Ordinanza ingiunzione o revoca n. 476 del 18/06/2026

Piaggio & C. S.p.A. - trattamento illecito di e-mail aziendali, log e controlli difensivi nel rapporto di lavoro

Il Garante per la protezione dei dati personali ha esaminato i reclami presentati da due ex dipendenti di Piaggio & C. S.p.A. relativi agli accessi alla loro posta elettronica aziendale individualizzata, all'acquisizione di numerose e-mail anche personali e al mancato riscontro alle richieste di conferma della disattivazione degli account. Il procedimento ha portato all'accertamento di plurime violazioni del GDPR e del Codice privacy, con divieto di accesso ai dati raccolti illecitamente e sanzione amministrativa di 460.000 euro.

Origine del procedimento e attività istruttoria

I primi reclami, presentati il 17 luglio 2023, riguardavano la mancata risposta della Società alle richieste di conferma dell'avvenuta disattivazione degli account di posta elettronica aziendale individualizzati, formulate dopo il licenziamento e reiterate con pec del 31 maggio 2023. Con ulteriori reclami del 14 settembre 2023, gli interessati hanno contestato anche gli accessi alla corrispondenza transitata sulle caselle aziendali e l'acquisizione di numerose e-mail, poi utilizzate nei procedimenti disciplinari.

L'Ufficio ha richiesto informazioni alla Società ai sensi dell'art. 157 del Codice. Piaggio ha risposto sostenendo, tra l'altro, che gli account erano stati disattivati il 16 febbraio 2023 e cancellati il 27 aprile 2023; che non vi sarebbero stati accessi dopo la disattivazione; che i controlli erano stati svolti come controlli difensivi; che i messaggi erano conservati in backup per tutta la durata del rapporto e per cinque anni dopo la cessazione; e che i log erano conservati per sei mesi, poi successivamente ridotti a 21 giorni dopo il documento di indirizzo del Garante sui metadati della posta elettronica.

Posizione difensiva della Società

La Società ha sostenuto che l'account di posta elettronica aziendale fosse uno strumento di lavoro soggetto all'art. 4, comma 2, dello Statuto dei lavoratori e che, pertanto, la conservazione e gli accessi fossero compatibili con le esigenze organizzative e di sicurezza. Ha inoltre affermato di aver predisposto policy interne, procedure di off-boarding e una DPIA, e di aver incaricato un responsabile esterno per il recupero mirato delle e-mail tramite filtri e keywords, senza accesso ai computer dei dipendenti.

Secondo la Società, le richieste degli interessati non costituivano vere istanze ex artt. 15 e ss. GDPR, né domande di cancellazione ex art. 17 GDPR; in ogni caso, la cancellazione delle e-mail avrebbe compromesso il diritto di difesa nei giudizi del lavoro. Dopo l'avvio del procedimento, Piaggio ha ridotto il termine di conservazione delle e-mail a tre mesi dalla cessazione del rapporto e quello dei log a 21 giorni.

Mancato riscontro alle istanze degli interessati

Il Garante ha ritenuto che le richieste dei reclamanti dovessero essere interpretate alla luce della disciplina privacy e che rientrassero nell'ambito dei diritti degli interessati. La domanda di conferma della disattivazione degli account individualizzati è stata considerata, nella sostanza, una richiesta di cessazione del trattamento sui dati personali connessi a tali account.

L'Autorità ha escluso che la Società potesse opporre l'asserita mancanza di un riferimento espresso al GDPR o al diritto di accesso/cancellazione, richiamando le linee guida EDPB 1/2022. È stata quindi accertata la violazione degli artt. 12, par. 3, e 17 GDPR, poiché Piaggio non ha fornito un riscontro nei termini dovuti e non ha motivato correttamente l'eventuale limitazione dei diritti.

Trattamento delle e-mail e controlli difensivi

Il Garante ha rilevato che Piaggio aveva acquisito almeno 18 e-mail complessive per una reclamante e 94 e-mail complessive per l'altro reclamante, risalenti fino a circa due anni prima dell'insorgenza del sospetto di illecito. Pur richiamando l'orientamento giurisprudenziale che ammette i controlli difensivi in presenza di fondato sospetto e se svolti ex post, l'Autorità ha osservato che nel caso concreto il controllo ha riguardato dati cronologicamente anteriori al sospetto e ha quindi ecceduto i limiti di liceità.

L'attività è stata qualificata come trattamento illecito, in quanto non conforme ai principi di liceità, correttezza e trasparenza, minimizzazione e limitazione della conservazione di cui all'art. 5 GDPR, nonché priva di idoneo presupposto di liceità ai sensi dell'art. 6 GDPR. Il Garante ha inoltre richiamato l'art. 88 GDPR e l'art. 114 del Codice privacy, ritenendo che il sistema adottato consentisse una ricostruzione dell'attività dei dipendenti e quindi un controllo a distanza non assistito dalle garanzie dell'art. 4 dello Statuto dei lavoratori.

Conservazione della posta elettronica e dei log

La Società aveva previsto inizialmente la conservazione dei messaggi di posta elettronica per tutta la durata del rapporto e per cinque anni dopo la cessazione, oltre alla conservazione dei log per sei mesi. L'Autorità ha preso atto delle modifiche successive, ma ha osservato che la conservazione prolungata della posta e dei log, insieme alle possibilità di accesso previste nei documenti interni, era idonea a determinare un controllo sistematico dei lavoratori.

Secondo il Garante, il contenuto della corrispondenza e i dati esteriori delle comunicazioni, inclusi i log, sono coperti da garanzie di segretezza e da una legittima aspettativa di riservatezza anche nel contesto lavorativo. È stato quindi ribadito che, dopo la cessazione del rapporto, il titolare deve rimuovere l'account e predisporre sistemi automatici per la continuità operativa, evitando però la visualizzazione dei messaggi da parte di soggetti diversi dall'intestatario, salvo esplicita richiesta di assistenza.

Informativa e trasparenza

Il Garante ha ritenuto che i documenti informativi prodotti dalla Società non indicassero in modo adeguato le finalità dei trattamenti, i presupposti della conservazione delle e-mail e dei log, né le informazioni essenziali richieste dall'art. 13 GDPR. Anche il regolamento interno aggiornato è stato considerato insufficiente, perché, pur riportando i periodi di conservazione, non chiariva le finalità specifiche dei trattamenti.

L'Autorità ha dunque confermato la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, sottolineando che l'informativa deve essere resa al momento dell'ottenimento dei dati e deve consentire all'interessato di comprendere preventivamente la natura delle attività di controllo e conservazione.

Decisione, sanzione e misure accessorie

Il Garante ha dichiarato l'illiceità del trattamento effettuato da Piaggio & C. S.p.A. per violazione degli artt. 5, par. 1, lett. a), b), c) ed e), 6, 12, 13, 17 e 88 GDPR e dell'art. 114 del Codice privacy. Ha ritenuto la violazione non minore, in ragione della natura dei dati trattati, della durata del trattamento, della vulnerabilità degli interessati e del coinvolgimento dei diritti di difesa e delle garanzie in materia di controllo a distanza.

Ai fini della quantificazione della sanzione ai sensi dell'art. 83 GDPR, sono stati considerati la gravità delle violazioni, la durata, la colpa del titolare, la cooperazione prestata nel corso del procedimento, le modifiche apportate ai sistemi e l'assenza di precedenti pertinenti. È stata applicata una sanzione pecuniaria di 460.000 euro. Il Garante ha inoltre ordinato il divieto di accesso al contenuto dei dati raccolti e conservati sui sistemi aziendali relativi alla posta elettronica aziendale, disposto la pubblicazione del provvedimento sul sito istituzionale e l'annotazione nel registro interno dell'Autorità, con possibilità di pagamento in misura ridotta nei termini di legge.