Ordinanza ingiunzione o revoca n. 165 del 12/03/2026

ITAS Mutua: accesso ai dati dell'ex dipendente, backup e controlli sulle e-mail aziendali

Il Garante ha esaminato il reclamo di un ex dipendente di ITAS Mutua relativo alla gestione della casella di posta elettronica aziendale individualizzata e della documentazione connessa al rapporto di lavoro. Il procedimento è nato da una richiesta di accesso ai sensi dell'art. 15 GDPR, che la società ha riscontrato in modo ritenuto non completo, anche alla luce di successive attività di selezione e anonimizzazione del contenuto delle e-mail.

Origine del reclamo e sviluppo dell'istruttoria

Il reclamante aveva chiesto di accedere ai documenti personali presenti sul pc e alla posta elettronica aziendale utilizzata durante il rapporto di lavoro. Nel corso degli incontri con la società, l'accesso alla casella e-mail non era stato inizialmente eseguito per ragioni tecniche; successivamente venivano consegnate solo e-mail di carattere personale, mentre altri messaggi venivano trattenuti perché non ritenuti personali o perché riferiti all'attività lavorativa.

Il reclamante formulava quindi una richiesta formale di accesso ex art. 15 GDPR per ottenere copia di tutte le e-mail presenti nella casella dal 1° marzo 2021 in poi. La società consegnava poi ulteriore documentazione e, in un momento successivo, la corrispondenza estratta dalla casella, ma epurata di molti elementi. L'Ufficio del Garante acquisiva informazioni ai sensi dell'art. 157 del Codice e avviava il procedimento sanzionatorio.

Posizioni difensive della società

ITAS Mutua sosteneva di aver riscontrato la richiesta di accesso entro il termine di un mese, con successivo incontro in presenza a causa della mole di dati richiesti. La società affermava inoltre che, durante gli incontri, il reclamante aveva potuto accedere alla casella e selezionare personalmente le e-mail di interesse, e che l'oscuramento di alcuni contenuti era stato effettuato per tutelare dati di terzi e segreti aziendali.

Quanto alla gestione tecnica, la società dichiarava che, alla cessazione del rapporto, l'account e-mail era stato disattivato e poi definitivamente cancellato dai sistemi online, restando conservato nel backup per cinque anni. Veniva anche esclusa la sussistenza di controlli a distanza sull'attività del lavoratore.

Violazione degli artt. 12 e 15 GDPR: accesso solo parziale e selezione preventiva dei messaggi

Il Garante ha ritenuto che la condotta della società fosse contraria agli artt. 12 e 15 GDPR. L'oggetto dell'istanza non riguardava un generico accesso a dati aziendali, ma la corrispondenza presente su una casella di posta elettronica individualizzata, utilizzata nel rapporto di lavoro e quindi riconducibile anche alla sfera personale dell'interessato.

L'Autorità ha richiamato l'orientamento della Corte EDU sulla protezione della vita privata nell'ambito lavorativo e il principio per cui le comunicazioni elettroniche scambiate sul luogo di lavoro rientrano nella nozione di "corrispondenza" tutelata dall'art. 8 CEDU. Ha inoltre richiamato le Linee guida del Garante su posta elettronica e Internet, secondo cui il contenuto delle e-mail e i file allegati sono forme di corrispondenza assistite da segretezza.

Secondo il Garante, era illecita la decisione di esaminare preventivamente il contenuto delle e-mail per limitare l'accesso alle sole comunicazioni strettamente personali, come pure l'attività di oscuramento e anonimizzazione svolta per tutelare terzi e segreti aziendali. Nel caso concreto non ricorrevano infatti le condizioni dell'art. 12, par. 5, GDPR o dell'art. 15, par. 4, GDPR: la mera preoccupazione che l'accesso potesse ledere diritti di terzi non era sufficiente, e la società non aveva dimostrato un pregiudizio effettivo e concreto.

Il Garante ha quindi confermato la violazione degli artt. 12 e 15 GDPR, rilevando che non erano stati forniti all'interessato riscontri completi e idonei sul contenuto della propria casella di posta elettronica aziendale.

Violazione dei principi di trasparenza, minimizzazione e limitazione della conservazione

L'istruttoria ha evidenziato che ITAS Mutua conservava il contenuto delle e-mail dei dipendenti tramite backup per cinque anni, al fine di preservare il patrimonio informativo della società in relazione alla vigilanza cui è sottoposta. Il Garante ha rilevato che tale specifica attività non era stata adeguatamente descritta nei documenti informativi rivolti ai dipendenti.

Le informative e le "Regole di utilizzo degli strumenti informatici" contenevano indicazioni generiche e non coincidenti sui tempi di conservazione e sulle finalità. Ne è derivata la violazione del principio di correttezza e trasparenza ex art. 5, par. 1, lett. a), GDPR e dell'obbligo di informativa ex art. 13 GDPR.

Quanto al merito del trattamento, il Garante ha osservato che la posta elettronica, anche se conservata in modalità non online, resta oggetto di trattamento ai sensi dell'art. 4, n. 2, GDPR. Il backup quinquennale del contenuto delle e-mail è stato ritenuto non necessario né proporzionato e quindi illecito per violazione dei principi di minimizzazione, limitazione della finalità e limitazione della conservazione di cui all'art. 5, par. 1, lett. b), c) ed e), GDPR.

Lo stesso ragionamento è stato esteso ai file di log della navigazione in Internet, conservati per 12 mesi anche per finalità ulteriori rispetto alla sicurezza informatica, tra cui la difesa dei diritti. L'Autorità ha ritenuto che anche in questo caso il trattamento non rispettasse i principi sopra richiamati.

Controlli a distanza e disciplina lavoristica

La società, nelle proprie policy, prevedeva la possibilità di accesso al contenuto della posta elettronica e ai log della navigazione da parte del titolare o di personale tecnico, anche per finalità di tutela del patrimonio aziendale e di difesa dei diritti. Il Garante ha ritenuto che tali strumenti fossero potenzialmente idonei a realizzare controlli sull'attività dei dipendenti e, perciò, soggetti all'art. 4 della legge n. 300/1970.

Poiché non risultava che la società avesse verificato in concreto la ricorrenza delle tassative finalità previste dalla norma, né che avesse attivato la procedura di garanzia prevista in caso di controlli a distanza, è stata confermata la violazione dell'art. 88 GDPR, richiamato dall'art. 114 del Codice.

Esito: illiceità del trattamento, prescrizioni e sanzione

L'Autorità ha dichiarato illecito il trattamento effettuato da ITAS Mutua per violazione degli artt. 5, par. 1, lett. a), b), c) ed e), 12, 13, 15 e 88 GDPR, nonché dell'art. 114 del Codice. Ha ritenuto che non si trattasse di violazione minore, in ragione della pluralità delle infrazioni, della loro durata e della gravità delle conseguenze per i diritti dell'interessato.

In via correttiva, il Garante ha prescritto di:

• consentire al reclamante l'accesso integrale alla corrispondenza presente sulla casella e-mail aziendale individualizzata;
• conformare le policy aziendali e i trattamenti descritti alla disciplina in materia di protezione dei dati personali;
• fornire entro 90 giorni un riscontro motivato all'Autorità.

Sul piano sanzionatorio, è stata irrogata una sanzione amministrativa pecuniaria di euro 50.000, determinata ai sensi dell'art. 83 GDPR, tenendo conto della natura, gravità e durata della violazione, del grado di responsabilità, della cooperazione prestata e dell'assenza di precedenti specifici, nonché delle condizioni economiche della società. È stata inoltre disposta la pubblicazione dell'ordinanza ingiunzione sul sito Internet del Garante e l'annotazione delle violazioni nel registro interno dell'Autorità.