Il recente intervento del Garante per la protezione dei dati personali segna un punto di svolta nella gestione delle email aziendali.
Non è solo un chiarimento tecnico.
È un cambio di paradigma che impatta direttamente imprese, HR, IT e compliance.
Cosa cambia davvero
Il Garante ha stabilito un principio chiave:
Il diritto di accesso ai dati personali include anche le email aziendali individuali, senza distinzione tra contenuti privati e professionali.
Questo significa che:
- Le email aziendali sono dati personali se riconducibili a un individuo
- L’ex dipendente può richiederne copia integrale
- L’azienda non può filtrare discrezionalmente i contenuti
La distinzione “privato vs lavoro”?
Non è più il criterio rilevante.
Impatto sul GDPR e sulle aziende
Il principio si inserisce pienamente nel perimetro del Regolamento generale sulla protezione dei dati, rafforzando:
- il diritto di accesso (art. 15 GDPR)
- il principio di trasparenza
- il concetto di accountability
Ma attenzione:
le aziende non perdono totalmente il controllo.
Possono limitare l’accesso solo se:
– esistono motivazioni concrete (es. segreti aziendali, diritti di terzi)
– le limitazioni sono documentate e giustificabili
Stop quindi a filtri generici o policy “difensive”.
Tempi di conservazione sotto osservazione
Altro punto critico: data retention.
Nel caso analizzato, il Garante ha ritenuto:
- eccessiva la conservazione delle email per 5 anni
- sproporzionata la conservazione dei dati di navigazione per 12 mesi
Senza una base giuridica solida, questi tempi non sono sostenibili.
Tradotto:
non basta conservare i dati “per sicurezza”.
Serve:
- coerenza con le finalità
- proporzionalità
- tracciabilità delle scelte
Cosa devono fare subito le aziende
Questo provvedimento impone una revisione concreta:
- Policy email e strumenti IT
Devono riflettere il fatto che le email sono dati personali accessibili - Gestione dipendenti cessati
Stop a blocchi automatici o accessi selettivi non giustificati - Procedure di risposta alle richieste GDPR
Servono processi strutturati e difendibili - Data retention
Tempi da rivedere e documentare (non standardizzati)
Il vero rischio? Non è la sanzione
Il rischio più grande è l’inadeguatezza organizzativa.
Chi non aggiorna processi e policy:
- espone l’azienda a contenziosi
- aumenta il rischio reputazionale
- dimostra mancanza di accountability
Questo intervento chiarisce una cosa fondamentale:
I dati “aziendali” non sono automaticamente “dell’azienda”
se identificano una persona, rientrano nel perimetro dei diritti GDPR.
#GDPR #Privacy #Compliance #DataProtection #HR #CyberSecurity #EmailAziendali #Accountability #RPAdvisor
