Il Garante multa chi spia le mail dei dipendenti. L’Authority ci aveva provato con i suoi

Commenti

Due chiavette Usb criptate, in una busta antieffrazione, in un armadio chiuso a chiave. Dentro c’è la posta di tre ex dipendenti di Michael Page, colosso della selezione del personale, usciti nel 2021 e passati a un concorrente. L’azienda ha tenuto in vita le loro caselle fino al 25 settembre 2023, per due di loro oltre due anni e mezzo. Dice di averle setacciate per parole chiave, ma il Garante non se la beve e annota che non ne ha dato prova. Ha girato ai vecchi capi le mail che continuavano ad arrivare, poi ha mandato dentro un consulente informatico forense. Niente risposta automatica, e il motivo l’azienda l’ha messo nero su bianco: altrimenti gli ex “si sarebbero accorti dell’inattività delle proprie caselle di posta elettronica e sarebbero riusciti ad occultare i propri comportamenti”. Per il Garante della privacy non si fa. Con il provvedimento n. 583 del 6 agosto 2026, pubblicato a inizio ottobre, ha inflitto a Michael Page International Italia una sanzione di 225 mila euro.

Il cuore della decisione sta in poche parole: la società ha conservato la posta e ci è entrata “a ritroso”, “a prescindere dal formarsi di qualunque sospetto”. I controlli difensivi ammessi dalla Cassazione valgono solo per i dati raccolti dopo che il sospetto è nato. Bocciate anche la conservazione delle mail per dieci anni e la regola che imponeva ai dipendenti di consegnare, su richiesta, la password al superiore. La posta, scrive l’Autorità, è corrispondenza “assistita da garanzie di segretezza tutelate anche costituzionalmente”. Chi può aprirla al posto del lavoratore “non può essere il superiore gerarchico né, più in generale, il datore di lavoro”. Michael Page aveva chiesto che il provvedimento non fosse pubblicato, perché i concorrenti avrebbero potuto usarlo per screditarla. Richiesta respinta. Davanti all’Autorità la società si era difesa parlando di indagini difensive contro la concorrenza sleale dell’ex personale; contro la multa può ricorrere al tribunale. Non è un caso isolato, è una linea.

Il 18 dicembre 2025, con il provvedimento n. 754, il Garante ha multato per 40 mila euro la LTL spa, lenti oftalmiche a San Vito al Tagliamento. Aveva tenuto aperta per circa due mesi la casella del suo ex amministratore delegato, mandato via il 2 agosto 2023. Lui ci inoltra per errore, dall’account della compagna, la bozza dell’impugnazione del licenziamento. Alle 18.23 di quel 21 settembre arriva la “risposta” dell’avvocato dell’azienda a una lettera che nessuno gli aveva spedito. Il 18 giugno 2026 è toccato a Piaggio: 460 mila euro per le mail di due ex dipendenti, conservate per tutto il rapporto più altri cinque anni e acquisite, scrive il Garante, prima “dell’insorgere del sospetto”. Quel provvedimento però oggi sul sito dell’Autorità non c’è più. È stato rimosso in ottemperanza a un’ordinanza cautelare del Tribunale di Pisa del 22 settembre, e l’opposizione è pendente. Il messaggio alle aziende, insomma, è chiaro. Il problema sono i tempi.

I tre ex di Michael Page hanno presentato reclamo il 15 settembre 2022 e la decisione è arrivata quasi quattro anni dopo. L’articolo 143 del Codice privacy chiede di decidere entro nove mesi, dodici se servono approfondimenti. Per la LTL il reclamo era del 30 ottobre 2023: oltre due anni. Il Fatto ne aveva raccontato lo stallo a metà novembre 2025, e la sanzione è arrivata un mese dopo. La Cassazione, con la sentenza 22791 di quest’anno, ha stabilito che il ritardo non fa decadere il potere di sanzionare. Chi aspetta giustizia per la posta violata, però, aspetta lo stesso.

Gli uffici, del resto, lavorano sotto un Collegio ridotto a tre da gennaio, quando si è dimesso Guido Scorza per effetto delle inchieste di Report e del Fatto. Pasquale Stanzione, Ginevra Cerrina Feroni e Agostino Ghiglia sono rimasti al loro posto nonostante l’inchiesta della Procura di Roma che dovrebbe essere prossima a chiusura. Ed è qui che la frase sulle ricerche “a ritroso” fa un certo effetto. Il 4 novembre 2025, due giorni dopo una puntata di Report sull’Autorità, l’allora segretario generale Angelo Fanizza chiese al direttore dei sistemi informativi di estrarre “urgentemente” mail, accessi Vpn e cartelle condivise dei dipendenti del Garante, per trovare chi passava notizie al Fatto e a Report. Il direttore dei sistemi IT contestò la richiesta. Quando la vicenda divenne pubblica Fanizza si dimise, e il Collegio si dichiarò estraneo. Michael Page almeno frugava nella posta di tre persone. Al Garante si voleva frugare in quella di tutti.