Home
Blog
E-mail aziendale e controlli sui lavoratori: regole, rischi e buone pratiche

E-mail aziendale e controlli sui lavoratori: regole, rischi e buone pratiche

1 Settembre 2026

La casella e-mail assegnata a un dipendente appartiene all’organizzazione, ma i dati che contiene non sono per questo privi di tutela. L’indirizzo nominativo, i messaggi, gli allegati e perfino i dati esteriori delle comunicazioni possono essere ricondotti al lavoratore e rientrano nella disciplina sulla protezione dei dati personali.

Il quadro applicabile nasce dall’incontro tra GDPR, Codice Privacy e articolo 4 dello Statuto dei lavoratori. A questi si aggiungono le indicazioni del Garante, che nel tempo ha chiarito i limiti relativi alla raccolta dei metadati, alla conservazione dei messaggi, all’accesso alle caselle e alla gestione degli account dopo la cessazione del rapporto.

Il datore di lavoro può avere esigenze legittime di sicurezza, continuità operativa e tutela del patrimonio aziendale. Ciò non autorizza però controlli indiscriminati: ogni trattamento deve avere finalità determinate, una base giuridica adeguata, limiti proporzionati e procedure verificabili.

Perché la casella aziendale non è una zona franca

Il fatto che l’account e l’infrastruttura siano messi a disposizione dall’azienda non elimina la riservatezza della corrispondenza. Il lavoratore conserva una legittima aspettativa di tutela rispetto ai messaggi e ai dati che li accompagnano, anche quando la policy interna limita o vieta l’uso personale degli strumenti.

Questo non significa che l’azienda non possa stabilire regole o svolgere verifiche. Significa che non può considerare tutta la posta un archivio permanentemente disponibile per finalità generiche o future.

Tra le situazioni più rischiose rientrano:

conservare sistematicamente messaggi e log senza distinguere finalità e tempi;
prevedere accessi generici alle caselle da parte di responsabili o amministratori;
effettuare ricerche retrospettive molto estese in assenza di presupposti documentati;
mantenere attivi gli account degli ex dipendenti o inoltrarne automaticamente la posta;
fornire informative vaghe sulle modalità dei controlli;
non rispondere alle richieste di accesso, cancellazione o conferma della disattivazione.

E-mail, metadati, log e backup non sono la stessa cosa

Per impostare regole corrette occorre anzitutto distinguere le diverse categorie di dati.

Categoria	Alcuni esempi	Aspetto da governare
Messaggi e allegati	contenuto della corrispondenza, documenti inviati e ricevuti	finalità, accessi e tempi di conservazione dei singoli contenuti
Metadati di posta	mittente, destinatario, data e ora, indirizzi IP, dimensione, presenza di allegati	raccolta automatica e possibilità di ricostruire l’attività del lavoratore
Log amministrativi e di sicurezza	accessi, modifiche, esportazioni, ricerche, operazioni degli amministratori	accessibilità selettiva, tracciamento e conservazione proporzionata
Backup e archivi	copie di caselle o messaggi conservate per ripristino, continuità o obblighi specifici	separazione delle finalità ed esclusione dell’uso come archivio consultabile senza limiti

Il documento di indirizzo del Garante del 6 giugno 2024 riguarda specificamente i metadati generati dai sistemi di gestione e smistamento della posta. Per i soli log necessari al funzionamento e alla sicurezza dell’infrastruttura indica, in via orientativa, una conservazione normalmente limitata a pochi giorni e comunque non superiore a 21 giorni.

Il termine di 21 giorni non è però un lasciapassare automatico e non si applica indistintamente al contenuto delle e-mail, agli archivi documentali o a ogni log di sicurezza. Un periodo più lungo può essere giustificato da particolari condizioni tecniche e organizzative, ma deve essere necessario, proporzionato e adeguatamente documentato. Se la raccolta generalizzata e prolungata consente un controllo indiretto dell’attività dei dipendenti, possono rendersi necessarie anche le garanzie previste dall’articolo 4 dello Statuto dei lavoratori.

La policy IT, da sola, non rende lecito qualsiasi controllo

Una policy interna è indispensabile, ma non può trasformarsi in un’autorizzazione generale ad accedere a caselle e messaggi. Anche una clausola secondo cui chi utilizza le risorse aziendali non dovrebbe avere alcuna aspettativa di riservatezza non è sufficiente a superare le tutele riconosciute alla corrispondenza.

L’articolo 4 della legge 300/1970 consente l’impiego di strumenti dai quali possa derivare un controllo a distanza soltanto per determinate finalità — esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale — e, quando ricorrono i presupposti del primo comma, richiede un accordo collettivo oppure l’autorizzazione dell’Ispettorato del lavoro.

Inoltre, i dati raccolti attraverso gli strumenti di lavoro possono essere utilizzati per finalità connesse al rapporto soltanto se il dipendente ha ricevuto un’adeguata informazione sulle modalità d’uso e di controllo e se il trattamento rispetta la normativa privacy.

Informativa, policy, base giuridica, necessità del trattamento ed eventuali garanzie lavoristiche sono quindi tasselli diversi: la presenza di uno non compensa automaticamente la mancanza degli altri.

Controlli difensivi: il sospetto non autorizza ricerche senza confini

Un’azienda può avere la necessità concreta di tutelare il proprio patrimonio o accertare un illecito. Secondo l’orientamento della Cassazione in materia di controlli difensivi tecnologici, assumono particolare rilievo l’esistenza di un sospetto fondato e documentato, il corretto bilanciamento degli interessi e la delimitazione del controllo ai dati pertinenti, anche sotto il profilo temporale.

Non è quindi prudente conservare indiscriminatamente anni di corrispondenza con l’idea che, un giorno, possa risultare utile per cercare a ritroso una condotta illecita.

Prima di accedere a un account o avviare una ricerca, l’azienda dovrebbe almeno:

descrivere il fatto o l’anomalia che ha generato il sospetto;
individuare la finalità specifica e verificare il presupposto giuridico;
delimitare persone, dati, parole chiave e intervallo temporale;
valutare soluzioni meno invasive;
coinvolgere le funzioni competenti, come IT, HR, legale e DPO, secondo ruoli prestabiliti;
autorizzare e tracciare ogni accesso, evitando consultazioni esplorative;
conservare separatamente e solo per il tempo necessario gli elementi realmente pertinenti.

Nei casi complessi è opportuno ottenere preventivamente una valutazione legale specialistica. La qualificazione del controllo e l’utilizzabilità dei dati possono infatti dipendere dalle circostanze concrete.

Dieci misure pratiche per gestire correttamente la posta aziendale

1. Fare un inventario delle configurazioni reali

Non basta sapere quale servizio di posta viene utilizzato. Occorre verificare quali dati raccolgono concretamente Microsoft 365, Google Workspace, il mail server, i gateway di sicurezza, i sistemi di backup, gli archivi, gli strumenti antispam e le piattaforme di e-discovery.

L’azienda dovrebbe conoscere almeno i tempi effettivi di conservazione, gli amministratori abilitati, le esportazioni possibili e l’eventuale presenza di journaling, inoltri, copie nascoste o regole globali.

2. Separare sicurezza, continuità e conservazione documentale

Sono finalità diverse e non dovrebbero essere riunite nella formula generica “esigenze aziendali”. Un backup serve a ripristinare dati dopo un incidente; un archivio conserva documenti per finalità definite; un log aiuta a rilevare anomalie; una casella personale consente al dipendente di lavorare.

Usare un backup come archivio ordinariamente consultabile o lasciare nella casella individuale l’unica copia di contratti e pratiche aperte aumenta sia il rischio privacy sia quello operativo.

3. Definire tempi di conservazione differenziati

Non esiste un unico termine valido per tutto. La retention deve essere stabilita per categoria di dato e finalità: messaggi, allegati, metadati, log di accesso, copie di sicurezza, esportazioni investigative e account cessati.

Gli eventuali obblighi di conservazione riferiti a specifici documenti non giustificano automaticamente la conservazione integrale e indiscriminata di ogni casella. I documenti aziendali che devono restare disponibili dovrebbero essere trasferiti in repository dedicati, con permessi e tempi coerenti con la loro funzione.

4. Aggiornare sia l’informativa privacy sia la policy IT

I dipendenti devono comprendere, prima dell’inizio del trattamento:

quali dati vengono raccolti;
per quali finalità;
su quale base giuridica;
per quanto tempo sono conservati;
chi può accedervi e in quali circostanze;
quali controlli possono essere effettuati;
quali conseguenze può avere un uso improprio degli strumenti;
come esercitare i propri diritti.

La policy operativa e l’informativa privacy possono coordinarsi, ma devono rimanere documenti coerenti con funzioni distinte. Formule generiche come “i dati saranno conservati per il tempo necessario” sono spesso insufficienti se l’azienda può indicare termini o criteri più precisi.

5. Non basarsi automaticamente sul consenso del dipendente

Nel rapporto di lavoro il consenso, a causa dello squilibrio tra le parti, di regola non costituisce una base giuridica adeguata, come ha ribadito il Garante anche nel provvedimento del 16 gennaio 2025. Chiedere una firma non sana quindi un trattamento sproporzionato e non sostituisce le garanzie previste dallo Statuto dei lavoratori.

6. Limitare e tracciare gli accessi amministrativi

L’accesso alle caselle non dovrebbe dipendere dalla sola possibilità tecnica dell’amministratore. Sono consigliabili ruoli separati, autorizzazioni preventive, principio del minimo privilegio, autenticazione forte, registrazione delle operazioni e revisioni periodiche delle abilitazioni.

Per le attività più delicate può essere utile prevedere una doppia autorizzazione, ad esempio tecnica e organizzativa, e un verbale sintetico dell’intervento.

7. Gestire le assenze senza aprire la posta del lavoratore

Per ferie o assenze programmate è preferibile utilizzare risposte automatiche, caselle condivise di funzione e procedure di delega definite in anticipo. I documenti essenziali per il lavoro devono essere disponibili in CRM, gestionali o cartelle condivise strutturate, non esclusivamente nella casella nominativa.

Le linee guida del Garante su posta elettronica e Internet raccomandano da tempo l’uso di indirizzi di funzione e sistemi automatici che indichino un referente alternativo.

8. Predisporre un offboarding preciso

Alla cessazione del rapporto occorre bloccare tempestivamente le credenziali e disattivare l’account nominativo. Per un periodo limitato può essere attivato un messaggio automatico che informi il mittente della cessazione e indichi un nuovo contatto aziendale, impedendo la visualizzazione dei messaggi in arrivo.

È invece rischioso mantenere attiva la casella, inoltrare automaticamente la nuova corrispondenza a un responsabile o assegnare l’account nominativo a un’altra persona. Il passaggio di consegne e il trasferimento dei documenti di lavoro dovrebbero avvenire prima dell’uscita, attraverso sistemi aziendali dedicati e con attività documentate.

9. Gestire le richieste degli interessati entro i termini

Una richiesta di conferma della disattivazione dell’account può costituire esercizio dei diritti privacy anche se il dipendente o ex dipendente non cita il GDPR. L’azienda deve riconoscerla, instradarla alle persone competenti e fornire riscontro senza ingiustificato ritardo e, di regola, entro un mese.

Se la richiesta non può essere accolta, in tutto o in parte, non è corretto restare in silenzio: occorre rispondere nei termini, motivare la decisione e indicare i rimedi disponibili.

10. Valutare DPIA e garanzie dell’articolo 4 prima di attivare il monitoraggio

La raccolta estesa di log e le funzioni che permettono un monitoraggio sistematico dei lavoratori possono richiedere una valutazione d’impatto sulla protezione dei dati. Quando lo strumento consente un controllo a distanza e non rientra nella stretta eccezione prevista per gli strumenti necessari alla prestazione, deve essere verificata anche la necessità dell’accordo sindacale o dell’autorizzazione dell’Ispettorato.

Queste verifiche devono precedere l’attivazione tecnica: non possono essere recuperate semplicemente dopo l’avvio del trattamento.

Cinque domande da porre subito al proprio reparto IT o fornitore

Un primo controllo può partire da domande molto concrete:

Per quanti giorni conserviamo messaggi, metadati, log amministrativi e backup?
Sono attive regole di archiviazione, journaling, inoltro o e-discovery che raccolgono dati in modo generalizzato?
Chi può leggere, cercare, esportare o ripristinare la posta di un dipendente e come vengono registrati gli accessi?
Che cosa accade tecnicamente alla casella quando una persona lascia l’azienda?
Le configurazioni effettive coincidono con informativa, policy IT, registro dei trattamenti e procedure interne?

Se le risposte non sono immediate o non sono documentate, è ragionevole programmare un audit tecnico e organizzativo.

Conclusioni: conformità e sicurezza devono essere progettate insieme

Conservare tutto può sembrare la scelta più sicura. In realtà, un archivio eccessivo espone l’azienda a maggiori rischi: accessi impropri, data breach, contestazioni dei lavoratori, difficoltà nel rispondere alle richieste privacy e possibili violazioni dello Statuto dei lavoratori.

La soluzione non consiste neppure nel cancellare indiscriminatamente. Occorre progettare un sistema nel quale ogni dato abbia una finalità, un tempo di vita, regole di accesso e un responsabile.

ITLab360 può affiancare le aziende nella verifica tecnica e nella corretta configurazione di ambienti Microsoft 365, server di posta, sistemi di backup e archiviazione, permessi amministrativi e procedure di sicurezza. L’adeguamento tecnico dovrebbe essere coordinato con il DPO, il consulente del lavoro o il legale dell’organizzazione per tradurre correttamente i requisiti normativi nelle configurazioni operative.

Per approfondire i servizi di protezione e gestione dei sistemi aziendali, consulta la pagina dedicata alla sicurezza informatica per le aziende o contatta ITLab360.