Ordinanza ingiunzione o revoca n. 583 del 06/08/2026

Conservazione e consultazione delle e-mail di tre ex dipendenti

Il Garante ha esaminato tre reclami relativi alla gestione degli account aziendali di posta elettronica dopo la cessazione dei rapporti di lavoro. Il procedimento, inizialmente articolato nei confronti di Page Personnel Italia S.p.A. e Michael Page International Italia s.r.l., è stato riunito; dopo la fusione per incorporazione di Page Personnel, eseguita il 4 dicembre 2023, il provvedimento è stato adottato nei confronti della società incorporante.

Fatti e svolgimento dell’istruttoria

I reclami lamentavano che gli account individualizzati degli ex dipendenti fossero rimasti attivi e che la società avesse conservato e consultato la corrispondenza senza un’informativa idonea. I rapporti di lavoro erano cessati il 31 gennaio 2021, il 26 febbraio 2021 e il 30 settembre 2021. La società dichiarò di avere disabilitato gli account in prossimità della cessazione, impedendo agli ex dipendenti di accedervi, ma di averne ritardato la rimozione per svolgere indagini difensive. Gli account furono definitivamente rimossi il 25 settembre 2023.

La società collegò le verifiche a sospetti di sottrazione di informazioni riservate e segreti commerciali e di condotte anticoncorrenziali a vantaggio del nuovo datore di lavoro di alcuni ex dipendenti. Riferì di avere selezionato messaggi dei nove mesi anteriori alle dimissioni, relativi a indirizzi privati degli ex dipendenti o a indirizzi del nuovo datore di lavoro, anche mediante filtri e parole chiave. Dichiarò inoltre di avere inoltrato e-mail ai responsabili aziendali e di avere affidato a un consulente informatico un’indagine forense; il materiale estratto sarebbe stato conservato su due dischi USB cifrati e custoditi in una busta antieffrazione. La società utilizzò il materiale nei procedimenti giudiziari connessi alla vicenda.

Informative e policy aziendali

Il Garante ha ritenuto che la “Politica di privacy per dipendenti, lavoratori e collaboratori esterni” non descrivesse concretamente i trattamenti effettuati sulla posta elettronica né specificasse le categorie di dati trattati. Le finalità erano formulate in termini generici o esemplificativi; le basi giuridiche, compreso il legittimo interesse, non erano sufficientemente determinate. Anche le indicazioni sulla conservazione erano generiche e tautologiche, senza un periodo o criteri comprensibili e verificabili.

Il “Regolamento interno per il corretto uso dei sistemi informatici aziendali” non descriveva i trattamenti concretamente svolti e, nella versione consegnata ad alcuni reclamanti, poteva generare confusione sull’identità del titolare, poiché faceva riferimento a Michael Page quando i rapporti di lavoro erano intercorsi con Page Personnel. Inoltre, il regolamento contemplava la comunicazione delle password al superiore gerarchico e il suo accesso alla casella del dipendente in caso di assenza. Il Garante ha ritenuto tali modalità non conformi alle garanzie di riservatezza della corrispondenza.

Le versioni successive della policy e dell’informativa, incluse quelle del 26 luglio 2023, del 24 maggio 2024 e del giugno 2024, erano state redatte dopo l’avvio dei trattamenti e non erano state fornite ai reclamanti. Anche tali documenti non rendevano lecito l’accesso datoriale alle caselle individualizzate; inoltre, non descrivevano in modo chiaro il trattamento svolto mediante il sistema Data Loss Prevention e contenevano indicazioni generiche o riferite a controlli potenzialmente illeciti.

Violazioni dei principi di trasparenza, minimizzazione e conservazione

Il mantenimento e l’accesso agli account dopo la cessazione del rapporto, in assenza di un’informativa adeguata, hanno violato l’art. 13 GDPR e il principio di trasparenza e correttezza di cui all’art. 5, par. 1, lett. a), GDPR. Il Garante ha precisato che un’informativa deve essere completa e riferita a trattamenti leciti: la mera descrizione di un trattamento in un documento non ne rende lecite le modalità.

La conservazione degli account per finalità investigative, per periodi compresi tra circa due anni e oltre due anni e mezzo, ha violato i principi di minimizzazione e limitazione della conservazione di cui all’art. 5, par. 1, lett. c) ed e), GDPR. Il mantenimento non era funzionale alla continuità aziendale e non era accompagnato da un messaggio automatico di risposta che informasse i mittenti della cessazione e fornisse un recapito alternativo. La dichiarata applicazione di filtri e parole chiave non ha superato il rilievo: la società conservava le caselle e poteva accedere ai contenuti, senza avere fornito evidenza sufficiente dell’effettiva circoscrizione delle ricerche.

Controlli sulle comunicazioni e disciplina lavoristica

Il Garante ha accertato che la società aveva esaminato, dopo la cessazione del rapporto, messaggi scambiati durante il rapporto di lavoro, li aveva sottoposti a indagini e aveva utilizzato quanto estratto in giudizio. La condotta è stata ritenuta in contrasto con l’art. 114 del Codice, che richiama l’osservanza dell’art. 4 della legge 20 maggio 1970, n. 300, quale condizione di liceità del trattamento, e con l’art. 88 GDPR, relativo alle regole nazionali specifiche in materia di dati dei lavoratori.

Non è stata accolta la giustificazione basata sul legittimo interesse ai sensi dell’art. 6, par. 1, lett. f), GDPR. La conservazione preventiva dei contenuti e la possibilità di accedervi non erano circoscritte a esigenze concrete e definite di contenzioso, né risultavano accompagnate da garanzie idonee a impedire l’accesso del datore di lavoro alla corrispondenza. Sono stati ritenuti illeciti anche il regime dichiarato di conservazione decennale delle e-mail selezionabili per esigenze aziendali o di difesa e la possibilità di accedere alle caselle nei 30 giorni successivi alla cessazione, pur attraverso ricerche per parole chiave.

Quanto ai cosiddetti controlli difensivi, il Garante ha richiamato Cass. n. 25732 del 22 settembre 2021, Cass. n. 18168 del 26 giugno 2023 e Cass. n. 32283 dell’11 dicembre 2025. Ha osservato che, secondo tali pronunce, la legittimità richiede, tra l’altro, che i dati siano acquisiti dopo l’insorgere di un fondato sospetto di illecito extracontrattuale e che sia assicurato un corretto bilanciamento tra tutela aziendale e diritti del lavoratore. Nel caso concreto, la raccolta aveva proceduto a ritroso, conservando e rendendo accessibili comunicazioni anteriori al sospetto e alla cessazione.

Esito e misure correttive

Il Garante ha dichiarato illecito il trattamento effettuato da Michael Page International Italia s.r.l. per violazione degli artt. 5, par. 1, lett. a), c) ed e), 13 e 88 GDPR e dell’art. 114 del Codice. Non ha disposto ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, poiché la società aveva dichiarato di avere rimosso definitivamente gli account e gli effetti della condotta erano cessati.

Sanzione e criteri di quantificazione

Il Garante ha applicato l’art. 83, par. 3, GDPR, considerando le violazioni come conseguenza di un’unica condotta composta da trattamenti collegati, e ha determinato la sanzione entro il limite previsto per la violazione più grave ai sensi dell’art. 83, par. 5, GDPR. L’importo irrogato è di 225.000 euro.

Ai sensi dell’art. 83, par. 2, GDPR, sono stati considerati la natura e la durata della condotta, il coinvolgimento di tre account e la particolare delicatezza della corrispondenza; la colpa della società; la natura comune dei dati, pur riferiti a comunicazioni elettroniche; la cancellazione degli account; l’assenza di precedenti violazioni pertinenti; il grado ordinario di cooperazione; la circostanza che l’Autorità fosse stata informata tramite tre reclami e le condizioni economiche della società, valutate sulla base del bilancio 2025. Il Garante ha qualificato elevato il livello di gravità, richiamando anche le Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR, adottate il 24 maggio 2023, punto 60, e i principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR.

La società è stata ingiunta a pagare 225.000 euro entro 30 giorni dalla notificazione, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice. È salva la facoltà di definire la controversia pagando la metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150. È stata disposta la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul sito del Garante. L’opposizione può essere proposta al tribunale ordinario competente entro 30 giorni dalla comunicazione, elevati a 60 giorni per chi risiede all’estero.