Il Garante Privacy, con Provvedimento n. 796 del 20 ottobre 2026, si è pronunciato sull’applicazione del GDPR alla gestione delle richieste di accesso ai dati personali e degli account email degli ex dipendenti.
L’istruttoria dell’Autorità è stata avviata a seguito del reclamo presentato da un ex lavoratore, che lamentava di non aver ricevuto un riscontro adeguato alla richiesta di accesso ai dati personali trattati dalla società per la quale lavorava.
Il riscontro è avvenuto solo dopo nove mesi dalla presentazione dell’istanza e comunque dopo l’avvio dell’istruttoria da parte dell’Autorità.
Nel corso degli accertamenti sono, inoltre, emerse anche criticità nella gestione della posta elettronica. I regolamenti interni della società, infatti, prevedevano di mantenere attivi per diversi mesi gli account email degli ex dipendenti, consentendo alla società di consultare i relativi messaggi.
Sul tardivo riscontro all’istanza di accesso
Con riferimento al mancato rispetto dei termini per rispondere all’istanza, la società ha sostenuto di non aver immediatamente riconosciuto la richiesta come esercizio dei diritti previsti dal GDPR, poiché inserita in una più ampia comunicazione riguardante diversi aspetti del rapporto di lavoro.
Il Garante ha respinto tale giustificazione, rilevando che l’ex dipendente avesse richiamato espressamente la normativa in materia di protezione dei dati personali e il proprio diritto di accesso. L’Autorità ha inoltre ricordato che il GDPR non impone particolari requisiti formali per l’esercizio di tale diritto: il titolare del trattamento è quindi tenuto a riconoscere e gestire correttamente la richiesta anche in assenza di un esplicito riferimento al GDPR.
La società ha inoltre giustificato il ritardo con le difficoltà incontrate nel reperimento della documentazione, dovute al trasferimento aziendale. Anche tale argomentazione è stata ritenuta insufficiente. Ai sensi dell’art. 12, par. 3, GDPR, il termine ordinario di un mese per fornire riscontro può essere prorogato di ulteriori due mesi, tenuto conto della complessità e del numero delle richieste. In ogni caso, l’interessato deve essere informato della proroga e dei relativi motivi.
Il Garante ha pertanto accertato la violazione degli artt. 12, par. 3, e 15 GDPR.
Sulla gestione dell’account di posta elettronica
Un secondo profilo ha riguardato la conservazione e la consultazione degli account di posta elettronica degli ex dipendenti.
La società sul punto ha sollevato l’assenza di una segnalazione o reclamo da parte dell’interessato. Il Garante ha tuttavia chiarito di poter verificare autonomamente la conformità dei trattamenti alla normativa, anche in relazione a profili diversi da quelli oggetto del reclamo. In particolare, l’art. 21 del Regolamento n. 1/2019 consente all’Autorità di avviare d’ufficio un’istruttoria preliminare in presenza di elementi relativi a possibili violazioni della disciplina sulla protezione dei dati personali.
Nel merito, il Garante ha ribadito che la posta elettronica aziendale costituisce una forma di corrispondenza riservata, tutelata anche a livello costituzionale, il cui accesso deve essere riservato al titolare dell’account.
La conservazione dei messaggi e la possibilità per il datore di lavoro di consultarli non possono quindi essere giustificate con l’esigenza di garantire la continuità dell’attività aziendale. A tal fine, devono essere predisposti appositi sistemi di gestione documentale, attraverso i quali archiviare i documenti rilevanti per l’attività lavorativa, assicurandone autenticità, integrità, affidabilità, leggibilità e reperibilità.
Il mantenimento dell’accesso alla casella di posta elettronica degli ex dipendenti e la conservazione dei relativi messaggi per finalità organizzative risultano pertanto incompatibili con i principi di liceità e minimizzazione dei dati.
Il Garante ha ricordato che, alla cessazione del rapporto di lavoro, il datore deve procedere alla disattivazione e successiva rimozione dell’account, adottando sistemi automatici per informare i mittenti della cessazione dell’indirizzo e comunicare eventuali recapiti alternativi. Devono inoltre essere predisposte misure idonee a impedire al datore di lavoro la visualizzazione dei messaggi in arrivo.
L’Autorità ha infine precisato che il divieto di accesso alla posta elettronica riguarda anche le assenze improvvise e prolungate dei dipendenti. In tali circostanze, il lavoratore deve poter delegare un collega alla verifica dei messaggi e all’inoltro al titolare di quelli rilevanti per lo svolgimento dell’attività aziendale.
Alla luce delle violazioni riscontrate, il Garante ha accertato il mancato rispetto dei principi di liceità, minimizzazione e limitazione della conservazione dei dati, rilevando la violazione degli artt. 5, par. 1, lett. a), e 88 GDPR, nonché dell’art. 114 del Codice privacy.
