nei provvedimenti del 1° febbraio 2018 (doc. web n. 7958296) e del 13 luglio 2016 (doc. web n. 5408460), confermando che anche i metadati delle email — mittente, destinatario, oggetto, orario — sono dati personali soggetti a tutte le garanzie del GDPR.
Cosa cambia per lo studio
- Informativa dedicata alle email — L’informativa privacy generica ai dipendenti non basta. Serve un documento specifico che descriva quali dati vengono trattati tramite la casella di posta, per quanto tempo, con quale base giuridica e chi vi accede. L’art. 13 GDPR esige che l’informativa sia fornita prima che il trattamento abbia inizio.
- Policy d’uso della posta aziendale — La policy deve definire se e in che misura è consentito l’uso personale, quali controlli il datore può effettuare e con quali modalità. Senza policy scritta e sottoscritta, qualunque accesso alla casella da parte dell’azienda rischia di integrare una violazione dell’art. 4 Stat. Lav.
- Registro dei trattamenti aggiornato — Log di accesso, metadati e backup delle caselle email vanno inseriti come trattamenti distinti nel registro ex art. 30 GDPR, con indicazione delle finalità, dei tempi di conservazione e delle misure di sicurezza adottate.
- Procedura di disattivazione post-cessazione — Alla fine del rapporto, l’account deve essere chiuso secondo una procedura documentata: messaggio automatico di risposta per un periodo limitato (generalmente 30-90 giorni), reindirizzamento se necessario, poi disattivazione definitiva. Conservare l’account attivo senza notifica all’interessato e senza base giuridica viola gli artt. 5 e 6 GDPR.
- Controlli difensivi — Se il cliente intende effettuare accessi alle email per tutelare i propri interessi in caso di controversia, deve farlo rispettando il provvedimento del Garante del 13 maggio 2021 (doc. web n. 9585323) sui controlli difensivi: accesso limitato, proporzionato, documentato e successivo alla contestazione.
Attenzione a
I backup sono un trattamento autonomo. Molte aziende conservano backup delle caselle email per mesi o anni senza che questo sia contemplato nell’informativa né nel registro dei trattamenti. Il Garante ha già sanzionato questa condotta: il backup non è un’operazione tecnica neutra, ma un trattamento di dati personali a tutti gli effetti, soggetto ai principi di limitazione della conservazione e minimizzazione.
Il consenso non è la base giuridica giusta. Usare il consenso del dipendente come base per il trattamento delle email è un errore classico: il rapporto di subordinazione rende il consenso strutturalmente non libero ex considerando 43 GDPR. La base corretta è l’esecuzione del contratto ex art. 6, par. 1, lett. b), oppure il legittimo interesse ex lett. f), con bilanciamento documentato.
Domande frequenti
Il datore di lavoro può leggere le email aziendali del dipendente?
Solo a determinate condizioni. Se la casella è uno strumento di lavoro assegnato, l’accesso è ammesso ma deve essere previsto dalla policy aziendale e dall’informativa privacy. Per controlli sistematici o a fini disciplinari si applica l’art. 4 Stat. Lav.: serve accordo sindacale o autorizzazione dell’Ispettorato del Lavoro, salvo che si tratti di controlli difensivi successivi a una contestazione già in corso.
Cosa fare con la casella email di un dipendente che ha lasciato l’azienda?
La casella va disattivata con una procedura documentata. La prassi consolidata prevede un messaggio automatico di risposta per 30-90 giorni con indicazione del referente alternativo, poi chiusura definitiva. Mantenere l’account attivo e accessibile ai colleghi o ai superiori senza base giuridica e senza informativa all’ex dipendente viola gli artt. 5 e 6 GDPR.
I metadati delle email (mittente, oggetto, orario) sono dati personali soggetti al GDPR?
Sì. Il Garante lo ha chiarito già nel provvedimento del 1° febbraio 2018 (doc. web n. 7958296): i metadati delle email sono dati personali a tutti gli effetti. La loro raccolta tramite log di sistema rientra nel perimetro del GDPR e deve essere indicata nell’informativa ai dipendenti e nel registro dei trattamenti ex art. 30 GDPR, con tempi di conservazione definiti.
Fonte di riferimento: AgendaDigitale