Controllo difensivo sulle email dei dipendenti: il caso Piaggio, 460.000 euro di sanzione

Il 18 giugno 2026 il Garante per la protezione dei dati personali ha sanzionato Piaggio & C. S.p.A. per 460.000 euro. Il provvedimento — n. 476, doc. web 10272529, reso pubblico con la newsletter del 29 luglio — nasce da un fatto minimo: due ex dipendenti, licenziati per giusta causa con lettera del 2 marzo 2023, avevano solo chiesto conferma della disattivazione dei propri account di posta elettronica aziendale. Nessuna risposta è arrivata. L’istruttoria che ne è seguita ha finito per giudicare qualcosa di più ampio: come, e da quando, la Società avesse letto quella stessa posta.

I fatti accertati, con le date

I due reclamanti avevano chiesto conferma della disattivazione con le lettere di impugnazione del licenziamento, ad aprile 2023, poi reiterata il 31 maggio 2023: mai riscontrata. A settembre 2023 hanno presentato un secondo reclamo, più specifico: la Società aveva «acquisito, trattato e utilizzato» le loro email aziendali per usarle nei procedimenti disciplinari — 18 messaggi della dipendente, dal novembre 2020 al gennaio 2022, e 94 del dipendente, a partire da aprile 2020. Piaggio ha confermato: gli account erano stati disattivati il 16 febbraio 2023 alle 8:54, in coincidenza con la sospensione cautelare per gli addebiti disciplinari, e cancellati il 27 aprile 2023 — oltre i 30 giorni previsti dalla procedura standard di cessazione, perché quella non fu una cessazione ordinaria.

La difesa: controlli difensivi, criteri scritti, test di bilanciamento

Piaggio ha spiegato all’Ufficio che, dopo alcune segnalazioni interne, il Lead Independent Director — legale rappresentante della Società — si è consultato il 24 novembre 2022 anche con il Data Protection Officer, per valutare un’indagine interna sui due dipendenti. Ne sono nati «controlli difensivi in senso stretto esclusivamente sugli account di posta elettronica aziendale dei due ricorrenti per finalità di tutela del patrimonio aziendale ex art. 4 L. 300/1970». La procedura, sulla carta, è quella corretta: criteri e modalità d’azione definiti prima, un test di bilanciamento agli atti, un incarico affidato il 29 novembre 2022 a un responsabile esterno ex art. 28 GDPR che ha estratto le email con filtri e parole chiave senza leggerne il contenuto, dati conservati dall’Internal Audit per soli tre mesi e poi, a suo dire, irreversibilmente cancellati.

Perché non è bastato: l’ordine cronologico

Il Garante è netto su un punto di metodo: non spetta a lui pronunciarsi sulla «teoria dei controlli difensivi», «di pura creazione giurisprudenziale». Applica però il criterio che la Cassazione ripete da anni (n. 25732/2021, 18168/2023, 34092/2021, 32283/2025): i controlli anche tecnologici del datore di lavoro sono ammessi solo se «il controllo riguardi dati acquisiti successivamente all’insorgere del sospetto». È esattamente l’elemento che qui manca. Il sospetto nasce il 24 novembre 2022; le email raccolte partono da aprile e novembre 2020 — svolte «a ritroso nel tempo, fino a circa 2 anni prima». Criteri scritti e test di bilanciamento non salvano un’indagine che, per perimetro temporale, guarda al passato del sospetto invece che al suo futuro.

Lo strumento e la sua memoria

Per giustificare anche la conservazione quinquennale della posta dopo la cessazione, Piaggio ha sostenuto che l’email aziendale è «uno strumento utilizzato dal lavoratore per rendere la prestazione lavorativa» e quindi rientra nel comma 2 dell’art. 4 dello Statuto — l’eccezione che esenta dall’accordo sindacale. Il Garante non condivide il passaggio successivo: ribadisce il proprio orientamento consolidato per cui i sistemi che raccolgono, conservano ed elaborano i dati generati dall’uso della posta «non sono indispensabili per rendere la prestazione lavorativa e operano in modo del tutto indipendente rispetto alla normale attività dell’utilizzatore». Lo strumento può stare nel comma 2; l’infrastruttura che lo osserva, lo archivia e lo rende interrogabile resta nel comma 1, con le sue garanzie procedurali. Lo stesso confine — fra lo strumento e la sua memoria — lo avevamo già tracciato per i log degli assistenti AI aziendali: qui il Garante lo applica, con nome e cognome, alla posta elettronica di sempre. Ed è lo stesso perimetro incontrato quando un fornitore ha letto il linguaggio dei dipendenti in chat: non serve un algoritmo per finire dentro l’art. 4 dello Statuto, basta un server che ricorda.

Conservazione e disattivazione: quello che cambia durante l’istruttoria

Due numeri, prima e dopo. La posta: da cinque anni dopo la cessazione del rapporto a tre mesi, ridotta con le memorie difensive del 18 ottobre 2024, dopo l’apertura del procedimento. I log di accesso: da sei mesi a una cancellazione ogni 21 giorni, in ottemperanza al documento di indirizzo del Garante del 6 giugno 2024 sui metadati della posta elettronica nel contesto lavorativo. Il Garante «prende atto con favore» di entrambe le correzioni, ma lo scrive esplicitamente: quanto fatto prima resta accertato come illecito. Su un terzo punto non arretra: la prassi di mantenere attivo, con reindirizzo o trasferimento «per comprovate esigenze di servizio», l’account di un dipendente uscente resta «contraria alle disposizioni in materia di protezione dei dati personali» per l’estrema genericità di quella formula — l’account va disattivato, con un messaggio automatico che indichi un indirizzo alternativo, senza che nessuno possa leggere la posta in arrivo nel frattempo.

Le violazioni e la sanzione

Il dispositivo finale contesta la violazione degli artt. 5, par. 1, lett. a), b), c) ed e) (liceità, minimizzazione, limitazione della conservazione), 6, 12 par. 3, 13, 17 e 88 del Regolamento (UE) 2016/679, più l’art. 114 del Codice Privacy — la norma che rinvia integralmente all’art. 4 dello Statuto come condizione di liceità dei trattamenti. Il Garante pesa la sanzione sulla natura delle violazioni (dati di lavoratori, definiti «interessati vulnerabili»), sulla durata (anni di conservazione, ritardo nel riscontro ai reclamanti) e sul volume d’affari della Società; a favore di Piaggio conta la cooperazione e le correzioni fatte in corso di procedimento. L’esito, ai sensi dell’art. 83 del Regolamento: 460.000 euro, più una misura correttiva distinta dalla sanzione — «il divieto dell’accesso al contenuto dei dati raccolti e conservati sui sistemi aziendali relativi alla posta elettronica aziendale».

Cosa deve poter dimostrare un’azienda, dopo

Non basta aver fatto le cose giuste; serve poterle mostrare nell’ordine giusto. La data in cui nasce il sospetto specifico, verbalizzata prima di toccare un solo dato — non ricostruita a posteriori per il procedimento. Il perimetro dei dati raccolti, confrontato con quella data: se un filtro per parola chiave risale più indietro del sospetto, il controllo torna sorveglianza. Il test di bilanciamento, scritto, riferito al caso concreto e non a un modulo standard. E la prova che l’accesso al contenuto è stato davvero riservato a chi doveva valutarlo — lo stesso principio che regge le credenziali di chi amministra un sistema AI aziendale — con una cancellazione che si può dimostrare avvenuta, non solo dichiarata.

Come lo risolviamo noi

Un registro che nasce da un sospetto verbalizzato e uno che raccoglie tutto per anni «per ogni evenienza» sono due sistemi diversi, anche se girano sullo stesso server di posta — e quella differenza, per resistere a un’ispezione, deve stare nell’architettura, non in una policy scritta dopo. È il primo asse su cui costruiamo AI dedicate e chiuse per grandi imprese, difesa, pubblica amministrazione e sanità: i criteri del controllo difensivo, il test di bilanciamento e i tempi di conservazione diventano un controllo che gira sui sistemi e lascia, da solo, la traccia da esibire — data del sospetto, perimetro dei dati toccati, cancellazione avvenuta e non solo dichiarata. Il secondo asse è quello che rende utile il primo: lo stesso impianto che separa il registro delle misure dal contenuto delle comunicazioni tiene insieme i dati sparsi dell’organizzazione — posta, HR, sicurezza, gestionali — in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando. Sempre in due modalità: on-premise, su macchine autonome che non richiedono integrazione profonda nella rete del cliente, oppure cloud dedicato CSIDIA, con VPN dedicata e data center in Italia presidiato direttamente da noi; e sempre con la gestione condivisa, perché quasi nessuna organizzazione ha già in casa chi amministra un sistema così.

Sapreste ricostruire, con una data verbalizzata prima e non dopo, quando è nato il sospetto che ha fatto scattare l’ultimo controllo sui vostri dipendenti? Mezz’ora con un nostro esperto basta per la prima mappa.