Metadati email dipendenti: conservazione e controllo a distanza

In sintesi

Il datore di lavoro può registrare e conservare i metadati generati dall'uso della posta elettronica aziendale (data, ora, mittente, destinatario, dimensione dei messaggi) per finalità di sicurezza informatica, ma solo entro i limiti tracciati dall'art. 88 del Regolamento (UE) 2016/679 (GDPR), dall'art. 114 del Codice in materia di protezione dei dati personali (d.lgs. 196/2003) e dall'art. 4 della legge 20 maggio 1970, n. 300 (Statuto dei lavoratori) sulle garanzie in materia di controllo a distanza. Il Garante per la protezione dei dati personali, con il Documento di indirizzo sulla posta elettronica nel rapporto di lavoro del 6 giugno 2024, ha fissato in 21 giorni il termine orientativo massimo di conservazione dei metadati per le sole finalità di sicurezza informatica: superarlo richiede una motivazione tecnico-organizzativa specifica. Con il successivo provvedimento del 14 luglio 2026 il Garante ha applicato questo stesso parametro a un caso concreto, ammonendo un titolare del trattamento non per la durata della conservazione — ritenuta proporzionata — ma per non averla indicata nell'informativa resa ai dipendenti.

Quando si applica

La disciplina riguarda ogni datore di lavoro — impresa privata o ente pubblico — che fornisce ai propri dipendenti una casella di posta elettronica aziendale e che, per ragioni tecniche o di sicurezza informatica, registra i log di traffico (i cosiddetti metadati: mittente, destinatario, data, ora, oggetto, dimensione) generati dall'uso di quello strumento.

Si applica in particolare quando:

• il servizio di posta elettronica è gestito da un fornitore esterno nominato responsabile del trattamento ai sensi dell'art. 28 GDPR, e il datore di lavoro non ha accesso diretto e continuativo ai log;
• il trattamento dei metadati è finalizzato esclusivamente al funzionamento e alla sicurezza del sistema informatico (individuazione di anomalie, incidenti di sicurezza, malfunzionamenti) e non al monitoraggio dell'attività dei singoli dipendenti;
• l'informativa resa al personale ai sensi dell'art. 13 GDPR deve specificare, tra l'altro, il periodo di conservazione di questi dati.

Non si applica, e richiede invece le garanzie rafforzate dell'art. 4 dello Statuto dei lavoratori (accordo sindacale o autorizzazione dell'Ispettorato territoriale del lavoro), quando il trattamento dei metadati consente, anche indirettamente, un controllo a distanza dell'attività del lavoratore.

Come si applica nella pratica

Il punto di equilibrio individuato dal Garante distingue due situazioni.

Il provvedimento del 14 luglio 2026 mostra come questo parametro operi in concreto: un ente pubblico aveva affidato il servizio di posta elettronica a un responsabile esterno del trattamento, che conservava i metadati per 21 giorni e li rilasciava al titolare solo su richiesta formale e motivata, mai in via continuativa. Il Garante ha ritenuto questa impostazione compatibile con le sole finalità di sicurezza informatica (art. 32 GDPR), archiviando i profili relativi alla liceità del trattamento e alla proporzionalità del termine. Ha però accertato la violazione dell'art. 13 GDPR perché l'informativa e il disciplinare informatico interno non indicavano esplicitamente quel periodo di conservazione, limitandosi a menzionare una "registrazione temporanea" senza precisarne la durata. Per questa sola carenza informativa il Garante ha ammonito il titolare del trattamento ai sensi dell'art. 58, par. 2, lett. b), GDPR, senza applicare sanzioni pecuniarie, qualificando la violazione come minore.

Per una PMI, la conseguenza operativa è duplice: definire con il fornitore del servizio email (o con l'IT interno) un periodo di conservazione dei metadati determinato e proporzionato — il Documento di indirizzo del Garante indica 21 giorni come termine orientativo — e riportarlo espressamente nell'informativa privacy consegnata ai dipendenti e nel disciplinare per l'uso degli strumenti informatici aziendali.

Esempi pratici

Esempio 1 — PMI con posta elettronica in cloud gestita da fornitore esterno

Uno studio di ingegneria con 15 dipendenti utilizza un servizio di posta elettronica in cloud gestito da un provider esterno, nominato responsabile del trattamento con contratto ex art. 28 GDPR. Il provider conserva i log di traffico per 20 giorni per finalità di sicurezza e non fornisce all'azienda un accesso diretto ai metadati, se non su richiesta motivata (es. sospetto incidente di sicurezza). L'azienda aggiorna l'informativa privacy ai dipendenti indicando espressamente il periodo di conservazione dei metadati e le finalità (sicurezza del sistema, non monitoraggio dell'attività). Il trattamento resta nell'alveo dell'art. 6, par. 1, lett. f), e art. 32 GDPR, senza necessità di accordo sindacale.

Esempio 2 — Amministratore IT interno che estrae report periodici sull'uso della posta

Un'azienda manifatturiera con IT interno configura un sistema che estrae automaticamente report settimanali sul volume di email inviate e ricevute da ciascun dipendente, consultabili dal responsabile IT senza limitazioni. Questo accesso sistematico e continuativo ai metadati, anche se non riguarda il contenuto dei messaggi, configura una forma di controllo a distanza dell'attività lavorativa ai sensi dell'art. 4 dello Statuto dei lavoratori: l'azienda deve stipulare un accordo con le rappresentanze sindacali o richiedere l'autorizzazione all'Ispettorato territoriale del lavoro prima di attivare il report, e informarne compiutamente i dipendenti.

Esempio 3 — Informativa privacy generica senza indicazione del periodo di conservazione

Un'agenzia di servizi con 8 dipendenti ha un disciplinare informatico che si limita a dichiarare che "l'azienda effettua una registrazione temporanea dei file di log per motivi di sicurezza", senza indicare per quanto tempo. In caso di reclamo di un dipendente, questa formulazione — anche se la prassi concreta è corretta e proporzionata — espone l'azienda al rischio di un accertamento di violazione dell'art. 13 GDPR per incompletezza dell'informativa, come accertato dal Garante nel provvedimento del luglio 2026 a carico di un ente che si trovava nella stessa situazione. La correzione è semplice: integrare l'informativa con il periodo di conservazione effettivo dei metadati.

Errori comuni e come evitarli

• Non indicare il periodo di conservazione nell'informativa: anche quando il trattamento dei metadati è di per sé lecito e proporzionato, l'omissione del periodo di conservazione nell'informativa ex art. 13 GDPR è già di per sé una violazione autonoma, come accertato dal Garante nel provvedimento del 14 luglio 2026.
• Confondere log tecnici di sicurezza con strumenti di controllo dei dipendenti: se il datore di lavoro (o un suo incaricato interno) ha accesso diretto e continuativo ai metadati, il trattamento richiede le garanzie dell'art. 4 dello Statuto dei lavoratori, non la sola base giuridica della sicurezza informatica.
• Affidarsi a un fornitore esterno senza formalizzare il ruolo di responsabile del trattamento: l'assenza di un atto di nomina ex art. 28 GDPR rende il datore di lavoro direttamente responsabile di ogni trattamento effettuato dal fornitore sui metadati.
• Conservare i metadati oltre il termine orientativo senza una motivazione tecnico-organizzativa specifica: il Documento di indirizzo del Garante fissa in 21 giorni il riferimento per le sole finalità di sicurezza; superarlo richiede una giustificazione documentata, non una prassi indefinita.
• Copiare disciplinari informatici generici senza adattarli alla propria organizzazione: la formulazione delle finalità di trattamento deve corrispondere a ciò che realmente avviene (chi accede ai log, con quale frequenza, per quali finalità), perché è proprio uno scarto tra formulazione e prassi concreta ad aver generato l'istruttoria nel caso esaminato dal Garante nel 2026.

Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR), art. 6, par. 1, lett. f); art. 13; art. 28; art. 32; art. 58, par. 2, lett. b); art. 88, parr. 1, 2 e 3 — base giuridica del trattamento, informativa, responsabile esterno, sicurezza e garanzie rafforzate per il contesto lavorativo.
• D.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), art. 2-ter e art. 114 (rinvio alle norme nazionali a tutela della dignità del lavoratore e ai controlli a distanza).
• Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori), art. 4 (impianti audiovisivi e altri strumenti di controllo a distanza).
• Garante per la protezione dei dati personali, Documento di indirizzo sulla posta elettronica nel rapporto di lavoro, 6 giugno 2024, doc. web n. 10026277 (termine orientativo di 21 giorni per la conservazione dei metadati a fini di sicurezza).
• Garante per la protezione dei dati personali, provvedimento del 14 luglio 2026, doc. web n. 10286374 (applicazione del parametro a un caso concreto; ammonimento per carenza dell'informativa).

Risorse correlate

• Redditi di lavoro dipendente art. 49 TUIR: definizione
• Reddito di lavoro dipendente art. 51 TUIR: fringe benefit

Disclaimer

Le informazioni in questa scheda hanno scopo informativo e divulgativo e non sostituiscono il parere di un professionista qualificato. Aggiornata al 2 settembre 2026.