PARLA CON ANDREA Controlli difensivi, e-mail e log aziendali: cosa chiarisce il Garante.
Il provvedimento del 18 giugno 2026 affronta un tema delicato: fino a che punto un’azienda può raccogliere, conservare e utilizzare e-mail e log dei lavoratori quando sospetta condotte illecite? Il punto centrale non è soltanto il sospetto, ma anche come e quando i dati sono stati acquisiti.
Tre punti da non perdere.
Il sospetto non rende tutto utilizzabile.
Il Garante richiama la giurisprudenza sui controlli difensivi: il fondato sospetto è rilevante, ma non elimina le garanzie di proporzionalità, necessità e tutela della riservatezza.
Conta quando i dati vengono acquisiti.
Il provvedimento richiama il principio secondo cui, nei controlli difensivi in senso stretto, il controllo deve riguardare dati acquisiti successivamente all’insorgere del sospetto.
Un archivio indiscriminato crea un problema a monte.
La raccolta e conservazione sistematica di e-mail e log, quando consente di ricostruire l’attività del lavoratore, può entrare in conflitto con i principi privacy e con le garanzie previste nel rapporto di lavoro.
Che cosa è successo nel caso esaminato.
Il procedimento riguardava l’accesso alla posta elettronica aziendale di due lavoratori nell’ambito di contestazioni disciplinari e controlli difensivi finalizzati ad accertare presunte condotte illecite.
La società aveva descritto un sistema di controlli basato anche sull’estrazione di e-mail mediante criteri, filtri e parole chiave e aveva sostenuto di aver operato successivamente all’emersione di specifici sospetti.
Il Garante, tuttavia, ha distinto l’attività investigativa sul caso concreto dalla più ampia modalità con cui e-mail e log venivano raccolti e conservati nei sistemi aziendali.
L’Autorità ha ritenuto illeciti, nei termini descritti nel provvedimento, trattamenti realizzati attraverso la raccolta e conservazione sistematica delle e-mail aziendali e dei relativi log, perché tali operazioni consentivano di ricostruire l’attività dei dipendenti senza il rispetto delle garanzie richieste in materia di controllo a distanza.
Il passaggio più utile per aziende, HR e professionisti.
Nel provvedimento il Garante richiama espressamente la giurisprudenza secondo cui i controlli tecnologici finalizzati alla tutela di beni estranei al rapporto di lavoro o all’accertamento di comportamenti illeciti possono assumere rilievo in presenza di un fondato sospetto.
Ma quel sospetto non apre uno spazio di controllo senza limiti: deve restare un corretto bilanciamento tra tutela degli interessi aziendali, dignità e riservatezza del lavoratore.
Un elemento particolarmente importante è la dimensione temporale: il richiamo giurisprudenziale riguarda controlli su dati acquisiti successivamente all’insorgere del sospetto. È una distinzione concreta, perché impedisce di trasformare raccolte preventive e generalizzate in “controlli difensivi” soltanto dopo che nasce un problema.
Quattro domande che un’azienda dovrebbe chiarire.
Qual è la condotta concreta da verificare?
Un dubbio generico non basta a definire automaticamente strumenti, perimetro e durata di un controllo.
Quando è nato e su quali elementi si basa?
La cronologia del sospetto può incidere sulla valutazione dei dati e delle attività successive.
Qual è il mezzo meno invasivo realmente utile?
L’attività deve essere costruita sul problema, non sulla massima quantità di informazioni tecnicamente accessibili.
Chi deve valutare il passo successivo?
Investigatore, HR, consulente del lavoro, DPO e avvocato hanno ruoli diversi che non devono essere confusi.
Da dove deriva questa nota.
CTA Legal & Investigation Radar parte sempre dalla fonte primaria. Le sintesi servono a orientare, non a sostituire il testo ufficiale.
Doc. web 10272529. Il provvedimento pubblicato segnala che alcune parti sono omissate in pendenza del giudizio di opposizione.
Consulta il provvedimentoLa disciplina sui controlli a distanza e sugli strumenti utilizzati dal lavoratore resta un riferimento centrale richiamato anche dal provvedimento del Garante.
Consulta NormattivaDal principio generale al problema concreto.
Hai un sospetto in azienda e non sai quale verifica sia corretta?
Il primo passo non è scegliere uno strumento. È definire il fatto che deve essere verificato, il momento in cui è emerso e quale risultato sarebbe realmente utile.