Account posta elettronica attivi e accessibili dopo la fine del rapporto di lavoro

Il Garante Privacy ha sanzionato per complessivi 25.500 euro Techpartner Srl, società con sede a Modena specializzata nella fornitura di attrezzature per l’industria alimentare.
Con il provvedimento (n. 796 del 20 ottobre 2026) l’Autorità ha accertato in particolare il ritardo nel riscontro alla richiesta di accesso ai dati personali di un ex dipendente e le modalità di gestione degli account di posta elettronica aziendale, dopo la cessazione del rapporto di lavoro.
L’istruttoria è stata avviata a seguito del reclamo di un ex lavoratore che lamentava di non aver ricevuto un riscontro adeguato alla richiesta di conoscere i propri dati personali trattati dalla società a partire dal 2013.
Dagli accertamenti è emerso che l’azienda aveva risposto soltanto dopo nove mesi dalla richiesta, ben oltre il termine di un mese previsto dal Regolamento europeo sulla privacy, e comunque dopo l’avvio dell’istruttoria da parte dell’Autorità. Per questa violazione il Garante ha comminato una sanzione di 9.500 euro, chiarendo che una richiesta di accesso ai dati personali deve ricevere riscontro nei termini previsti dalla normativa anche quando è inserita in un’istanza più ampia riguardante questioni lavorative.
Ulteriori criticità sono state riscontrate nella gestione della posta elettronica aziendale. 
I regolamenti interni prevedevano infatti di mantenere attivi per diversi mesi gli account di posta elettronica degli ex dipendenti, consentendo anche la consultazione dei messaggi da parte della società, per assicurare – secondo quanto dichiarato – la continuità dell’attività aziendale. Per tali irregolarità è stata applicata un’ulteriore sanzione di 16.000 euro. Il Garante ha infatti riaffermato che, dopo la cessazione del rapporto di lavoro, gli account devono essere disattivati e rimossi, prevedendo sistemi automatici per informare i mittenti e fornire recapiti alternativi, nonché misure per impedire al datore di lavoro di leggere i messaggi in arrivo.
La società, inoltre, entro 60 giorni dovrà adeguare i disciplinari interni sull’utilizzo degli strumenti informatici.
Non sono state invece accertate violazioni in merito alle ulteriori contestazioni del reclamante relative al sistema di videosorveglianza aziendale e alla comunicazione a terzi di informazioni sulla convocazione a una visita medica di idoneità.

Tratto da www.garanteprivacy.it – News del 12/11/2026