Documento - 26/08/2026

GDPR e data governance: il provvedimento del Garante nel caso Piaggio su posta elettronica aziendale e controlli sui lavoratori

Provvedimento n. 476 del 18 giugno 2026

Il Garante per la protezione dei dati personali, con provvedimento n. 476 del 18 giugno 2026 (doc. web n. 10272529), ha dichiarato illecito il trattamento di dati personali effettuato da Piaggio & C. S.p.A. nell’ambito della gestione della posta elettronica aziendale e delle attività di controllo su due dipendenti, irrogando una sanzione amministrativa pecuniaria di 460.000 euro e disponendo il divieto di accesso al contenuto dei dati raccolti e conservati sui sistemi aziendali relativi alla posta elettronica.

Il provvedimento assume rilievo generale per le imprese perché affronta congiuntamente alcuni profili che, nella pratica, tendono a sovrapporsi: architetture di backup e data retention, conservazione dei log, investigazioni interne, controlli difensivi, disciplina dei controlli a distanza, trasparenza verso i lavoratori, gestione degli account individualizzati dopo la cessazione del rapporto ed esercizio dei diritti degli interessati. La decisione mostra, in particolare, che la disponibilità tecnica di dati storici della posta elettronica non coincide automaticamente con la possibilità giuridica di accedervi e utilizzarli per finalità ulteriori.

1. Il caso esaminato dal Garante

L’istruttoria trae origine dai reclami di due ex dipendenti, licenziati per giusta causa nel marzo 2023. Dagli atti è emerso che la società aveva acquisito complessivamente almeno 112 messaggi: 18 riferiti a una lavoratrice e 94 riferiti a un lavoratore. L’accesso era stato disposto nell’ambito di un’indagine interna, qualificata dalla società come controllo difensivo in senso stretto, avviata dopo l’emersione di segnalazioni interne relative a possibili condotte illecite.

La ricerca era stata impostata mediante filtri e parole chiave e circoscritta agli account aziendali dei due interessati. Tuttavia, la possibilità di effettuare la ricerca retrospettiva derivava da una più ampia architettura di conservazione: i messaggi di posta elettronica erano salvati in backup per l’intera durata del rapporto di lavoro e per ulteriori cinque anni dalla cessazione; i log di accesso alla posta erano conservati per sei mesi. Nel corso del procedimento la società ha comunicato di avere ridotto a tre mesi il periodo di conservazione della posta dopo la cessazione e a 21 giorni quello dei log.

Il Garante ha inoltre accertato che le richieste formulate dagli ex dipendenti per ottenere conferma della disattivazione degli account individualizzati non avevano ricevuto tempestivo riscontro.

2. Le violazioni accertate e il quadro normativo

Il Garante ha dichiarato la violazione di più disposizioni del Regolamento (UE) 2016/679 e del Codice privacy. Il punto centrale della decisione non è costituito dal solo accesso alle 112 e-mail, ma dal complessivo sistema di raccolta, conservazione e successiva utilizzabilità dei dati della posta elettronica.

2.1 Principi generali: liceità, finalità, minimizzazione e conservazione

Il provvedimento richiama l’art. 5 del GDPR (rubrica: «Principi applicabili al trattamento di dati personali»), par. 1, lett. a) (oggetto: liceità, correttezza e trasparenza), lett. b) (oggetto: limitazione della finalità), lett. c) (oggetto: minimizzazione dei dati) e lett. e) (oggetto: limitazione della conservazione). Secondo l’Autorità, la conservazione sistematica della posta e dei relativi log, per periodi così estesi e con possibilità di accesso per una pluralità di scopi, consentiva di ricostruire l’attività dei dipendenti e rendeva disponibili dati eccedenti rispetto alle finalità dichiarate.

Viene inoltre in rilievo l’art. 6 del GDPR (rubrica: «Liceità del trattamento»), par. 1 (oggetto: condizioni che rendono lecito il trattamento). Il Garante ha ritenuto che, per i trattamenti effettuati prima delle modifiche introdotte dalla società, mancassero idonei presupposti di liceità, anche in ragione dell’inosservanza delle garanzie lavoristiche richiamate dal Codice privacy.

2.2 Il collegamento con lo Statuto dei lavoratori

Per il trattamento dei dati nel rapporto di lavoro il provvedimento richiama l’art. 88 del GDPR (rubrica: «Trattamento dei dati nell’ambito dei rapporti di lavoro»), par. 1 (oggetto: facoltà degli Stati membri di prevedere norme più specifiche per assicurare la protezione dei diritti e delle libertà nel trattamento dei dati dei dipendenti). In Italia il raccordo è operato, tra l’altro, dall’art. 114 del d.lgs. 196/2003 - Codice privacy (rubrica: «Garanzie in materia di controllo a distanza»), che fa salvo quanto disposto dall’art. 4 dello Statuto dei lavoratori.

L’art. 4 della legge 20 maggio 1970, n. 300 - Statuto dei lavoratori (rubrica: «Impianti audiovisivi e altri strumenti di controllo»), comma 1 (oggetto: strumenti dai quali derivi anche la possibilità di controllo a distanza, utilizzabili per esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale, previo accordo collettivo o autorizzazione amministrativa) contiene le garanzie procedurali richiamate dal Garante. Il comma 2 (oggetto: esclusione delle garanzie del comma 1 per gli strumenti utilizzati dal lavoratore per rendere la prestazione e per gli strumenti di registrazione degli accessi e delle presenze) costituisce invece il punto sul quale si concentra il problema qualificatorio.

Il Garante ribadisce infatti il proprio orientamento secondo cui non è la casella di posta, considerata in astratto, a determinare automaticamente l’applicazione del comma 2. I sistemi e i programmi che consentono la raccolta, la conservazione e l’elaborazione dei dati tratti dall’utilizzo della posta elettronica possono operare indipendentemente dall’attività necessaria a rendere la prestazione e, quando consentono una ricostruzione dell’attività lavorativa, possono ricadere nell’area del comma 1. 

3. Backup, log e sicurezza: il nodo della separazione delle finalità

Uno dei profili più rilevanti per le imprese riguarda il rapporto tra esigenze di sicurezza informatica e disciplina dei controlli. Il backup è normalmente una misura funzionale alla disponibilità, integrità e resilienza dei sistemi. L’art. 32 del GDPR (rubrica: «Sicurezza del trattamento»), par. 1 (oggetto: adozione di misure tecniche e organizzative adeguate al rischio), lett. b) (oggetto: capacità di assicurare su base permanente riservatezza, integrità, disponibilità e resilienza) e lett. c) (oggetto: capacità di ripristinare tempestivamente disponibilità e accesso ai dati in caso di incidente) rende evidente la legittimità, in linea generale, di misure di backup e ripristino.

La decisione Piaggio non afferma, tuttavia, che il backup della posta sia di per sé vietato. Il punto è la configurazione concreta del sistema: durata, dati conservati, soggetti che possono accedervi, finalità per cui l’accesso è consentito e possibilità di riutilizzare il patrimonio informativo per investigazioni o controlli. Una conservazione nata per finalità di sicurezza non dovrebbe trasformarsi, senza un autonomo presupposto e senza le garanzie applicabili, in un archivio storico utilizzabile per il controllo dell’attività lavorativa.

Sul tema dei log è rilevante il Documento di indirizzo del Garante del 6 giugno 2024 sui programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo. Il documento individua nei metadati informazioni quali mittente e destinatario, indirizzi IP, orari di invio e ricezione, dimensione del messaggio, allegati e, in alcuni sistemi, oggetto del messaggio. Nel caso Piaggio, il Garante ha preso atto favorevolmente della riduzione della conservazione dei log a 21 giorni, richiamando il principio di limitazione della conservazione e la necessità di individuare un arco temporale congruo rispetto all’obiettivo di rilevare e mitigare incidenti di sicurezza. 

4. Controlli difensivi e limite temporale del «fondato sospetto»

La società aveva sostenuto che l’accesso alle caselle fosse un controllo difensivo in senso stretto, disposto in presenza di segnalazioni interne e realizzato con criteri di gradualità, proporzionalità e minimizzazione. Il Garante precisa che la teoria dei controlli difensivi è di matrice giurisprudenziale e richiama l’orientamento della Corte di cassazione secondo cui i controlli tecnologici diretti alla tutela di beni estranei al rapporto di lavoro o all’accertamento di illeciti possono essere ammessi in presenza di un fondato sospetto, purché il controllo riguardi dati acquisiti successivamente all’insorgere del sospetto.

Nel caso concreto l’Autorità ha ritenuto non soddisfatto tale requisito, perché la ricerca aveva riguardato corrispondenza risalente anche a circa due anni prima dell’emersione del sospetto. Il passaggio è particolarmente importante per le procedure di internal investigation: non è sufficiente documentare il momento in cui viene autorizzata la ricerca; occorre verificare anche quale sia il perimetro temporale dei dati che il sistema rende disponibili e quale sia il titolo che ne consente la conservazione e il successivo accesso.

Per le imprese ne deriva l’opportunità di distinguere, sul piano tecnico e documentale, la conservazione necessaria per sicurezza e continuità operativa dalla conservazione o cristallizzazione selettiva di dati resa necessaria da uno specifico evento, da un contenzioso o da un’indagine interna. La mera esistenza di un archivio storico non rende automaticamente legittima una ricerca retrospettiva. 

5. Informativa ai dipendenti: finalità, basi giuridiche e tempi di conservazione

Un ulteriore profilo centrale riguarda la trasparenza. Il Garante ha accertato la violazione dell’art. 13 del GDPR (rubrica: «Informazioni da fornire qualora i dati personali siano raccolti presso l’interessato»), par. 1 (oggetto: informazioni da rendere al momento della raccolta), con particolare riferimento alle finalità del trattamento e alla relativa base giuridica, nonché ai tempi di conservazione o ai criteri utilizzati per determinarli.

La violazione è stata collegata anche all’art. 5 del GDPR (rubrica: «Principi applicabili al trattamento di dati personali»), par. 1, lett. a) (oggetto: liceità, correttezza e trasparenza). Secondo il provvedimento, i documenti aziendali descrivevano varie attività di verifica sulle risorse ICT, ma non fornivano in modo sufficientemente specifico le finalità e i presupposti della conservazione della posta elettronica e dei log.

Particolarmente significativa è la censura della previsione secondo cui gli utenti non avrebbero dovuto avere aspettativa di confidenzialità rispetto alle comunicazioni create, archiviate, ricevute o inviate tramite le risorse ICT. Il Garante richiama gli artt. 2 e 15 della Costituzione e la giurisprudenza della Corte europea dei diritti dell’uomo sulla protezione della vita privata e della corrispondenza anche nel contesto lavorativo.

Ne deriva che una policy aziendale non può limitarsi a una clausola generale di riserva di controllo. Deve invece descrivere in modo comprensibile le categorie di controlli, le finalità, le condizioni di attivazione, i soggetti abilitati, le modalità, il perimetro dei dati, i tempi di conservazione e le eventuali conseguenze dell’uso non conforme degli strumenti. È inoltre necessario poter dimostrare quale versione della policy sia stata resa al singolo lavoratore e in quale momento. 

6. Account individualizzati e richieste degli ex dipendenti

Il provvedimento affronta anche il mancato riscontro alle richieste di conferma della disattivazione degli account. Il Garante ha applicato l’art. 12 del GDPR (rubrica: «Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato»), par. 3 (oggetto: obbligo di fornire riscontro senza ingiustificato ritardo e, di regola, entro un mese), in relazione all’art. 17 del GDPR (rubrica: «Diritto alla cancellazione (“diritto all’oblio”)»; oggetto: diritto alla cancellazione dei dati nei casi previsti).

L’Autorità ha precisato che una richiesta non deve necessariamente citare il GDPR o indicare l’esatto articolo applicabile per essere trattata come esercizio di un diritto. Il contenuto sostanziale della comunicazione deve essere valutato dal titolare. Nel caso concreto le istanze chiedevano la conferma della disattivazione degli account e non la cancellazione delle e-mail già acquisite nell’indagine.

Il possibile conflitto con esigenze difensive non giustifica il silenzio. L’art. 2-undecies del Codice privacy (rubrica: «Limitazioni ai diritti dell’interessato»), comma 1, lett. e) (oggetto: limitazione dei diritti quando il loro esercizio possa arrecare un pregiudizio effettivo e concreto allo svolgimento di investigazioni difensive o all’esercizio di un diritto in sede giudiziaria) consente, nei casi previsti, di ritardare, limitare o escludere l’esercizio dei diritti, ma richiede una gestione formalizzata e motivata. In parallelo, l’art. 12 del GDPR (rubrica: «Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato»), par. 4 (oggetto: obbligo di comunicare entro un mese i motivi dell’inottemperanza e i rimedi disponibili) esclude che la mancata risposta possa essere considerata una modalità ordinaria di gestione. 

7. Il divieto di accesso e la sanzione di 460.000 euro

All’esito dell’istruttoria il Garante ha esercitato i poteri previsti dall’art. 58 del GDPR (rubrica: «Poteri»), par. 2, lett. f) (oggetto: imposizione di una limitazione provvisoria o definitiva del trattamento, incluso il divieto) e lett. i) (oggetto: imposizione di una sanzione amministrativa pecuniaria). È stato quindi disposto il divieto di accesso al contenuto dei dati raccolti e conservati sui sistemi aziendali relativi alla posta elettronica aziendale.

La sanzione è stata determinata applicando l’art. 83 del GDPR (rubrica: «Condizioni generali per infliggere sanzioni amministrative pecuniarie»), par. 1 (oggetto: effettività, proporzionalità e dissuasività), par. 2 (oggetto: criteri di valutazione della sanzione, tra cui natura, gravità, durata, dolo o colpa, misure adottate, grado di responsabilità, precedenti violazioni e cooperazione) e par. 5, lett. a) e d) (oggetto: fascia sanzionatoria più elevata per violazioni, rispettivamente, dei principi di base del trattamento e dei diritti degli interessati).

Tra gli elementi considerati, il provvedimento menziona l’estesa durata della conservazione, la possibilità generalizzata di accesso per più finalità, la natura delle comunicazioni dei dipendenti, la cooperazione prestata dalla società, le modifiche ai sistemi e ai documenti informativi e l’assenza di precedenti violazioni pertinenti. Ai fini della proporzionalità è stato considerato anche il volume d’affari risultante dal bilancio 2025. 

8. Il rapporto con la decisione del Tribunale di Pisa

Secondo il testo di commento da cui prende spunto la presente news, sugli stessi fatti si sarebbe pronunciato, pochi giorni prima del provvedimento del Garante, il Tribunale di Pisa - sezione lavoro, con sentenza n. 800/2026, nell’ambito del giudizio di impugnazione del licenziamento. Il commento riferisce che il giudice avrebbe ritenuto legittimo il controllo difensivo e confermato il licenziamento, valorizzando la natura della casella aziendale come strumento utilizzato per rendere la prestazione e distinguendo la conservazione generalizzata dei dati dalla successiva ricerca mirata effettuata dopo l’emersione del sospetto.

Questo profilo deve essere trattato con cautela. Il testo integrale della sentenza n. 800/2026 non risulta reperibile nelle banche dati pubbliche consultate e il provvedimento del Garante, pur dando atto dell’esistenza dei giudizi di impugnazione dei licenziamenti, non richiama la pronuncia. L’identità delle vicende è quindi ricostruita nel commento sulla base della coincidenza di diversi elementi fattuali.

Resta comunque rilevante, sul piano sistematico, la possibile coesistenza di valutazioni diverse: il giudice del lavoro è chiamato a pronunciarsi sulla legittimità del recesso e sull’utilizzabilità degli elementi acquisiti; il Garante verifica invece la liceità del trattamento dei dati personali. I due piani non sono necessariamente sovrapponibili. Per le imprese, ciò significa che la tenuta disciplinare o processuale di un controllo non esaurisce la verifica di conformità privacy e lavoristica dell’intera architettura di raccolta e conservazione.

9. Indicazioni operative per le imprese

Alla luce di questo provvediento e in particolare del suo rapporto con la sentenza del giudice del lavoro, si possono individuare le seguenti buone pratiche per il dattore titolare del trattamento. 

• mappare separatamente contenuto delle e-mail, metadati/log, backup, archivi e copie eventualmente utilizzate per finalità documentali;
• associare a ciascuna categoria di dati finalità, base giuridica, periodo di conservazione e soggetti abilitati all’accesso;
• distinguere tecnicamente i backup di sicurezza dagli archivi consultabili per finalità ordinarie o investigative, evitando accessi generalizzati;
• verificare l’applicabilità dell’art. 4 della legge n. 300/1970 (rubrica: «Impianti audiovisivi e altri strumenti di controllo»), comma 1 (oggetto: controlli a distanza e garanzie procedurali) prima di configurare sistemi che consentano ricostruzioni sistematiche dell’attività dei lavoratori;
• aggiornare informativa privacy, policy ICT e procedure di internal investigation in modo coerente, evitando formule generiche di rinuncia alla riservatezza;
• documentare la consegna e l’accettazione delle versioni delle policy, conservando evidenza della data e del contenuto applicabile al singolo lavoratore;
• definire una procedura di off-boarding che disciplini disattivazione dell’account, cancellazione, eventuale messaggio automatico e gestione della continuità operativa senza accesso indiscriminato alla casella personale del lavoratore cessato;
• sottoporre le lettere e le comunicazioni degli interessati a un triage privacy, per individuare tempestivamente eventuali richieste di esercizio dei diritti anche quando non richiamano espressamente il GDPR;
• formalizzare un protocollo per le investigazioni interne che documenti il fondato sospetto, il perimetro soggettivo, le parole chiave, l’intervallo temporale, le autorizzazioni, i soggetti coinvolti e le misure di minimizzazione;
• coordinare DPO, HR, Legal, Internal Audit e ICT, poiché la liceità del trattamento dipende dall’insieme delle scelte organizzative e tecniche e non dal solo momento dell’accesso ai dati.

10. Conclusoni e sintesi

Il provvedimento n. 476/2026 conferma che la posta elettronica aziendale deve essere governata lungo l’intero ciclo di vita del dato. La questione non riguarda soltanto il controllo intenzionale del lavoratore, ma anche la progettazione dei sistemi che rendono possibile, a posteriori, una ricostruzione estesa delle comunicazioni e dell’attività. Backup, log e retention devono quindi essere definiti secondo finalità specifiche, proporzionate e documentate, con regole di accesso coerenti con il GDPR e con lo Statuto dei lavoratori.

La decisione evidenzia inoltre l’importanza dell’informativa e della prova della sua effettiva conoscibilità, nonché della tempestiva gestione delle richieste degli interessati. In presenza di indagini interne o contenziosi, le esigenze di difesa devono essere integrate in procedure che consentano di delimitare e documentare le eccezioni, senza trasformare la conservazione generalizzata dei dati in una disponibilità permanente per finalità investigative.

Fonti e riferimenti

Garante per la protezione dei dati personali, Provvedimento n. 476 del 18 giugno 2026, doc. web n. 10272529.

Garante per la protezione dei dati personali, Documento di indirizzo «Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati», provvedimento n. 364 del 6 giugno 2024, doc. web n. 10026277.

Regolamento (UE) 2016/679 (GDPR) – testo ufficiale EUR-Lex.

Legge 20 maggio 1970, n. 300 – Statuto dei lavoratori, con art. 4 «Impianti audiovisivi e altri strumenti di controllo» – testo vigente su Normattiva.

D.lgs. 30 giugno 2003, n. 196 – Codice in materia di protezione dei dati personali – testo vigente su Normattiva.

EDPB, Guidelines 01/2022 on data subject rights – Right of access, versione finale.

EDPB, Guidelines 04/2022 on the calculation of administrative fines under the GDPR, versione finale.

Cass., sez. lav., n. 25732/2021; n. 34092/2021; n. 18168/2023; n. 32283/2025 – pronunce richiamate nel provvedimento del Garante; link al provvedimento ufficiale che le cita.

Federprivacy, «Dal Garante Privacy una sanzione di 460mila euro alla Piaggio per raccolta sistematica delle email dei dipendenti», 30 luglio 2026.