Accesso alle email aziendali: il Garante estende l’art. 15 GDPR

Il provvedimento adottato dal Garante per la protezione dei dati personali nei confronti di una compagnia assicurativa – conclusosi con una sanzione amministrativa pecuniaria pari a 50.000 euro – offre l’occasione per tornare su un tema che, nella prassi aziendale, continua a essere gestito con approssimazione: l’estensione del diritto di accesso dell’interessato ai dati personali contenuti negli strumenti di lavoro, in particolare nelle caselle di posta elettronica aziendali.
La decisione si inserisce nel solco di un orientamento ormai consolidato dell’Autorità, ma presenta profili di particolare interesse per la chiarezza con cui vengono censurate alcune prassi diffuse: la selezione unilaterale dei contenuti da parte del datore di lavoro, la distinzione artificiosa tra email “personali” e “professionali” e, più in generale, una gestione non conforme ai principi di trasparenza e proporzionalità. È qui che il caso assume un rilievo giuridico ben più ampio. In materia, abbiamo pubblicato la seconda edizione del Formulario commentato della privacy, disponibile su Shop Maggioli e su Amazon. Abbiamo anche organizzato il corso “Dal GDPR alla Legge AI – Policy, reporting e strumenti pratici per la governance dei dati”

1. Il caso: accesso parziale e selettivo ai dati dell’ex dipendente

Il procedimento trae origine dal reclamo di un ex dipendente che, una volta cessato il rapporto di lavoro, aveva esercitato il proprio diritto di accesso ai sensi dell’art. 15 del Regolamento (UE) 2016/679, chiedendo copia:

• dei messaggi presenti nella propria casella di posta elettronica aziendale;
• dei documenti salvati sul personal computer assegnatogli durante il rapporto.

La società, dopo aver effettuato un accesso diretto all’account email dell’ex lavoratore, aveva proceduto a una selezione dei contenuti, trasmettendo esclusivamente i messaggi ritenuti “strettamente personali” e trattenendo – o comunque non comunicando – quelli qualificati come inerenti all’attività lavorativa.
Si tratta di una prassi tutt’altro che isolata: molte organizzazioni ritengono, infatti, di poter operare una distinzione tra dati personali “in senso stretto” e dati afferenti alla sfera professionale, ritenendo questi ultimi sottratti al perimetro applicativo dell’art. 15 GDPR.
Il Garante interviene con decisione su questo punto, smontando alla radice tale impostazione. Per approfondire il tema, abbiamo pubblicato il volume NIS 2 ed Evoluzione della Cybersicurezza Nazionale, disponibile su Shop Maggioli e su Amazon

2. Il perimetro del diritto di accesso: dati personali anche nei contesti professionali

L’art. 15 GDPR riconosce all’interessato il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di accedere a tali dati e a una serie di informazioni correlate.
Il punto qualificante della decisione risiede proprio nella nozione di “dato personale”, che – ai sensi dell’art. 4, n. 1, GDPR – include “qualsiasi informazione riguardante una persona fisica identificata o identificabile”.
Non rileva, dunque, il contesto (privato o professionale) in cui il dato è generato o trattato, bensì la sua riferibilità a una persona fisica identificata o identificabile.
Ne deriva che:

• le email inviate e ricevute tramite un account aziendale individualizzato costituiscono, nella misura in cui contengono informazioni riferibili al lavoratore, dati personali dello stesso;
• analogamente, i documenti salvati sul computer aziendale, ove riconducibili all’attività del dipendente, rientrano nel perimetro del diritto di accesso.

Il Garante chiarisce, in modo esplicito, che non è legittimo operare una distinzione tra comunicazioni “personali” e “professionali” al fine di limitare l’esercizio del diritto di accesso. Tale distinzione, infatti, non trova alcun fondamento nel GDPR e si traduce in una indebita compressione di un diritto fondamentale dell’interessato.

3. Il divieto di selezione preventiva dei contenuti

Particolarmente rilevante è il passaggio in cui l’Autorità censura la condotta della società per aver effettuato una selezione preventiva dei dati da comunicare.
Il diritto di accesso non può essere soddisfatto attraverso una “versione filtrata” dei dati, costruita unilateralmente dal titolare del trattamento. L’art. 15 GDPR attribuisce all’interessato un diritto pieno, che si estende a tutti i dati personali che lo riguardano, fatte salve le limitazioni previste dall’art. 15, par. 4 (diritti e libertà altrui) e, più in generale, dall’art. 23 GDPR.
Ciò comporta che:

• il titolare non può sostituirsi all’interessato nella valutazione della rilevanza dei dati;
• non è consentito omettere o oscurare informazioni sulla base di criteri discrezionali non supportati da una specifica base giuridica;
• eventuali limitazioni devono essere motivate in modo puntuale e documentato.

Nel caso di specie, la società aveva operato una selezione basata su una classificazione interna (“personale” vs “lavorativo”) priva di rilevanza giuridica ai fini del GDPR, incorrendo così in una violazione del diritto di accesso.

4. Le possibili limitazioni: onere della prova e necessità di motivazione

Il Garante non esclude, in linea di principio, che possano sussistere situazioni in cui l’accesso debba essere limitato. Tuttavia, tali limitazioni devono essere:

• fondate su una specifica previsione normativa o su esigenze riconducibili alla tutela dei diritti e delle libertà altrui (art. 15, par. 4 GDPR);
• giustificate da ragioni concrete, attuali e documentabili.

Nel provvedimento si richiama, a titolo esemplificativo, la tutela di segreti aziendali o informazioni riservate. Anche in questi casi, tuttavia, il titolare del trattamento è tenuto a:

• dimostrare l’effettiva sussistenza del rischio;
• adottare misure proporzionate (ad esempio, oscuramenti mirati) e non generalizzate;
• fornire comunque all’interessato il maggior numero possibile di informazioni.

Non è quindi sufficiente invocare in modo generico la riservatezza aziendale per giustificare un diniego o una limitazione dell’accesso.

5. Profili di accountability: informative carenti e tempi di conservazione sproporzionati

Oltre alla violazione del diritto di accesso, il Garante ha rilevato ulteriori criticità nella gestione dei dati personali da parte della società.
In primo luogo, sono emerse carenze sotto il profilo della trasparenza, in violazione tra l’altro degli artt. 12 e 13 GDPR. Le informative rese ai lavoratori non risultavano idonee a descrivere in modo chiaro:

• le modalità di utilizzo degli strumenti aziendali;
• le finalità del trattamento dei dati;
• i tempi di conservazione.

Il tema delle informative in ambito lavorativo continua a essere sottovalutato, nonostante rappresenti uno degli snodi principali del principio di accountability (art. 5, par. 2 GDPR).
In secondo luogo, il Garante ha ritenuto non proporzionati i tempi di conservazione:

• cinque anni per le email;
• dodici mesi per i dati di navigazione.

La valutazione di sproporzione si fonda sul principio di limitazione della conservazione (art. 5, par. 1, lett. e GDPR), secondo cui i dati devono essere conservati per un arco di tempo non superiore a quello necessario rispetto alle finalità per le quali sono trattati.
In assenza di una giustificazione puntuale – ad esempio, esigenze di difesa in giudizio o obblighi normativi specifici – periodi di conservazione così estesi risultano difficilmente sostenibili.

6. Il dispositivo: sanzione e ordini correttivi

Alla luce delle violazioni accertate, il Garante ha:

• irrogato una sanzione amministrativa di 50.000 euro;
• ordinato alla società di consentire l’accesso integrale ai dati richiesti dall’ex dipendente;
• imposto l’adeguamento delle informative e delle policy interne.

La misura sanzionatoria, pur non particolarmente elevata in termini assoluti, appare coerente con la natura delle violazioni e con il principio di proporzionalità di cui all’art. 83 GDPR.

7. Implicazioni operative per le aziende

Il provvedimento impone alcune riflessioni operative, che meritano di essere esplicitate.
In primo luogo, le aziende devono prendere atto che:

• le caselle email aziendali individuali non sono “spazi neutri” o esclusivamente funzionali all’organizzazione, ma contengono dati personali del lavoratore;
• il diritto di accesso si estende integralmente a tali dati, anche dopo la cessazione del rapporto di lavoro.

In secondo luogo, è necessario rivedere le procedure interne di gestione delle richieste ex art. 15 GDPR, evitando:

• filtri arbitrari;
• classificazioni interne prive di rilevanza normativa;
• approcci difensivi non supportati da adeguata documentazione.

Occorre, inoltre:

• definire policy chiare sull’uso degli strumenti aziendali;
• aggiornare le informative, rendendole effettivamente comprensibili e complete;
• riesaminare i tempi di conservazione, alla luce del principio di proporzionalità.

8. Una questione di cultura giuridica, prima ancora che di compliance

Al di là del caso specifico, la decisione del Garante evidenzia un problema più ampio: la difficoltà, da parte di molte organizzazioni, di comprendere la portata effettiva dei diritti riconosciuti agli interessati dal GDPR.
Il diritto di accesso viene ancora percepito come una richiesta “invasiva” o come un adempimento meramente formale, da gestire nel modo più restrittivo possibile. In realtà, esso costituisce uno degli strumenti principali attraverso cui l’interessato può esercitare un controllo effettivo sui propri dati.
Ridurre questo diritto attraverso prassi interne non solo espone a sanzioni, ma mina la fiducia nel sistema di protezione dei dati.

9. Considerazioni conclusive

Il provvedimento in esame ribadisce, con chiarezza, alcuni principi che non dovrebbero più essere oggetto di incertezza interpretativa:

• il diritto di accesso riguarda tutti i dati personali, indipendentemente dal contesto in cui sono trattati;
• le email aziendali individuali rientrano pienamente in tale perimetro;
• non è consentito operare selezioni discrezionali dei dati da comunicare;
• eventuali limitazioni devono essere specifiche, motivate e proporzionate.

Per le aziende, il messaggio è altrettanto chiaro: la gestione degli strumenti di lavoro non può essere separata dalla disciplina in materia di protezione dei dati personali. Ogni scelta organizzativa – dalla configurazione delle caselle email ai tempi di conservazione – deve essere valutata alla luce dei principi del GDPR.
Continuare a considerare questi aspetti come marginali significa esporsi non solo a sanzioni, ma anche a un contenzioso crescente, alimentato da lavoratori sempre più consapevoli dei propri diritti.
E, a ben vedere, non è nemmeno una questione di particolare complessità tecnica: si tratta, piuttosto, di applicare correttamente principi che il legislatore europeo ha enunciato in modo chiaro ormai dal 2016. Il fatto che nel 2026 sia ancora necessario ribadirli attraverso provvedimenti sanzionatori dovrebbe far riflettere.

Formazione in materia per professionisti

Dal GDPR alla Legge AI – Policy, reporting e strumenti pratici per la governance dei dati
Un ciclo di quattro incontri per tradurre le norme su AI e protezione dei dati in procedure operative concrete. Dalla definizione delle policy alla costruzione del reporting e delle linee guida interne, il webinar offre ai professionisti della compliance strumenti immediatamenti applicabili:
• Basi giuridiche e accountability documentale: principi applicabili ai trattamenti tipici dell’ufficio legale, distinzione fra esigenze legali, difensive e operative, mappatura end-to-end del flusso “revisione clausole contrattuali” ed errori frequenti con relative contromisure.
• Criteri e controllo dei risultati: accettazione dei risultati di analisi e AI, registrazione dei casi d’uso e delle verifiche, esempi pratici di analytics.
• KPI, reporting e governance del dato: definizione e monitoraggio degli indicatori, progettazione di dashboard efficaci e policy interne per garantire tracciabilità e qualità dei dati.
• Integrazione AI e workflow aziendale: collegamento dell’AI con l’ecosistema aziendale, flusso “review automatizzata delle clausole” e linee guida “Uso dati e AI nell’ufficio legale”.
>>>Per info ed iscrizioni<<<

Vuoi ricevere aggiornamenti costanti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!