«La casella è aziendale, il dominio è nostro, i computer li paghiamo noi.» È la frase con cui un imprenditore spiega, di solito con la sicurezza di chi enuncia una cosa ovvia, perché ritiene di poter accedere liberamente alla posta di un collaboratore. Contiene una premessa esatta e una conclusione sbagliata. La proprietà dello strumento non trasforma la corrispondenza che vi transita in un archivio disponibile al datore di lavoro, perché quei messaggi restano dati personali del titolare dell’account e dei suoi interlocutori. Le regole che ne discendono hanno numeri precisi. I metadati generati dal sistema di posta non vanno conservati, di norma, oltre ventuno giorni. Alla cessazione del rapporto la casella individuale va disattivata subito e cancellata in tempi brevi. Il Garante ha sanzionato con 460.000 euro un’impresa che teneva le e-mail dei dipendenti per l’intera durata del rapporto e per cinque anni successivi.
Tenere le e-mail cinque anni dopo la cessazione viola la limitazione della conservazione
L’ordinanza ingiunzione del 18 giugno 2026 n. 476 è il provvedimento più severo finora adottato su questo tema. La società aveva acceduto alle caselle individualizzate di due dipendenti e aveva utilizzato nei procedimenti disciplinari, in un caso, novantaquattro messaggi. La difesa era quella consueta: si trattava di controlli difensivi, cioè di verifiche dirette a tutelare il patrimonio aziendale, che l’articolo 4 dello Statuto dei lavoratori consente al di fuori della procedura ordinaria. L’Autorità ha respinto la qualificazione per una ragione temporale. I controlli difensivi sono legittimi se hanno per oggetto condotte successive al momento in cui il sospetto è sorto; qui la raccolta era andata a ritroso fino a circa due anni prima. Un controllo che risale indietro nel tempo non difende da un illecito già ipotizzato, ma cerca l’illecito nella corrispondenza pregressa, ed è precisamente ciò che la norma vieta.
Il rilievo che pesa di più, però, riguarda i tempi. La società conservava i messaggi «per tutta la durata del contratto di lavoro e per ulteriori cinque anni dalla cessazione dello stesso», e i log di accesso per sei mesi. Il Garante ha contestato la violazione del principio di limitazione della conservazione previsto dall’articolo 5, paragrafo 1, lettera e) del GDPR, cioè della regola per cui i dati si tengono soltanto per il tempo necessario alla finalità dichiarata, insieme ai principi di liceità e minimizzazione, all’articolo 6 sulla base giuridica, all’articolo 13 sull’informativa e all’articolo 88 sulle garanzie nel rapporto di lavoro. Oltre alla sanzione è stato disposto il divieto di accedere al contenuto dei dati raccolti sui sistemi di posta. Dopo la notifica, la società ha portato la conservazione dei messaggi a tre mesi e quella dei log a ventuno giorni.
Quei due numeri non sono casuali, ed è l’aspetto che conviene tenere a mente: sono la misura che l’Autorità considera proporzionata. Tra i ventuno giorni indicati dal Garante e i cinque anni praticati dall’impresa non corre una sfumatura interpretativa, corrono 460.000 euro.
I metadati si fermano a ventuno giorni; oltre serve l’accordo sindacale o l’autorizzazione dell’Ispettorato
Il documento di indirizzo del 6 giugno 2024 n. 364 distingue due piani che nella pratica aziendale vengono confusi. Il primo è il contenuto dei messaggi. Il secondo sono i metadati, cioè le informazioni che il server di posta registra automaticamente su ogni messaggio: indirizzi del mittente e del destinatario, indirizzi IP dei server coinvolti, orari di invio e ricezione, dimensione del messaggio, presenza e dimensione degli allegati e, in certi casi, l’oggetto.
Per i metadati la regola è quantitativa. La conservazione funzionale alla sicurezza e al funzionamento del sistema non dovrebbe di norma superare i ventuno giorni. Un’estensione è ammessa quando ricorrono condizioni particolari, che il datore di lavoro deve però essere in grado di documentare. Se invece la conservazione si prolunga al punto da consentire una ricostruzione dell’attività dei lavoratori, cambia natura: diventa uno strumento dal quale deriva la possibilità di un controllo a distanza, e ricade nell’articolo 4, comma 1, dello Statuto dei lavoratori. A quel punto l’impresa deve percorrere una delle due strade previste, cioè l’accordo con le rappresentanze sindacali oppure l’autorizzazione dell’Ispettorato territoriale del lavoro. È la stessa procedura che vale per gli impianti di videosorveglianza, e la maggior parte delle imprese che la conosce per le telecamere non l’ha mai messa in relazione con il server di posta.
Alla cessazione la casella va disattivata subito, non reindirizzata a una casella collettiva
Sul momento della cessazione del rapporto il Garante è tornato almeno cinque volte in due anni, e con un orientamento omogeneo. Il provvedimento del 17 aprile 2026 n. 278 ha sanzionato con 5.000 euro una società che aveva mantenuto attivi gli account di un ex dipendente per circa sei mesi, invocando il legittimo interesse a non perdere i contatti commerciali: l’Autorità ha ritenuto la finalità apprezzabile ma il mezzo sproporzionato, precisando che un sistema di posta non è la sede idonea per archiviare la documentazione utile all’impresa. Il provvedimento del 29 aprile 2026 ha colpito con 3.000 euro una soluzione ancora più diffusa, cioè l’alias che reindirizza la casella individuale verso una casella collettiva letta da più persone, adottato senza informarne né il titolare dell’account né i mittenti. Il provvedimento del 9 ottobre 2025 n. 613 ha censurato la casella lasciata attiva e consultata dopo le dimissioni.
La sanzione da 50.000 euro del 12 marzo 2026 riguarda invece il versante speculare, quello dei backup. La società aveva conservato le copie di sicurezza della posta per cinque anni e aveva risposto in modo selettivo alla richiesta con cui l’ex dipendente chiedeva accesso ai propri messaggi. L’Autorità ha affermato un principio che vale come criterio di lettura di tutta la materia: le comunicazioni che transitano su un account individualizzato costituiscono inevitabilmente dati personali dell’assegnatario, e quel diritto di accesso non si esaurisce con la fine del rapporto di lavoro.
Le mosse
La verifica utile si fa prima della ripresa di settembre e comincia dai numeri effettivi, non da quelli scritti nelle policy. Chiedete al responsabile dei sistemi informativi, o al fornitore del servizio di posta, per quanti giorni sono conservati i log del server e per quanto tempo restano le copie di backup delle caselle. Se la risposta sui log supera i ventuno giorni, o se sui messaggi compare la formula «durata del rapporto più cinque anni», il disallineamento è già in corso e produce effetti ogni giorno.
Se l’estensione oltre i ventuno giorni serve davvero, va motivata per iscritto con le ragioni tecniche che la rendono necessaria. Se la conservazione deve essere più lunga, la strada è una sola: accordo con le rappresentanze sindacali o istanza all’Ispettorato territoriale. Nel frattempo l’informativa dell’articolo 13 e il disciplinare interno vanno aggiornati con i tempi reali e consegnati in modo documentabile a ciascun lavoratore, perché un documento pubblicato in intranet e mai distribuito è stato ritenuto non consegnato.
La procedura di uscita va scritta e datata. Disattivazione della casella il giorno stesso della cessazione, risposta automatica che comunica la fine del rapporto e indica un recapito alternativo, finestra breve e su richiesta dell’interessato per il recupero dei contenuti, cancellazione definitiva alla scadenza. Nessun reindirizzamento verso una casella collettiva. Infine due adempimenti che nei provvedimenti compaiono con regolarità: le istruzioni scritte all’amministratore di sistema previste dall’articolo 29 del GDPR, e il riscontro alle richieste degli interessati entro un mese, perché il silenzio è di per sé una violazione autonoma e in tutti i casi esaminati è stato il fatto che ha aperto l’istruttoria.
Se la vostra impresa conserva la posta elettronica dei dipendenti con tempi che nessuno ha mai messo per iscritto, o se un collaboratore ha lasciato l’azienda negli ultimi mesi e la sua casella riceve ancora messaggi, il disallineamento esiste già e non si corregge dopo un reclamo. Una ricognizione dei tempi di conservazione e della procedura di uscita richiede poche ore e mette al riparo dalla contestazione più ricorrente in questa materia. Lo Studio Legale VDS, attraverso il dipartimento di Diritto del Lavoro e il servizio di Prevenzione del Contenzioso, può accompagnare la verifica e la redazione degli atti che ne derivano, anche in raccordo con l’Ufficio Legale in Outsourcing per le imprese che preferiscono presidiare l’adempimento in modo continuativo.
