Gli strumenti di lavoro digitali non sono spazi “neutri” o integralmente disponibili al datore di lavoro, ma luoghi nei quali si sviluppa inevitabilmente anche la dimensione privata della persona. E questo vale persino dopo la cessazione del rapporto di lavoro.
Questa prospettiva è stata tracciata dal Garante privacy che, con il Provvedimento n. 165 del 12 marzo 2026 nei confronti di ITAS Mutua, ha fornito uno dei passaggi più significativi degli ultimi anni nella ridefinizione del rapporto tra strumenti digitali di lavoro, poteri datoriali e diritti fondamentali del lavoratore.
La decisione, che ha riguardato l’accesso all’e-mail aziendale di un ex dipendente, va oltre il singolo caso. Infatti, il Provvedimento, mette in discussione due convinzioni ancora molto diffuse nelle organizzazioni. In primis l’idea che il datore di lavoro possa distinguere agevolmente tra contenuti “personali” e contenuti “professionali” all’interno degli strumenti aziendali. Poi, la convinzione che il richiamo ai segreti aziendali possa comprimere il diritto di accesso ai dati personali previsto dall’ex art. 15 del Regolamento (UE) 2016/679.
Indice degli argomenti
E-mail aziendale e dati personali nel caso ITAS Mutua
Uno degli aspetti più interessanti del Provvedimento riguarda l’impostazione adottata da ITAS Mutua nel rispondere alla richiesta di accesso dell’ex dipendente. Secondo quanto emerge, la compagnia aveva operato una selezione delle e-mail contenute nella casella aziendale distinguendo tra messaggi ritenuti “personali” e comunicazioni considerate “aziendali” o “di lavoro”.
Il Garante contesta radicalmente questa impostazione. L’errore, prima ancora che giuridico, è concettuale: la corrispondenza elettronica riferibile a una persona identificata o identificabile costituisce dato personale indipendentemente dalla natura professionale del contenuto ed è qui che la distinzione tra “vita privata” e “attività lavorativa” nel contesto digitale contemporaneo, non regge più nei termini tradizionali.
La casella aziendale come dato personale del lavoratore
Nel contesto di lavoro contemporaneo, la casella e-mail individuale non è solo uno strumento produttivo, ma anche spazio di costruzione dell’identità lavorativa e pertanto, anche quando appartiene formalmente all’azienda, la mailbox rimane fortemente connessa alla persona del lavoratore.
È proprio questo il punto che collega il Provvedimento ITAS alla giurisprudenza europea sull’articolo 8 della Convenzione europea dei diritti dell’uomo (CEDU), che tutela la vita privata e la corrispondenza, estendendo la nozione di vita privata oltre il mero ambito domestico o familiare. Infatti, secondo la giurisprudenza di Strasburgo (Corte EDU, Niemietz c. Germania, 16 dicembre 1992, ric. n. 13710/88), essa comprende l’identità personale, le relazioni sociali e professionali e, più in generale, il diritto dell’individuo a sviluppare la propria personalità e le proprie relazioni con altri soggetti.
Analoga evoluzione interpretativa ha interessato il concetto di corrispondenza: originariamente riferita alle comunicazioni epistolari tradizionali, tale nozione è stata progressivamente estesa alle nuove forme di comunicazione elettronica, trovando massima espressione nella sentenza Copland c. Regno Unito (Corte EDU, Copland c. Regno Unito, 3 aprile 2007, ric. n. 62617/00), nella quale la Corte ha affermato che le telefonate effettuate dal luogo di lavoro, la navigazione Internet e le e-mail trasmesse mediante strumenti aziendali rientrano nella tutela accordata dall’articolo 8 della Convenzione.
Questi principi sono stati ulteriormente sviluppati nella nota decisione della Grande Camera Bărbulescu c. Romania (Corte EDU (Grande Camera), Bărbulescu c. Romania, 5 settembre 2017, ric. n. 61496/08), nella quale la Corte ha chiarito che il lavoratore conserva una legittima aspettativa di riservatezza anche nell’ambiente lavorativo e che il monitoraggio delle comunicazioni elettroniche da parte del datore di lavoro deve essere sottoposto a un rigoroso giudizio di necessità e proporzionalità.
Nella stessa occasione, la Corte ha inoltre affermato che le istruzioni aziendali relative all’utilizzo degli strumenti di lavoro non possono annullare integralmente la sfera privata del lavoratore all’interno del luogo di lavoro.
Alla luce di tale evoluzione giurisprudenziale, l’articolo 8 CEDU assume una rilevanza centrale anche nell’ambito della protezione dei dati personali e della gestione della posta elettronica aziendale. Il principio che emerge dalle decisioni della Corte di Strasburgo è che la tutela della corrispondenza non dipende dalla qualificazione della comunicazione come personale o professionale, bensì dal fatto che essa sia riconducibile a una persona determinata o determinabile e costituisca espressione delle sue relazioni sociali e professionali. In questa prospettiva, la tradizionale distinzione tra e-mail “personali” ed e-mail “di lavoro” appare sempre meno sostenibile sul piano giuridico.
E-mail aziendale e dati personali dopo il rapporto di lavoro
Il Provvedimento presenta un ulteriore profilo di particolare interesse, rappresentato dalla circostanza che il soggetto interessato non fosse più un dipendente dell’organizzazione al momento dell’esercizio dei propri diritti.
Il Garante ha infatti ribadito che la cessazione del rapporto di lavoro non determina il venir meno della qualità di interessato ai sensi del Regolamento (UE) 2016/679 (GDPR), né comporta la perdita dei diritti riconosciuti dalla normativa in materia di protezione dei dati personali: l’ex lavoratore conserva pertanto il diritto di accedere ai dati che lo riguardano e di verificare la legittimità dei trattamenti effettuati dal datore di lavoro, anche successivamente alla conclusione del rapporto lavorativo.
Da questo punto di vista, la decisione del Garante si pone in contrasto con una prassi organizzativa ancora diffusa, secondo cui il rapporto tra lavoratore e patrimonio informativo aziendale si interromperebbe definitivamente con la cessazione del contratto. Al contrario, i dati personali riferibili all’ex dipendente possono continuare a essere presenti all’interno di diversi sistemi aziendali, quali caselle di posta elettronica, sistemi di backup, archivi documentali, log di navigazione Internet e tracciamenti relativi all’utilizzo degli strumenti informatici.
Il ruolo dei processi di offboarding
Ne consegue che i processi di offboarding non possono limitarsi alla mera disattivazione degli account o alla sostituzione degli strumenti di lavoro, ma devono essere progettati secondo una logica di privacy by design, capace di bilanciare esigenze organizzative, continuità operativa e tutela dei diritti dell’ex lavoratore. In particolare, occorre definire criteri chiari relativi alla conservazione dei dati, all’accesso alle informazioni contenute negli account dismessi, ai tempi di mantenimento dei backup e alle modalità di cancellazione o anonimizzazione dei dati non più necessari.
Ed è proprio sul versante della conservazione che il Garante ha formulato alcune delle contestazioni più significative nei confronti di ITAS Mutua. L’Autorità ha infatti censurato la conservazione per cinque anni dei backup contenenti le caselle di posta elettronica dei dipendenti e il mantenimento per dodici mesi dei log di navigazione Internet, ritenendo tali periodi non adeguatamente giustificati rispetto alle finalità perseguite e incompatibili con i principi di limitazione della conservazione e minimizzazione dei dati.
La disciplina dei controlli a distanza
La rilevanza di tale aspetto non si esaurisce nel solo ambito della protezione dei dati personali: la disponibilità protratta nel tempo di e-mail, metadati, log di navigazione e informazioni tecniche relative all’utilizzo degli strumenti aziendali consente infatti, di ricostruire in modo dettagliato l’attività svolta dal lavoratore, le relazioni professionali intrattenute, le abitudini operative, i tempi di connessione e le modalità di utilizzo delle risorse informatiche. In altri termini, tali sistemi possono rendere possibile una forma di monitoraggio retrospettivo, capace di restituire una rappresentazione dettagliata dell’attività lavorativa nel corso del tempo.
Proprio per questa ragione il tema si intreccia con la disciplina dei controlli a distanza prevista dall’articolo 4 della Legge 20 maggio 1970, n. 300, recante “Norme sulla tutela della libertà e dignità dei lavoratori, della libertà sindacale e dell’attività sindacale nei luoghi di lavoro e norme sul collocamento” (Statuto dei lavoratori).
Sotto questo profilo, la circostanza che il lavoratore abbia cessato il rapporto non elimina completamente la rilevanza della disciplina sui controlli.
Vero è che l’articolo 4 dello Statuto dei lavoratori è concepito per tutelare il lavoratore nel corso del rapporto, ma la valutazione di liceità della raccolta e della conservazione dei dati deve essere effettuata con riferimento al momento in cui il trattamento è stato originariamente realizzato. Se i sistemi utilizzati durante il rapporto consentivano un monitoraggio dell’attività lavorativa, la successiva permanenza dei dati nei backup o negli archivi aziendali non fa venir meno le garanzie che avrebbero dovuto presidiare il trattamento fin dall’origine.
Segreti aziendali e accesso
Per le ragioni sopra esposte,benché sia solito ritenere che il diritto di accesso possa essere limitato quando i diritti richiesti siano contenuti in documenti aziendali riservati, il caso ITAS dimostra invece che il richiamo ai “segreti aziendali” non può diventare un argomento difensivo generalizzato: la decisione conferma che il diritto di accesso ex articolo 15 del Regolamento (UE) 2016/679 è un diritto avente ad oggetto l’informazione personale e non il documento in quanto tale.
La distinzione è decisiva: un’e-mail aziendale può certamente contenere informazioni riservate; dati strategici o elementi coperti dal segreto commerciale, ma se contiene anche dati personali riferibili al lavoratore, questi ultimi rimangono accessibili all’interessato.
E-mail aziendale e dati personali: le policy da rivedere
Il caso ITAS avrà probabilmente effetti molto concreti sulle prassi aziendali italiane.
Le priorità per le organizzazioni
Le organizzazioni dovranno ripensare almeno quattro elementi fondamentali:
- Gestione delle mailbox individuali;
- Policy su backup e log;
- Le retention generalizzate e molto estese diventano sempre più difficili da sostenere, soprattutto quando permettono monitoraggi retrospettivi dell’attività lavorativa;
- Formazione manageriale.
Il vero nodo culturale emerso dal Provvedimento è che l’azienda non “possiede” integralmente la dimensione digitale del lavoratore solo perché gli strumenti utilizzati appartengono all’organizzazione. La titolarità dei dispositivi, delle infrastrutture o degli account non si traduce automaticamente nella disponibilità illimitata dei dati personali che attraverso tali strumenti vengono generati, utilizzati o conservati. Anche le comunicazioni professionali, i metadati e le informazioni prodotte nell’esercizio dell’attività lavorativa continuano a essere soggetti alle garanzie previste dalla normativa in materia di protezione dei dati personali.
Il Provvedimento ITAS segna probabilmente la fine di una semplificazione concettuale che ha accompagnato per anni la gestione della posta elettronica aziendale: l’idea che ciò che è professionale sia automaticamente nella piena disponibilità del datore di lavoro. La decisione del Garante riafferma invece un principio destinato ad influenzare la progettazione dei sistemi digitali aziendali: anche nelle comunicazioni di lavoro continua ad esprimersi la dimensione personale dell’individuo e, con essa, il sistema di garanzie posto a tutela dei suoi diritti fondamentali.
Partecipa alla community