Posta dei dipendenti sotto esame: il Garante sanziona Michael Page

Tre caselle di posta rimaste attive per anni, controlli senza un sospetto preliminare e messaggi inoltrati ai vecchi responsabili: sono gli elementi che hanno portato il Garante per la protezione dei dati personali a sanzionare Michael Page International Italia con 225 mila euro. Il provvedimento n. 583, adottato il 6 agosto 2026 e pubblicato all’inizio di ottobre, ribadisce che la corrispondenza aziendale non può trasformarsi in un archivio liberamente consultabile dal datore di lavoro.

Il controllo è partito troppo presto

La vicenda riguarda tre persone che avevano lasciato Michael Page nel 2021 per entrare in una società concorrente. L’azienda ha mantenuto operative le loro caselle fino al 25 settembre 2023; per due degli ex dipendenti, il periodo di conservazione ha superato i due anni e mezzo.

La posta ricevuta dopo l’uscita è stata girata ai precedenti superiori e, in un secondo momento, un consulente informatico forense ha esaminato il contenuto degli account. La società ha sostenuto di aver cercato soltanto determinate parole chiave, ma davanti all’Autorità non avrebbe fornito elementi sufficienti per dimostrarlo.

A pesare è stata soprattutto l’assenza di una risposta automatica che informasse i mittenti della cessazione del rapporto. Michael Page aveva spiegato di averla evitata perché gli ex dipendenti “si sarebbero accorti dell’inattività delle proprie caselle di posta elettronica e sarebbero riusciti ad occultare i propri comportamenti”. Per il Garante, questa motivazione conferma l’intenzione di osservare retroattivamente la corrispondenza, non di svolgere un controllo mirato nato da un fatto preciso.

La posta resta protetta

Nella decisione l’Autorità contesta proprio l’accesso “a ritroso”, effettuato prima che emergesse un sospetto concreto. I controlli difensivi riconosciuti dalla giurisprudenza della Cassazione possono riguardare, secondo il provvedimento, i dati raccolti dopo la nascita del sospetto e non un’intera corrispondenza analizzata preventivamente.

Il Garante ha inoltre giudicato illegittima la previsione di conservare le comunicazioni per dieci anni e ha bocciato la regola interna che imponeva ai dipendenti di consegnare la password al proprio superiore quando richiesta. La posta elettronica, si legge nella decisione, è corrispondenza “assistita da garanzie di segretezza tutelate anche costituzionalmente”. Di conseguenza, l’accesso non può essere affidato al capo diretto né, in via generale, al datore di lavoro.

Michael Page aveva chiesto di non rendere pubblico il provvedimento, sostenendo che i concorrenti avrebbero potuto utilizzarlo per danneggiare la reputazione dell’azienda. L’istanza è stata respinta. La società aveva presentato i controlli come attività investigativa a tutela dell’impresa, collegandola al possibile comportamento scorretto degli ex dipendenti; contro la sanzione resta possibile il ricorso al tribunale.

Altri casi hanno preceduto Michael Page

La decisione si inserisce in una serie di interventi analoghi. Il 18 dicembre 2025, con il provvedimento n. 754, il Garante aveva comminato una sanzione di 40 mila euro a LTL spa, azienda di lenti oftalmiche con sede a San Vito al Tagliamento.

In quel caso era rimasta attiva per circa due mesi la casella dell’ex amministratore delegato, licenziato il 2 agosto 2023. Il 21 settembre, alle 18.23, l’uomo aveva inoltrato per errore dalla casella della compagna la bozza dell’impugnazione del licenziamento. L’azienda aveva poi risposto a quel messaggio con una comunicazione del proprio legale, pur non essendo stata destinataria della lettera.

Un’altra sanzione, pari a 460 mila euro, ha riguardato Piaggio il 18 giugno 2026. Le caselle di due ex dipendenti erano state conservate per tutta la durata del rapporto e per altri cinque anni, mentre l’acquisizione dei messaggi sarebbe avvenuta prima della comparsa di un sospetto, secondo quanto scritto dal Garante.

Quel provvedimento, tuttavia, non è più disponibile sul sito dell’Autorità. La pubblicazione è stata rimossa in esecuzione di un’ordinanza cautelare del Tribunale di Pisa del 22 settembre; l’opposizione è ancora pendente.

Le decisioni arrivano dopo anni

Il principio affermato dal Garante è netto, ma i tempi dei procedimenti restano molto più lunghi rispetto alle scadenze previste. I tre ex dipendenti di Michael Page avevano presentato reclamo il 15 settembre 2022 e hanno ricevuto una decisione quasi quattro anni più tardi.

L’articolo 143 del Codice in materia di protezione dei dati personali indica nove mesi per la conclusione del procedimento, che possono diventare dodici quando sono necessari ulteriori accertamenti. Nel caso LTL, il reclamo risaliva al 30 ottobre 2023 e la sanzione è arrivata oltre due anni dopo. La Cassazione, con la sentenza n. 22791 di quest’anno, ha stabilito che il superamento dei termini non determina la perdita del potere di sanzionare, ma per chi attende una risposta sulla violazione della propria posta l’attesa resta invariata.

A complicare il lavoro dell’Autorità c’è anche la riduzione del Collegio a tre componenti, dopo le dimissioni di Guido Scorza avvenute a gennaio, nel contesto delle inchieste di Report e del Fatto. Pasquale Stanzione, Ginevra Cerrina Feroni e Agostino Ghiglia sono rimasti in carica mentre l’indagine della Procura di Roma risulta vicina alla conclusione.

Il caso interno dell’Autorità

La contestazione sugli accessi retroattivi assume un rilievo particolare alla luce di quanto accaduto nello stesso Garante. Il 4 novembre 2025, due giorni dopo una puntata di Report dedicata all’Autorità, l’allora segretario generale Angelo Fanizza chiese al responsabile dei sistemi informativi di acquisire con urgenza messaggi, accessi alla rete privata virtuale e cartelle condivise dei dipendenti.

L’obiettivo indicato era individuare chi avesse trasmesso informazioni al Fatto e a Report. Il direttore dei sistemi informatici contestò la richiesta; quando la vicenda divenne pubblica, Fanizza si dimise e il Collegio dichiarò di non esserne coinvolto. Nel caso Michael Page l’attenzione aveva riguardato tre ex lavoratori; all’interno dell’Autorità, invece, la richiesta avrebbe potuto estendersi alla posta di tutti i dipendenti.