Questo è l’anno della Piaggio: mentre festeggia gli ottant’anni della Vespa, ecco che il colosso a due ruote si vede arrivare una sanzione di oltre 400 mila euro per violazione della privacy e, in particolare, per una presunta gestione delle caselle di posta elettronica aziendale non conforme alla normativa in materia di protezione dati personali.
Il punto, però, non è che siamo alle solite, ma capire come fare per evitare che un’azienda certamente attenta come la Piaggio, non incorra più in errori di questo tipo che costano cari, sotto tutti i profili.
Indice degli argomenti
Sanzione privacy alla Piaggio: cosa è successo
Con il provvedimento n. 476 del 18 giugno 2026 (doc. web n. 10272529) il Garante privacy ha dichiarato “illecito il trattamento dei dati relativi alla posta elettronica aziendale effettuato da Piaggio & C. S.p.A., disponendo il divieto di accesso ai dati raccolti e una sanzione amministrativa di 460.000 euro per violazione degli artt. 5, par. 1, lett. a), b), c) ed e), 6, 12, 13, 17 e 88 del Regolamento e dell’art. 114 del Codice”.
Plurime, dunque, sarebbero le violazioni privacy, tra cui spicca la criticità nella conservazione dei dati, apparendo “eccessivi i tempi di mantenimento delle email aziendali e dei log di accesso, nonché presunte “carenze nelle informazioni fornite ai dipendenti sulle finalità e sulle basi giuridiche del trattamento”, oltre a una “mancata risposta alle richieste di esercizio dei diritti degli ex dipendenti relative alla conferma della disattivazione degli account”.
Ma andiamo con ordine, partendo dai fatti.
Sanzione privacy alla Piaggio: i fatti
La vicenda trae origine da un paio di reclami presentati da due ex dipendenti licenziati per giusta causa nel marzo del 2023, per aver acquisito 112 messaggi complessivi dalle rispettive caselle PEO (posta elettronica ordinaria) individualizzate cioè nominative, in occasione di una indagine interna. Costoro nell’istanza avevano chiesto conferma della disattivazione dei loro account (aziendali).
I motivi: dai controlli difensivi alla conservazione dei log
Nei motivi, dalla lettura del provvedimento in parola si legge che la nota società aveva deciso di “…ricorrere a controlli difensivi in senso stretto esclusivamente sugli account di posta elettronica aziendale dei due ricorrenti per finalità di tutela del patrimonio aziendale ex art. 4 L. 300/1970 (“Controlli difensivi”), previa definizione dei criteri e le modalità di azione (allegato 4), nonché previo test di bilanciamento (…)” ritenendo che “…nell’estrazione graduale dei dati dalle caselle di posta elettronica (…), circoscritta a filtri e parole chiavi (keywords) preventivamente identificati, ed entro un arco temporale limitato (…), al fine di delimitare l’oggetto operativo dell’indagine e di restringere la stessa ai soli dati rilevanti sulla base dei principi di proporzionalità e necessità, pertinenza, correttezza e non eccedenza” fosse la modalità più idonea al perseguimento delle finalità prefissate, nonché la più rispettosa del principio di minimizzazione; e in effetti, nulla quaestio.
Rispetto poi al tempo di conservazione dei log di accesso alla posta elettronica, il noto colosso ha rilevato di essersi correttamente ispirato al Documento di indirizzo recante “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”, adottato dal Garante il 06/06/2024 (provv. n. 364, in doc web n. 10026277)” in forza del quale i tempi di conservazione sono stati ridotti in linea con le indicazioni fornite, implementando una nuova prassi aziendale, la quale prevede ora la cancellazione dei log ogni 21 giorni.
I controlli difensivi sono legittimi entro certi limiti
La Piaggio aveva azionato dei controlli difensivi, ma lungi dall’intento di effettuare alcuna “forma di monitoraggio sistematico o una forma di sorveglianza sull’esecuzione della prestazione lavorativa” con la certezza di un dato dirimente: la loro attivazione è postumaalla commissione dell’illecito da parte dei due reclamanti per la finalità di doverlo accertare.
Sì al monitoraggio, ma con cautela
In tema dei cd. sistemi difensivi il Garante acconsente quei “controlli anche tecnologici posti in essere dal datore di lavoro finalizzati alla tutela di beni estranei al rapporto di lavoro o ad evitare comportamenti illeciti, in presenza di un fondato sospetto circa la commissione di un illecito, purché sia assicurato un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali, correlate alla libertà di iniziativa economica, rispetto alle imprescindibili tutele della dignità e della riservatezza del lavoratore, sempre che il controllo riguardi dati acquisiti successivamente all’insorgere del sospetto” (si vedano Cass. n. 25732 del 22/9/2021; Cass. n. 18168 del 26/6/2023; Cass. n. 32283 dell’11/12/2025).
In altri termini, l’elemento decisivo per l’ammissibilità del controllo risiede nel controllo ex post.
Caso diverso è la effettuazione di un monitoraggio legato alla “sistematica raccolta e conservazione dei dati relativi alla posta elettronica, tramite il backup per tutta la durata del rapporto di lavoro e fino a 5 anni dopo la cessazione, nonché dei relativi log, per un periodo di 6 mesi”.
In questi casi, sì che scatta la violazione del GDPR per controllo a distanza, vieppiù se in assenza delle garanzie previste dal cd. Statuto dei lavoratori – L. 70/300) e cioè di un accordo sindacale con il quale il dipendente è informato e lo sottoscrive.
No alla raccolta sistematica in alcun modo
Sotto il profilo della protezione dei dati personali un’attività di controllo diventa illegittima quando il titolare del trattamento effettua “una sistematica raccolta e conservazione dei dati relativi alla posta elettronica dei dipendenti”.
Ancora, sulla gestione e conservazione dei log della posta elettronica è annosa la questione se essa costituisce o meno “uno strumento di lavoro” e in quanto tale governato e astrattamente governabile dall’organizzazione.
È certo che la email rientri nell’ambito dell’art. 4, secondo comma dello Statuto dei lavoratori il quale richiede la stipula di un accordo sindacale. In difetto, il trattamento è illegittimo.
Sanzione privacy a Piaggio: le motivazioni del provvedimento
Il Garante ha ritenuto sussistenti una serie di violazioni della privacy. Vediamo le principali.
La disattivazione dell’account aziendale nominativo è un diritto del dipendente
Il Garante afferma a chiare lettere che “…le richieste aventi ad oggetto la disattivazione degli account aziendali di tipo individualizzato rientrano, a pieno titolo, nell’ambito dei diritti riconosciuti agli interessati”.
Non solo, finalmente sancisce espressamente che “l’indirizzo di posta elettronica aziendale individualizzato (ovvero assegnato a uno specifico lavoratore), così come il contenuto della posta elettronica presente nell’account, costituiscono dati personali relativi al lavoratore stesso”.
Ciò significa in termini di protezione dati, scrive l’Autorità, “si traduce nella richiesta di cessazione di ogni attività di trattamento che sia stata svolta, fino a quel momento, sui dati personali dell’interessato (si vedano, tra i più recenti, il provv. n. 427 del 17 luglio 2025, doc web n. 10182762; provv. n. 754 del 18 dicembre 2025, doc web n. 10213574; provv. n. 82 del 12 febbraio 2026, doc web n. 10230220)”.
Il non dar corso a una richiesta di tal fatta e quindi non rispondere, significa violare l’art. 12, par. 4, del Regolamento a mente del quale se “non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”.
L’indirizzo email aziendale è un dato personale
I dipendenti/utenti muniti di account/indirizzo email aziendale non possono “non avere aspettativa di confidenzialità in relazione a qualsiasi comunicazione, messaggio, file o materiale che siano creati, archiviati, ricevuti od inviati attraverso le Risorse ICT anche tramite dispositivi personali”, scrive il Garante.
Né rileva che la posta elettronica quale “strumento di lavoro” in quale tale sia sottratta all’ambito di applicazione delle garanzie di maggior tutela di cui all’art. 4, comma 1, della legge n. 300/1970, ribadendo l’orientamento dell’Autorità in base al quale “i sistemi e i programmi che consentono la raccolta, la conservazione e l’elaborazione dei dati tratti dall’utilizzo della posta elettronica e della connessione ad internet (quest’ultimo non emerso nel caso in esame) non sono indispensabili per rendere la prestazione lavorativa e operano in modo del tutto indipendente rispetto alla normale attività dell’utilizzatore (cioè senza alcun impatto o interferenza sul lavoro del dipendente) (sul punto si veda: provv. n. 613 del 09/10/2025, doc web n. 10185435; provv. n. 384 del 28/10/2021, doc. web n. 9722661; provv. n. 190 del 13/5/2021, doc. web n. 9669974; provv. n. 479 del 16/11/2017, doc. web n.7355533; si vedano altresì le circolari INL n. 4/2017 del 26/7/2017 e n. 2/2016 del 7/11/2016)”.
Le misure di sicurezza al centro
E veniamo al cuore del provvedimento: “le misure di sicurezza del tipo organizzativo e tecnologico”.
Nel caso di specie il Garante afferma che “il contenuto dei messaggi di posta elettronica, così come i dati esteriori delle comunicazioni (quindi anche i log della posta elettronica, comprensivi degli indirizzi e-mail del mittente e del destinatario, gli indirizzi IP dei server o dei client coinvolti nell’instradamento del messaggio, gli orari di invio, di trasmissione o di ricezione, la dimensione del messaggio, la presenza di eventuali allegati, l’oggetto del messaggio spedito o ricevuto) riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente (artt. 2 e 15 Cost.).
Rispetto alla posta elettronica aziendale di qualsiasi organizzazione (pubblica o privata), v’è “una legittima aspettativa di riservatezza in relazione ai messaggi oggetto di corrispondenza (v. punto 5.2 lett. b), del provvedimento n. 13 del 01/03/2007, recante Linee guida per posta elettronica e internet, doc web n. 1387522; e in relazione a casi specifici, tra gli ultimi, il provv. n. 613 del 09/10/2025, doc web n. 10185435)”.
Le azioni rimediali: possibili suggerimenti
In conclusione, alla luce di una lettura abbastanza puntuale del provvedimento in questione, si possono dedurre possibili azioni rimediali. Si può suggerire di verificare ed eventualmente implementare le misure in atto consigliando sempre una concertazione preventiva alle attività afferenti al trattamento dei dati personali, in ossequio e ottemperanza all’art. 25 del GDPR.
Ad esempio, nel rivedere le policy aziendali concernenti l’uso della posta elettronica, si potrebbe ispirarle maggiormente all’orientamento giurisprudenziale espresso dalla Corte europea dei diritti dell’uomo secondo cui “la protezione della vita privata si estende anche all’ambito lavorativo, considerato che proprio in occasione dello svolgimento di attività lavorative e/o professionali si sviluppano relazioni dove si esplica la personalità del lavoratore”.
In definitiva, un approccio pragmatico che non esponga più l’organizzazione a (doversi difendere per) analoghe situazioni.
Partecipa alla community