Quanto si possono conservare le email dei dipendenti: cosa insegna la sanzione da 460.000 euro

Il 18 giugno 2026 il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento della posta elettronica dei dipendenti di Piaggio & C. S.p.A. e ha adottato una sanzione, riportata dalla stampa specializzata in 460.000 euro.

⚠️ Due precisazioni sulla fonte, aggiunte il 4 settembre 2026. Il provvedimento è pubblicato dal Garante in forma parzialmente omissata, con la nota «Parti del provvedimento omissate in pendenza del giudizio di opposizione»: la sanzione è quindi sub iudice, ed è stata impugnata. L’importo non è leggibile nel testo pubblicato — nel corpo del provvedimento la cifra non compare — e va perciò attribuito alle fonti secondarie che lo riportano, non al provvedimento. L’azienda aveva estratto dalle caselle di posta aziendale di due ex dipendenti 112 email complessive, nell’ambito di un’indagine interna avviata dopo alcune contestazioni disciplinari.

Il dettaglio che rende questo provvedimento rilevante per chiunque amministri la posta aziendale non è l’accesso in sé. È questo passaggio:

i dati acquisiti dalla Società siano cronologicamente precedenti all’insorgere del sospetto dell’illecito compiuto

Alcune di quelle email risalivano a circa due anni prima che il sospetto nascesse. Ed erano recuperabili per una ragione sola: erano ancora lì.

È la configurazione della conservazione ad aver creato l’esposizione, non la decisione di accedere. Ed è una configurazione che si decide una volta, spesso anni prima, spesso senza pensarci — e che quasi nessuno rivede.

Cosa è stato contestato

Il provvedimento (n. 476 del 18 giugno 2026) nasce dai reclami di due ex dipendenti. Le email — 18 per una posizione, transitate fra novembre 2020 e gennaio 2022, e 94 per l’altra, da aprile 2020 — sono state estratte manualmente dalla funzione ICT tramite parole chiave e filtri, e comprendevano corrispondenza personale con terzi.

Le violazioni accertate sono tre gruppi distinti, e vale la pena tenerli separati perché si risolvono in modo diverso:

1. Conservazione eccessiva di email e log — art. 5, par. 1, lett. e) del GDPR, oltre alle contestazioni su liceità, limitazione della finalità e minimizzazione.
2. Informativa inadeguata: mancava l’indicazione delle finalità della conservazione, della base giuridica e dei periodi di conservazione per categoria di dato. Una policy che si limita a dire che i dipendenti “non devono avere aspettativa di confidenzialità” non basta.
3. Mancata risposta alle richieste degli interessati — artt. 12, par. 3, e 17. Due richieste sulla disattivazione degli account, del 23 aprile e del 31 maggio 2023, sono rimaste senza risposta nel termine di 30 giorni.

Il quadro normativo richiamato include anche l’art. 114 del Codice privacy, che porta con sé le garanzie dell’art. 4 della legge 300/1970 sul controllo a distanza.

I due numeri che riguardano tutti

Qui sta la parte trasferibile. Il provvedimento fotografa i tempi di conservazione che l’azienda applicava, e quelli che ha adottato durante il procedimento — modifica che il Garante ha valutato favorevolmente.

Cinque anni dopo l’uscita di una persona non è una scelta esotica: è quello che accade da sé quando si attiva un blocco su una casella e non si specifica una durata. Ed è la ragione per cui questo provvedimento va letto come un problema di configurazione, non di condotta.

⚠️ Attenzione a non leggere “3 mesi” come una soglia di legge. Non lo è: non esiste un termine fissato dalla norma, il criterio resta la necessità rispetto alla finalità dichiarata. Ma è un termine che un’autorità ha esaminato senza contestarlo, e come riferimento pratico vale più di una stima.

La regola dei 21 giorni: cosa copre davvero

I 21 giorni vengono citati spesso e quasi sempre in modo impreciso. Vengono dal documento di indirizzo del Garante del 6 giugno 2024 sui programmi di gestione della posta elettronica nel contesto lavorativo, e riguardano i metadati: mittente e destinatario, indirizzi IP di server e client, orari di invio e ricezione, dimensione del messaggio, presenza e dimensione degli allegati, oggetto.

Due precisazioni che cambiano l’applicazione pratica:

• Non riguardano il contenuto dei messaggi nella casella dell’utente, che resta sotto il controllo di quest’ultimo e non è soggetto a quel limite.
• Non sono un divieto assoluto. Una conservazione sensibilmente più lunga è ammessa dove circostanze particolari la rendano necessaria, dimostrandolo in applicazione del principio di accountability. Dove però il prolungamento rende lo strumento un mezzo di controllo a distanza, si rientra nella procedura dell’art. 4 della legge 300/1970: accordo sindacale o autorizzazione.

La distinzione fra metadati e contenuto non è netta come sembra, e il documento lo dice esplicitamente: le informazioni dell’envelope, pur essendo metadati registrati automaticamente nei log, sono inscindibili dal messaggio di cui fanno parte integrante.

Le impostazioni di Microsoft 365 che decidono la vostra esposizione

Il provvedimento non indica quale piattaforma usasse l’azienda, e non è rilevante: la contestazione riguarda i tempi, non il prodotto. Quello che segue è la nostra traduzione di quei tempi nelle impostazioni che li producono su Microsoft 365 — perché è lì che le PMI italiane hanno la posta, ed è lì che va guardato.

1. Litigation hold — la conservazione illimitata e invisibile

È l’impostazione che merita il primo controllo, per tre motivi documentati da Microsoft:

• Conserva tutto il contenuto della casella, compresi gli elementi eliminati definitivamente e le versioni originali di quelli modificati. Il blocco si estende anche all’archivio, se attivo.
• Se si attiva senza specificare una durata, la proprietà LitigationHoldDuration assume il valore Unlimited e gli elementi non vengono mai eliminati.
• Se i campi Note e URL restano vuoti, l’utente non viene informato che la sua casella è sotto blocco.

Messe insieme: una casella di spunta produce una conservazione integrale, potenzialmente illimitata e non comunicata all’interessato. Nessuna di queste tre cose è un difetto del prodotto — sono comportamenti corretti per la finalità eDiscovery per cui la funzione esiste. Diventano un problema quando la funzione è attiva su caselle per cui nessuno ha mai dichiarato quella finalità.

2. Criteri di conservazione e caselle inattive

I criteri di conservazione di Microsoft Purview determinano per quanto tempo il contenuto sopravvive, e sono la leva su cui si scrive il periodo che si è dichiarato nell’informativa. Il punto critico è la cessazione del rapporto: una casella sotto blocco a cui viene rimossa la licenza non scompare — il contenuto resta conservato per la durata del blocco. È il meccanismo tecnico che produce il ”+ 5 anni” della tabella sopra, ed è la ragione per cui la conservazione post-cessazione va decisa esplicitamente e non lasciata come effetto collaterale di una procedura di offboarding.

3. Audit log e message trace — dove il limite non è vostro

Qui c’è un vincolo che va detto chiaramente, perché cambia la conclusione:

Le opzioni da 7 e 30 giorni delle audit log retention policy richiedono Microsoft 365 E5. Su Business Premium — cioè sul piano su cui sta la maggior parte delle PMI italiane — la soglia dei 21 giorni non è tecnicamente raggiungibile su questi registri.

La conseguenza è controintuitiva ma importante: per una PMI su Business Premium, la strada dell’accountability non è un’alternativa, è l’unica disponibile. Bisogna saper dire perché quel periodo è necessario, non promettere di scendere sotto una soglia che la piattaforma non consente. Questo è un ragionamento nostro sull’incrocio fra le due cose, non una posizione che il Garante abbia espresso su Microsoft 365.

Conservare tutto non è la posizione prudente

L’obiezione più comune, quando si propone di ridurre i tempi, è che i dati servono a difendersi. L’azienda l’ha sostenuta: la cancellazione avrebbe compromesso la difesa nei contenziosi di lavoro in corso.

Il Garante ha comunque disposto il divieto di accesso al contenuto dei dati raccolti e conservati sui sistemi aziendali relativi alla posta elettronica. Le eccezioni ai diritti degli interessati esistono — artt. 2-undecies del Codice e 23 del GDPR — ma richiedono una comunicazione motivata e resa senza ritardo all’interessato, che non è mai stata fatta.

Il risultato netto: la conservazione prolungata ha prodotto la sanzione, e i dati sono stati comunque resi inutilizzabili. Ha aggiunto rischio senza aggiungere tutela. È il motivo per cui “nel dubbio teniamo tutto” non è una posizione conservativa: è una posizione, e va difesa come tutte le altre.

La contestazione che non riguarda la retention

Il terzo gruppo di violazioni è di natura diversa e più semplice da evitare: due richieste sulla disattivazione degli account sono rimaste senza risposta. Non citavano il GDPR — arrivavano dentro lettere di impugnazione e una PEC — e questo è esattamente il punto: una richiesta non deve qualificarsi per essere valida, e l’assenza dell’indicazione della base giuridica non è motivo per non rispondere.

Nella pratica di una PMI questo si traduce in due cose:

• Chi riceve la PEC deve saper riconoscere un esercizio di diritti quando arriva dentro una comunicazione legale, dove nessuno lo cerca.
• La disattivazione dell’account deve essere una procedura, con una data. Se esiste come passo tracciato dell’offboarding, la risposta è un fatto; se dipende da chi si ricorda di farlo, non è dimostrabile.

I due fronti non guardano la stessa cosa, e il secondo è più severo

Sul caso è circolata la formula «stessa posta, due verdetti»: un giudice del lavoro avrebbe ritenuto legittimo il controllo, e cinque giorni dopo il Garante lo avrebbe dichiarato illecito. La ricostruzione è di un esperto di protezione dei dati, ed è interessante — ma va riferita con la riserva che il suo stesso autore vi ha apposto: «profilo da confermare», precisando di non aver acquisito il testo della sentenza e di fondarsi su note di commento. Il provvedimento del Garante, per sua parte, nomina il Tribunale di Pisa soltanto per dare conto dell’esistenza dei ricorsi contro i licenziamenti, e non ne riferisce l’esito.

Quindi trattiamola per quello che è: un’ipotesi ricostruttiva, non un fatto. Ma la domanda che solleva è reale, e la risposta è più utile della formula.

I due fronti non decidono la stessa cosa. Il Garante accerta l’illiceità del trattamento e, in questo caso, ha ordinato «il divieto dell’accesso al contenuto dei dati raccolti e conservati sui sistemi aziendali», ai sensi dell’art. 58, par. 2, lett. f) del GDPR. Non ha dichiarato inutilizzabile alcuna prova, né avrebbe potuto: l’utilizzabilità nel processo è questione del giudice. Sono due oggetti distinti, non due sentenze opposte.

E sul terreno del giudice l’orientamento è più severo, non più permissivo. La Corte di cassazione ha consolidato il principio per cui la prova acquisita in violazione dell’art. 4 dello Statuto dei Lavoratori è inutilizzabile: una pronuncia del 2026 richiama nove decisioni conformi, e in quel giudizio era il datore di lavoro a ricorrere, invocando il controllo difensivo — e ha perso. Non serve nemmeno la scappatoia della qualificazione: anche considerando la posta uno «strumento di lavoro» ai sensi del comma 2 dell’art. 4, l’utilizzabilità resta subordinata dal comma 3 all’informativa adeguata e al rispetto della disciplina privacy.

C’è un punto in cui l’incertezza però è reale, e lo dichiara il Garante stesso:

«non rientra nelle competenze dell’Autorità pronunciarsi sulla cd. teoria dei controlli difensivi, di pura creazione giurisprudenziale e tra l’altro oggetto di applicazioni non univoche»

Subito dopo quella premessa, il provvedimento applica proprio il criterio temporale elaborato da quella teoria. È una tensione che i commentatori hanno notato, e che descrive bene la posizione di un’azienda: la categoria che decide la sorte di un licenziamento è di creazione giurisprudenziale, applicata in modo non uniforme, e l’autorità che vi sanziona premette di non poterne discutere il merito.

La conseguenza pratica è una sola, e vale più di tutto il resto dell’articolo. Il criterio che decide è quando avete acquisito il dato rispetto al sospetto — «dati acquisiti successivamente all’insorgere del sospetto». Quel criterio non lo decidete voi in udienza: lo ha già deciso, mesi prima, la retention del vostro sistema. Una conservazione lunga vi permette di guardare a ritroso, ed è guardare a ritroso ciò che rende il controllo censurabile. Conservare tutto non vi mette al riparo: vi espone alla sanzione e vi consegna una prova che il giudice può dichiarare inutilizzabile.

Cosa fare, in ordine

1. Fotografare la configurazione attuale, in sola lettura: criteri di conservazione attivi su Exchange e relative durate, caselle con litigation hold e valore di LitigationHoldDuration, caselle inattive e da quando, audit log retention policy esistenti. Prima di decidere qualsiasi cosa, bisogna sapere cosa c’è.
2. Individuare i blocchi senza durata. Ogni Unlimited è una conservazione illimitata: va confermata con una finalità dichiarata, o va sostituita con una durata.
3. Decidere il periodo post-cessazione e scriverlo. È la voce che nel provvedimento ha pesato più di tutte.
4. Allineare l’informativa a quei numeri: finalità, base giuridica e periodo per categoria di dato. Un periodo corretto ma non dichiarato resta una violazione dell’art. 13. Il registro dei trattamenti è il posto dove questa coerenza diventa verificabile.
5. Documentare la giustificazione per i registri che restano sopra i 21 giorni, indicando anche il vincolo di piano dove esiste.
6. Rendere la disattivazione dell’account un passo tracciato dell’offboarding, con una data.
7. Definire chi autorizza un accesso e a quali condizioni: preventivamente, per iscritto, e limitato al perimetro temporale del fatto da verificare. La gradualità è ciò che distingue una verifica da un controllo di massa.

I punti 1 e 2 si fanno in un’ora e non richiedono alcuna decisione: sono lettura. Sono anche quelli che nella nostra esperienza cambiano il quadro più spesso, perché il litigation hold attivato “per sicurezza” durante una migrazione è una delle cose più comuni che si trovano in un tenant.

Aggiornato il 4 settembre 2026 con la sezione sui due fronti e le precisazioni sulla fonte. Sui metadati della posta e sulla procedura dell’art. 4 si veda il pezzo dedicato: Metadati della posta elettronica: la procedura che manca a quasi ogni tenant.

Stato delle informazioni: verificate il 14 agosto 2026. Le fonti sono il provvedimento del Garante n. 476 del 18 giugno 2026 e il documento di indirizzo del 6 giugno 2024 sui metadati della posta elettronica, oltre alla documentazione Microsoft su litigation hold, audit log retention e message trace. Questo articolo non è una consulenza legale: le decisioni sui periodi di conservazione vanno prese con chi assiste l’azienda sul lavoro e sulla privacy, e la parte tecnica va verificata sul vostro tenant.

Se volete partire dal punto 1 — sapere com’è configurato oggi il vostro tenant, senza modificare nulla — è il tipo di verifica che facciamo dentro l’assistenza Microsoft 365 e la cybersecurity gestita. Il toolkit PowerShell per Microsoft Purview copre la parte di lettura dei criteri di conservazione, e lo script che misura l’esposizione delle caselle fa in sola lettura l’inventario del punto 1 — litigation hold, durate, caselle inattive: scriveteci se preferite che la facciamo insieme.

Domande frequenti

Per quanto tempo si possono conservare le email di un dipendente che se ne è andato?

Non esiste un termine fissato per legge: il criterio è la limitazione della conservazione dell’art. 5 del GDPR, cioè il tempo necessario alla finalità dichiarata, che va indicata nell’informativa. Come riferimento concreto, nel procedimento che ha portato al provvedimento n. 476/2026 l’azienda è passata da cinque anni dalla cessazione del rapporto a tre mesi, e il Garante ha valutato favorevolmente la modifica. Non è una soglia normativa, ma è un termine che un’autorità ha visto e non ha contestato.

Il datore di lavoro può leggere le email aziendali dei dipendenti?

Non in modo generalizzato e non retroattivo. Il controllo sulla posta rientra nelle garanzie sul controllo a distanza dell’art. 114 del Codice privacy, che richiama l’art. 4 della legge 300/1970: servono finalità legittime, accordo sindacale o autorizzazione dell’Ispettorato del lavoro dove ricorra, informativa preventiva adeguata e gradualità. Nel caso sanzionato, il fatto che le email acquisite fossero anteriori al sospetto è stato uno degli elementi decisivi.

Cosa sono i 21 giorni di cui parla il Garante?

Sono l’indicazione contenuta nel documento di indirizzo del 6 giugno 2024 sui metadati della posta elettronica: mittente, destinatario, indirizzi IP, orari, dimensione del messaggio, presenza di allegati, oggetto. Riguardano i metadati raccolti dai sistemi di gestione della posta, non il contenuto dei messaggi nella casella dell’utente. Oltre quel periodo, la conservazione va giustificata in base al principio di accountability e, dove lo strumento diventa mezzo di controllo a distanza, seguendo la procedura dell’art. 4 della legge 300/1970.

Su Microsoft 365 si può portare la conservazione dei log a 21 giorni?

Non su tutti i piani. Le opzioni di 7 e 30 giorni delle audit log retention policy di Microsoft Purview richiedono Microsoft 365 E5: su Business Premium il periodo predefinito di 180 giorni non è riducibile. Il message trace di Exchange Online copre fino a 90 giorni e non è configurabile dall’amministratore. Chi resta sopra la soglia deve percorrere la strada dell’accountability, cioè documentare perché quel periodo è necessario.

Che cos’è il litigation hold e perché va verificato?

È una funzione di Exchange che conserva tutto il contenuto della casella, compresi gli elementi eliminati e le versioni originali di quelli modificati. Se si attiva senza specificare una durata, la proprietà LitigationHoldDuration assume il valore Unlimited e gli elementi non vengono mai eliminati. Inoltre, se i campi Note e URL restano vuoti, l’utente non riceve alcuna indicazione che la sua casella è sotto blocco: è una conservazione illimitata e invisibile attivata da una casella di spunta.

Conservare tutto non è più prudente in caso di causa?

Non necessariamente, e il provvedimento lo mostra. L’azienda aveva sostenuto che la cancellazione avrebbe compromesso la difesa nei contenziosi di lavoro in corso; il Garante ha comunque disposto il divieto di accesso al contenuto dei dati di posta raccolti sui sistemi aziendali. La conservazione prolungata ha prodotto la contestazione e i dati sono stati resi comunque inutilizzabili: ha aggiunto rischio senza aggiungere tutela.

Da dove si comincia se non sappiamo com’è configurato il nostro tenant?

Da un inventario di quattro voci: quali criteri di conservazione di Microsoft Purview sono attivi su Exchange e con quale durata, su quali caselle è attivo un litigation hold e con quale valore di durata, quali caselle sono inattive e da quando, e quali audit log retention policy esistono. Sono dati leggibili in sola lettura, senza modificare nulla. È il presupposto di qualsiasi decisione: non si può giustificare un periodo di conservazione che non si conosce.