Garante: accesso ai dati ed email degli ex dipendenti

Diritto Bancario, nell’articolo «GDPR: accesso degli ex dipendenti ai propri dati e gestione email», riferisce che il Garante italiano ha accertato violazioni nella gestione di una richiesta di accesso ai dati personali e delle caselle email degli ex dipendenti, con il provvedimento n. 796 del 20 ottobre 2026. L’istruttoria è partita dal reclamo di un ex lavoratore, che ha ricevuto risposta soltanto dopo nove mesi e dopo l’intervento dell’Autorità. Le criticità relative alle email sono emerse durante gli accertamenti e sono state esaminate d’ufficio, nonostante l’obiezione della società sull’assenza di un reclamo specifico. Il testo integrale del provvedimento non è stato verificato direttamente.

Secondo la testata, la società ha giustificato il ritardo sostenendo di non aver riconosciuto l’istanza all’interno di una comunicazione più ampia e richiamando difficoltà nel reperire documenti dovute al trasferimento aziendale. Il Garante ha respinto la prima spiegazione perché l’ex dipendente aveva espressamente invocato la normativa sulla protezione dei dati e il diritto di accesso. Ha inoltre ricordato che l’esercizio del diritto non richiede formalità particolari, né necessariamente un riferimento al GDPR. Anche la seconda spiegazione è stata ritenuta insufficiente: l’articolo 12, paragrafo 3, prevede una risposta entro un mese, prorogabile di altri due in ragione della complessità e del numero delle richieste, informando l’interessato della proroga e dei motivi. L’Autorità ha accertato violazioni di questa disposizione e dell’articolo 15.

Per le email, Diritto Bancario attribuisce al Garante l’accertamento del mancato rispetto dei principi di liceità, minimizzazione e limitazione della conservazione, nonché delle violazioni degli articoli 5, paragrafo 1, lettera a), e 88 GDPR e dell’articolo 114 del Codice privacy. I regolamenti aziendali prevedevano di mantenere attive per diversi mesi le caselle degli ex dipendenti, consentendone la consultazione alla società. Nella ricostruzione della decisione, la continuità operativa non giustifica tale accesso e conservazione per finalità organizzative: i documenti lavorativi rilevanti devono essere archiviati mediante sistemi di gestione documentale. Alla cessazione del rapporto, il datore deve disattivare e successivamente rimuovere l’account, predisporre messaggi automatici che informino i mittenti e comunichino eventuali recapiti alternativi, e impedire la propria visualizzazione dei messaggi in arrivo.