Il Garante per la protezione dei dati personali ha inflitto una sanzione di 460.000 euro a Piaggio & C. S.p.A. per il trattamento illecito dei dati personali contenuti nelle email aziendali di due ex dipendenti, licenziati per giusta causa. Questo provvedimento, identificato come n. 476 del 18 giugno 2026, si inserisce nel contesto dei cosiddetti “controlli difensivi”, ovvero le verifiche che i datori di lavoro possono effettuare sugli strumenti informatici aziendali per accertare comportamenti illeciti da parte dei propri collaboratori.
È importante sottolineare che, sebbene tali controlli siano generalmente ammessi dalla giurisprudenza, essi devono rispettare limiti ben definiti, soprattutto in relazione alla normativa sulla privacy e alle garanzie previste per il controllo a distanza dei lavoratori. Questo caso ha messo in evidenza un contrasto significativo con la giurisprudenza esistente.
Dettagli del caso e sanzioni
Il reclamo presentato all’Autorità da parte dei due ex lavoratori riguardava la richiesta di conferma della disattivazione dei loro account di posta elettronica aziendale. Nonostante la richiesta fosse stata reiterata tramite PEC, l’azienda non ha fornito alcun riscontro nei termini previsti. Durante l’istruttoria, è emerso che Piaggio aveva condotto un’estrazione mirata di email dalle caselle di posta dei due dipendenti, risalente a un periodo di circa due anni prima dell’insorgere dei sospetti.
La società ha giustificato questa operazione richiamando l’istituto dei controlli difensivi, effettuati previa consultazione con il Data Protection Officer e utilizzando parole chiave e filtri predefiniti per verificare eventuali condotte illecite. Inoltre, è stato accertato che la posta elettronica dei dipendenti veniva conservata in backup per l’intera durata del rapporto di lavoro e per cinque anni dopo la cessazione, mentre i log di accesso venivano mantenuti per sei mesi. A seguito del procedimento, l’azienda ha ridotto i termini di conservazione a tre mesi per le email e a 21 giorni per i log di accesso.
Conclusioni e check list operativa
Questo caso stabilisce paletti operativi chiari per i datori di lavoro riguardo alla gestione delle email aziendali e alla privacy dei dipendenti. È disponibile una check list scaricabile per aiutare le aziende a conformarsi agli obblighi di legge e a evitare sanzioni simili in futuro.
