Schedatura, gestione e-mail, armadietti aziendali, geolocalizzazione, IA di sentiment analysis in chat aziendali attraverso i provvedimenti del Garante
Indice dei contenuti
Se gestisci o lavori in un'azienda o in uno studio professionale, lo saprai già: il trattamento dei dati personali delle persone che lavorano è un aspetto sempre più rilevante nella corretta gestione del rapporto di lavoro.
E le scelte giuridiche che un’azienda o un* professionista fanno (o non fanno) rappresentano la visione più generale che quell’azienda o quel* professionista hanno del mondo.
Negli ultimi mesi, il Garante ha affrontato in diversi casi situazioni che, nella nostra esperienza, le attività si trovano spesso ad affrontare.
In questo articolo analizziamo insieme alcuni dei principali provvedimenti del Garante del 2026 che riguardano il rapporto di lavoro per aiutarti a capire qualcosa in più: schedatura del personale, gestione delle e-mail aziendali dopo la chiusura del rapporto, geolocalizzazione, armadietti aziendali e sistemi di IA che rilevano lo stress e le emozioni.
E per accompagnarti così a fare scelte giuridiche più consapevoli e più coerenti con la visione che hai della tua vita professionale e non solo.
01. Schedatura del personale: il caso Amazon
Il primo caso che ti raccontiamo e di cui si è occupato il Garante riguarda l’uso da parte di Amazon di una piattaforma che consentiva ai manager di inserire annotazioni sul personale dipendente. Non sarebbe stato nulla di particolare per un sistema gestionale se le annotazioni fossero state riferite al lavoro, se non che contenevano:
- diagnosi mediche: "sindrome di Crohn", "operazione al piede", "pacemaker"
- aspetti della vita privata: "padre malato terminale", "sorella con tumore", "separazione in corso"
- hobby e passioni: "suona il basso da 30 anni", "appassionato di fotografia", "sportivo"
- partecipazione a scioperi: "ingaggiato per le ultime assenze legate a strike", "decisamente sindacalizzato"
Non solo. Questi dati restavano nella piattaforma per 10 anni, accessibili a manager diversi succedutisi nel tempo.
Nel suo provvedimento, il Garante ha osservato che la piattaforma consentiva azioni che violavano il divieto posto in capo al datore di lavoro di trattare dati non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore. Le azioni consentite violavano anche i principi generali in materia di protezione dei dati personali, in particolare di liceità, minimizzazione dei dati, limitazione della conservazione.
Ci sono, infatti, regole precise su quali informazioni l'azienda può raccogliere e conservare sul proprio personale e queste riguardano la loro attitudine professionale, non la vita privata, la salute o le scelte sindacali.
Il dato "ha la sciatica" non è rilevante per valutare se la persona è brava nel suo lavoro. La partecipazione a uno sciopero è un diritto costituzionale e non può essere usata per valutare il/la dipendente.
Quindi:
- se usi piattaforme dove si possono inserire note sui dipendenti, forma il personale su cosa è permesso scrivere e cosa no
- limita i dati raccolti alle informazioni rilevanti per l'attività lavorativa
- non raccogliere o conservare informazioni su salute, vita privata, scelte sindacali, hobby se non hai individuato una base giuridica legittima
- stabilisci una politica di conservazione: quanto tempo si mantengono i dati raccolti
- fai audit periodici su quello che viene scritto
02. Accesso dell'ex lavoratore alle e-mail aziendali a fine rapporto
Il secondo caso riguarda un ex dipendente che aveva chiesto all’azienda per cui aveva lavorato di accedere alla sua posta elettronica.
L'azienda rifiutava di dare pieno accesso alla posta elettronica, dando la disponibilità a dare l’accesso solo alle e-mail “personali", non a quelle considerate "di lavoro".
Ma chi decide qual è la differenza? E soprattutto la corrispondenza ricevuta su un account assegnato da un’azienda al dipendente è davvero di esclusiva proprietà dell'azienda?
Il Garante è intervenuto sul tema con un provvedimento di marzo 2026: le e-mail ricevute su un account aziendale possono contenere dati che riguardano la persona e comunicazioni che, per il loro contenuto, rientrano nella nozione di "corrispondenza" che gode di protezione costituzionale.
Questo significa che quando un dipendente chiede di accedere alle proprie e-mail, l'azienda non può decidere arbitrariamente quali e-mail sono personali e quali no. E soprattutto non può leggere le e-mail prima di darle al dipendente, per decidere cosa è "appropriato" che veda.
Quindi:
- se un ex dipendente chiede di accedere alle sue e-mail aziendali, la regola generale è che possa avere accesso in modo completo alla corrispondenza
- comunica per iscritto, prima della cessazione del rapporto, come verranno gestite le e-mail al termine del rapporto. Questo provvedimento del Garante ricorda, infatti, anche l’importanza della trasparenza nella gestione dei dati personali nei rapporti di lavoro: le aziende devono sempre informare bene il personale sulle regole di utilizzo degli strumenti di lavoro, account di posta compresi
03. Inoltro della posta elettronica alla fine dell'incarico
Il caso affrontato nel mese di aprile 2026 dal Garante nel terzo provvedimento di cui ti vogliamo raccontare riguarda la gestione della posta elettronica indirizzata a un consigliere di un ordine professionale alla fine del suo mandato.
L'ente, non volendo perdere la corrispondenza indirizzata a quell'indirizzo e-mail, aveva creato un "alias": esternamente sembrava ancora mail@ente.it, ma di fatto i messaggi venivano reindirizzati a una casella collettiva dove avevano accesso 7 dipendenti e 11 consiglieri.
Peraltro, non era stato comunicato nulla né al consigliere né ai mittenti, che pensavano di scrivere ancora al consigliere, ma la loro e-mail veniva invece letta da una casella collettiva.
Il Garante ha ricordato che le e-mail sono corrispondenza privata e godono di protezione costituzionale, anche se l'indirizzo è aziendale. Non è quindi consentito leggere le e-mail di una persona senza informarla, né condividerle con altri senza che lo sappiano i mittenti.
Quindi:
- quando una persona lascia l’organizzazione, è necessario disattivare l'account
- attiva una risposta automatica che informa i mittenti, con una frase simile a questa: "Questo indirizzo non è più attivo. Per contattare l'ente, scrivi a..."
- non creare alias e non impostare inoltri ad altre caselle, men che meno collettive
- se sorge l’esigenza di accedere ad alcuni messaggi per motivi organizzativi, è necessario farlo con una procedura trasparente e comunicata
04. Geolocalizzazione: con regole
Il quarto caso che ti raccontiamo riguarda l’installazione di GPS da parte di un’azienda su tutti i mezzi aziendali per una ragione legittima: tracciare i veicoli, sapere dov'è il mezzo in caso di emergenza, evitare furti.
Tuttavia, per come era stato implementato, il sistema poteva potenzialmente ricostruire ogni singolo spostamento del personale durante il turno di lavoro, perché:
- il sistema ogni 60 secondi rilevava la posizione esatta del veicolo (e quindi del conducente)
- i manager potevano guardare In tempo reale la posizione precisa del mezzo
- non era consentita al dipendente la disattivazione, nemmeno durante le pause
Il Garante con un provvedimento di maggio 2026 ha ritenuto che il monitoraggio continuo così svolto era sproporzionato. In linea generale all'azienda è consentito tracciare i mezzi, ma non in modo così pervasivo.
Quindi:
- nel caso di uso dei GPS sui mezzi aziendali, l’uso deve essere proporzionato alla finalità
- rilevazioni continue e monitoraggio in tempo reale non sono di regola possibili, salvo che sia possibile individuare basi giuridiche legittime
- il personale deve sempre ricevere un’informativa chiara e completa sul monitoraggio che viene fatto
05. Gli armadietti aziendali
Dopo la fine di un rapporto di lavoro, un’azienda decideva di svuotare l'armadietto assegnato all’ex dipendente, senza informarlo che sarebbe stato aperto in sua assenza, e distruggeva il contenuto anziché conservarlo.
L'armadietto, tuttavia, conteneva effetti personali, compresi oggetti di uso intimo.
Il Garante si è pronunciato con un provvedimento di giugno 2026, con cui ha ricordato che anche uno spazio fisico come un armadietto aziendale è protetto dalla riservatezza. Il dipendente ha diritto di aspettarsi che i suoi effetti personali non vengano toccati senza essere preventivamente avvisato.
Quindi:
- quando vengono assegnati armadietti aziendali, è bene che l’azienda comunichi che cosa sono, come vanno usati, cosa accade al termine del rapporto
- se il dipendente se ne va, è bene che l’azienda gli chieda per iscritto di svuotare l'armadietto entro un termine ragionevole
- se il termine scade senza riscontro, l’azienda deve indicare al dipendente una data in cui procederà direttamente non avendo altre alternative, chiedendo la sua presenza, avvertendo che in mancanza verrà fatto alla presenza di testimoni
- l’azienda non deve distruggere il contenuto, ma conservalo per un tempo ragionevole nel caso il dipendente lo voglia recuperare, sempre dando comunicazioni chiare
06. IA che legge le emozioni del personale
L’ultimo caso di cui ti raccontiamo in questo articolo fa riferimento a uno strumento decisamente più di attualità: un'app usata dai dipendenti per monitorare il loro stress, leggendo i messaggi che scrivono nelle chat aziendali (Slack, Teams) e analizzando la "semantica" di quello che dicono.
Il dipendente usa l'app per il suo benessere: "Come sto oggi? Sono stressato?".
Il problema è nato quando l'azienda che aveva comprato l'app voleva accedere a un report sul livello di stress medio dei dipendenti.
Indipendentemente dalle ragioni dell’azienda, magari anche positive, si configurava il rischio reale che un sistema sullo stato emotivo di una persona - la sua ansia, il suo stress - diventasse uno strumento di controllo a distanza dei lavoratori, vietato dalla normativa vigente.
Inoltre, non bisogna dimenticare che le informazioni sulla salute psicologica di una persona sono una categoria particolare di dati personali, soggetti a una specifica disciplina.
Il Garante, nel suo provvedimento di avvertimento del maggio 2026, ha osservato che il report aggregato potrebbe anche essere consentito, ma solo se davvero anonimo e impossibile da ricondurre al singolo dipendente. E comunque, l'azienda non deve avere mai accesso a informazioni sullo stress della singola persona.
Quindi:
- se vengono uste app di benessere o monitoraggio dello stress, la persona è libera di scegliere se usarle, ma l'azienda non può accedere ai dati delle singole persone
- l’azienda può al più consultare solo i report aggregati, che devono essere anonimizzati e impossibili da ricondurre a singole persone
- l’azienda deve informare per iscritto in modo chiaro e completo il personale su come funziona lo strumento e chi accede ai dati
- l'app non può mai essere usata come strumento per controllare o valutare il personale dipendente.
07. Il quadro d'insieme
Questi provvedimenti raccontano tutti una storia con tratti comuni: la corretta gestione dei dati personali è un elemento fondamentale nella gestione di ogni rapporto, anche di lavoro, in cui le regole della subordinazione gerarchica da un lato e della riservatezza del personale dipendente dall’altro devono trovare un giusto equilibrio.
Così, ad esempio, all'azienda è consentito controllare lo svolgimento del lavoro, tracciare i mezzi, gestire le e-mail aziendali. Ma non può leggere tutta la corrispondenza privata di chi lavora per lei, monitorare in modo continuo e invasivo, raccogliere dati sulla salute, la vita privata, le scelte sindacali in mancanza di basi giuridiche legittime e per finalità consentite, fare "schedature" di dipendenti basate su aspetti personali.
Conoscere le regole del trattamento dei dati personali e applicarle correttamente in un’attività imprenditoriale o professionale rappresenta una tutela per gli interessi dell’azienda e rispetto dei diritti dei lavoratori e delle lavoratrici.
Iscriviti alla nostra newsletter
Per ricevere novità e approfondimenti sul tema della conformità delle organizzazioni (aziende, studi professionali, associazioni, enti): contratti, privacy, regole del digitale, sostenibilità, modello 231.
