Provvedimento sanzionatorio del Garante — nessun attore ostilemedium
Piaggio, 460mila euro: quando il backup della posta aziendale diventa un archivio di controllo
Il Garante per la protezione dei dati personali ha sanzionato Piaggio & C. Spa per 460mila euro. L'istruttoria, avviata su reclamo di due ex dipendenti, ha accertato che la società aveva acceduto alle loro caselle aziendali durante il rapporto di lavoro, acquisendo in tutto 112 email per verificare presunti comportamenti illeciti — alcune risalenti a circa due anni prima che il sospetto sorgesse. Il punto della decisione non è l'accesso in sé: è la conservazione che lo ha reso possibile, backup per tutta la durata del rapporto e fino a cinque anni dopo, log per sei mesi. Il Garante ha dichiarato illecito il trattamento e vietato alla società l'accesso ai dati raccolti.
Il sospetto è arrivato dopo
C'è un dettaglio, in questo provvedimento, che da solo spiega perché il Garante è intervenuto. La società ha acceduto alle caselle di posta aziendale di due dipendenti per verificare la fondatezza di presunti comportamenti illeciti. In alcuni casi, le email acquisite risalivano a circa due anni prima che quel sospetto maturasse.
Fermiamoci un secondo su questa frase, perché contiene tutta la decisione. Se un'azienda può leggere oggi la posta di due anni fa, significa che quella posta esisteva ancora. E se esisteva ancora, non è per via del sospetto: è per via di una politica di conservazione decisa prima, quando di quelle persone non si sospettava nulla. Il controllo non è nato quando è stato fatto. È nato quando è stato reso possibile.
Il Garante ha irrogato a Piaggio & C. Spa una sanzione di 460mila euro per violazioni relative alla gestione delle caselle di posta elettronica aziendale, alla conservazione dei dati e alle attività di controllo dei dipendenti. Il procedimento era partito dai reclami di due ex dipendenti.
I numeri della decisione
L'Autorità individua tre profili distinti, e vale la pena tenerli separati perché rispondono a domande diverse.
Il primo è la conservazione. Il monitoraggio è stato reso possibile dalla raccolta e conservazione sistematica dei dati relativi alla posta elettronica, effettuate mediante backup per tutta la durata del rapporto di lavoro e fino a cinque anni dopo la cessazione, oltre ai relativi log per sei mesi. Il Garante giudica eccessivi questi tempi.
Il secondo è la natura del trattamento. I trattamenti messi in atto, scrive l'Autorità, si sono rivelati idonei a ricostruire l'attività dei dipendenti e ad effettuare un controllo a distanza. È la formula che sposta la questione dal GDPR allo Statuto dei lavoratori: un archivio che permette di ricostruire cosa ha fatto una persona nel tempo è uno strumento di controllo, indipendentemente dal fatto che sia nato per fare backup.
Il terzo è l'informazione. Il Garante rileva carenze nelle informazioni fornite ai dipendenti su finalità e basi giuridiche del trattamento, e contesta alla società la mancata risposta alle richieste degli ex dipendenti relative alla conferma della disattivazione degli account.
Oltre alla sanzione, l'Autorità ha dichiarato illecito il trattamento dei dati relativi alla posta aziendale e ha vietato a Piaggio l'accesso ai dati raccolti e conservati sui propri sistemi.
Perché riguarda quasi tutti
Questa non è una decisione su un caso esotico. La configurazione sanzionata — backup della posta per anni, log di accesso conservati, possibilità tecnica di rileggere tutto — è la configurazione predefinita di moltissime aziende, e quasi sempre non è stata scelta: è stata ereditata da chi ha installato il sistema, o dalla convinzione che conservare sia sempre più prudente che cancellare.
- 01Backup per continuitàscelta tecnica, fatta una volta, mai rivista
- 02Archivio interrogabileconseguenza non voluta, ma reale
- 03Controllo a distanzaquando quell'archivio viene letto per verificare una persona
La distinzione che il provvedimento impone è fra disponibilità per continuità operativa e accessibilità per ricostruzione individuale. Un backup serve a rimettere in piedi un servizio dopo un guasto o un attacco: è una funzione legittima e, in chiave sicurezza, indispensabile. Il problema nasce quando lo stesso backup diventa un archivio consultabile per persona, per periodo, per parola chiave. A quel punto la finalità è cambiata, e con essa la base giuridica, l'informativa e i limiti dello Statuto dei lavoratori.
Le tre domande da farsi lunedì
Quanto conservate, e chi lo ha deciso. Non "quanto dice la policy": quanto sopravvive davvero, contando i backup, gli archivi secondari, le copie di sicurezza dei sistemi di posta e i log. Nella pratica il numero reale è quasi sempre più alto di quello scritto, perché la policy parla della casella e i backup vivono altrove.
Cosa succede alla casella quando una persona se ne va. Nel caso Piaggio, uno dei rilievi riguarda proprio la mancata risposta alla richiesta di conferma della disattivazione degli account. È una domanda semplice a cui molte organizzazioni non sanno rispondere per iscritto: la casella è disattivata, il contenuto è stato rimosso, l'eventuale inoltro a un collega è temporaneo e con quale informazione a chi scrive.
Chi può accedere, con quale procedura, e chi lo registra. L'accesso alla posta di un dipendente non è mai un gesto tecnico neutro. Se avviene, deve avere una procedura scritta, un perimetro definito, una motivazione tracciata e una supervisione — e deve essere noto ai lavoratori prima, non spiegato dopo.
Una nota su cosa questo dossier non contiene: si basa sulla sintesi pubblicata dal Garante nella newsletter n. 550 e sul provvedimento del 18 giugno 2026 richiamato in quella sede. Non abbiamo elementi sulle difese della società oltre a quanto riportato dall'Autorità, né sull'eventuale impugnazione del provvedimento. Il principio, però, non dipende dall'esito: la conservazione non è uno spazio neutro dove i dati aspettano. È già un trattamento, e va giustificata come tale.
