Il Garante privacy è intervenuto il 9 settembre 2026 su un tema che riguarda quasi ogni impresa: l’accesso alle email aziendali dei dipendenti, ai backup e ai log. Il chiarimento, nato dal caso ITAS Mutua, ricorda che questi strumenti non sono un’area totalmente libera per il datore di lavoro, perché possono contenere dati personali anche dopo la cessazione del rapporto.
Per un’azienda questo significa una cosa molto pratica: avere caselle email “aziendali” non basta per leggere, conservare o riutilizzare tutto senza limiti. Servono regole interne chiare, tempi di conservazione coerenti, procedure per la chiusura delle mailbox e controlli proporzionati.
Cosa ha chiarito il Garante
Secondo quanto emerge dall’intervento richiamato da Agenda Digitale, il punto centrale è semplice: gli strumenti digitali di lavoro non sono spazi neutri. Anche se messi a disposizione dall’azienda, possono contenere informazioni personali del lavoratore, comunicazioni miste tra attività professionale e aspetti privati, oltre a metadati e tracciamenti che permettono di ricostruire comportamenti, relazioni e abitudini.
Il caso citato riguarda ITAS Mutua e porta l’attenzione su tre elementi spesso trattati in modo troppo disinvolto nelle organizzazioni:
- la mailbox individuale del dipendente;
- i backup dei contenuti di posta;
- i log generati dai sistemi aziendali.
Il messaggio del Garante è rilevante soprattutto perché vale anche dopo la fine del rapporto di lavoro. In altre parole, il fatto che una persona non lavori più in azienda non trasforma automaticamente la sua vecchia casella email in un archivio liberamente consultabile da chiunque all’interno dell’organizzazione.
Perché email, backup e log sono un tema delicato
Molte aziende considerano la posta elettronica aziendale come un semplice bene strumentale: l’account è dell’impresa, quindi l’impresa può accedervi in ogni momento. Dal punto di vista organizzativo questa impostazione sembra intuitiva, ma sul piano privacy è incompleta.
Una mailbox individuale contiene spesso molto più di messaggi commerciali o operativi. Può includere scambi con clienti, fornitori, consulenti, documenti allegati, riferimenti a ferie, permessi, questioni personali, comunicazioni sanitarie o altri dati che, pur transitando su un sistema aziendale, restano dati personali.
Lo stesso vale per i backup. Il fatto che un contenuto venga copiato per finalità di continuità operativa o sicurezza non elimina i vincoli sul suo utilizzo. Un backup non è una scorciatoia per consultare dati senza limiti diversi da quelli della casella originale.
Anche i log meritano attenzione. Spesso vengono percepiti come dati “tecnici”, ma in realtà possono rivelare accessi, orari, destinatari, frequenza delle comunicazioni e altri elementi idonei a descrivere l’attività di una persona. Proprio per questo non possono essere gestiti come se fossero privi di impatto sulla sfera individuale.
Il punto chiave: finalità, proporzionalità e trasparenza
Il chiarimento del Garante si inserisce in una linea ormai consolidata: l’azienda può organizzare e proteggere i propri sistemi, ma deve farlo entro limiti precisi. Non basta che l’accesso sia tecnicamente possibile; deve essere anche giustificato, necessario e coerente con finalità determinate.
In pratica, quando si parla di accesso a email, backup e log, le domande corrette non sono “possiamo farlo?” ma:
- per quale motivo specifico accediamo?
- chi è autorizzato?
- per quanto tempo conserviamo i dati?
- i dipendenti sono stati informati in modo chiaro?
- esiste una procedura per evitare accessi indiscriminati?
Se queste risposte mancano, il rischio non è solo teorico. Un’organizzazione che conserva troppo a lungo, consulta contenuti senza una base organizzativa e documentale adeguata o mantiene attive mailbox individuali senza regole espone sé stessa a contestazioni privacy, conflitti interni e problemi probatori.
Cosa cambia dopo la cessazione del rapporto
Il passaggio più interessante, per molti versi, è proprio quello relativo al periodo successivo alla fine del rapporto di lavoro. Nella pratica quotidiana, quando una persona lascia l’azienda, si tende a mantenere l’account attivo “per sicurezza”, magari per mesi, oppure a reindirizzare automaticamente tutta la posta verso un collega o un responsabile.
Queste soluzioni, se non progettate con attenzione, possono diventare un problema.
La cessazione del rapporto non autorizza automaticamente una sorveglianza retrospettiva della corrispondenza. L’azienda ha certamente l’esigenza legittima di non perdere contatti con clienti e fornitori, recuperare documenti necessari alla continuità del business e proteggere il patrimonio informativo. Ma queste esigenze vanno bilanciate con il principio di minimizzazione.
Questo significa, in concreto, preferire procedure che consentano continuità operativa senza trasformare la mailbox individuale in un archivio consultabile senza limiti. Ad esempio, il tema non è solo “tenere aperta” o “chiudere” una casella, ma definire:
- come gestire le comunicazioni in arrivo dopo l’uscita del dipendente;
- come avvisare i mittenti del nuovo referente;
- come estrarre prima della cessazione le informazioni strettamente necessarie al lavoro;
- quando disattivare l’account;
- come regolare l’eventuale accesso residuale a fini eccezionali.
L’errore più comune nelle PMI
Nelle piccole e medie imprese il rischio non nasce quasi mai da una volontà di controllo aggressivo, ma dall’assenza di procedure. Si improvvisa: la casella resta attiva, la password viene cambiata, il titolare o l’ufficio amministrativo entra “solo per controllare”, il fornitore IT conserva copie di backup senza una policy chiara, i log si accumulano perché “tanto lo spazio c’è”.
È proprio questo approccio informale a creare problemi. Quando non ci sono regole scritte, ogni eccezione diventa la normalità. E quando arriva una contestazione, l’azienda fatica a dimostrare di aver agito con criteri di necessità, proporzionalità e correttezza.
Per questo il tema non riguarda soltanto la compliance legale: riguarda il modo in cui si governa il lavoro digitale.
Cosa significa per la tua azienda
Se gestisci una PMI, il messaggio del Garante è chiaro: non aspettare un contenzioso per mettere ordine. Le misure più utili sono soprattutto organizzative.
Primo: definisci una policy sull’uso della posta elettronica aziendale. Deve spiegare in modo comprensibile come vengono usati account, backup e log, chi può accedere ai sistemi, in quali casi e con quali garanzie. Questa parte dovrebbe essere coerente con la documentazione privacy aziendale e con gli obblighi informativi verso i dipendenti. Se la tua documentazione è datata o generica, è il momento di rivederla anche alla luce del servizio GDPR.
Secondo: prepara una procedura di offboarding. Quando un dipendente lascia l’azienda, non si dovrebbe improvvisare. Serve una checklist che includa passaggio consegne, esportazione dei contenuti necessari, impostazione di una risposta automatica temporanea, eventuale indicazione di un nuovo referente e disattivazione dell’account entro tempi definiti.
Terzo: separa continuità operativa e controllo. Il backup serve a proteggere i dati e garantire ripristino, non a consentire accessi informali ai contenuti. Per questo è importante che anche le copie di sicurezza siano governate con regole di accesso e retention precise. Se oggi i backup sono gestiti in modo opaco o non documentato, conviene rivedere il processo, anche con soluzioni di remote backup strutturate.
Quarto: limita gli accessi amministrativi. Non tutti devono poter entrare nelle mailbox o consultare i log. Occorre individuare ruoli autorizzati, tracciare gli interventi e prevedere motivazioni documentate, soprattutto nei casi successivi alla cessazione del rapporto.
Quinto: aggiorna il supporto tecnico. Molte criticità nascono da configurazioni lasciate come default: inoltri automatici permanenti, caselle condivise usate al posto di processi corretti, account non chiusi, log conservati senza criterio. Un buon presidio di desktop e IT management aiuta a trasformare regole astratte in impostazioni reali e verificabili.
Infine: forma chi prende decisioni. Titolari, responsabili HR, amministrazione e office manager devono sapere che “è una mail aziendale” non equivale a “posso leggere tutto”. Una decisione presa in buona fede, ma senza basi corrette, può esporre l’impresa a rischi inutili.
Un tema di fiducia, non solo di conformità
C’è poi un aspetto spesso sottovalutato: la reputazione interna. Dipendenti e collaboratori si fidano di più di un’azienda che gestisce strumenti e dati con regole chiare. Al contrario, la percezione di controlli opachi o accessi arbitrari alle comunicazioni indebolisce il clima organizzativo.
Per questo la privacy nelle email aziendali non è un ostacolo alla gestione dell’impresa. È una componente di governance. Aiuta a proteggere dati, relazioni e continuità operativa senza superare confini che oggi il Garante richiama con maggiore nettezza.
Domande frequenti
L’azienda può leggere liberamente la casella email aziendale di un dipendente?
No, non in modo indiscriminato. Anche una casella aziendale può contenere dati personali e l’accesso deve essere giustificato, proporzionato e regolato da procedure chiare.
Dopo le dimissioni o il licenziamento la mailbox può restare attiva?
Può esserci un’esigenza temporanea di continuità operativa, ma non è corretto mantenerla aperta senza limiti o usarla come archivio liberamente consultabile. Serve una procedura di chiusura e gestione dei messaggi in arrivo.
I backup e i log sono sempre dati “tecnici” senza problemi privacy?
No. Anche backup e log possono contenere o rivelare dati personali. Per questo vanno conservati e consultati con regole precise, tempi definiti e accessi controllati.