Italský dozorový úřad pro ochranu osobních údajů (Garante per la protezione dei dati personali, „Úřad“) uložil společnosti Piaggio & C. S.p.A. pokutu ve výši 460 000 EUR za nezákonné zpracování osobních údajů prostřednictvím firemních e-mailových účtů zaměstnanců. Úřad současně společnosti zakázal přístup k obsahu takto nezákonně shromážděných a uchovávaných e-mailových dat.
Rozhodnutí č. 476 ze dne 18. června 2026 je významné zejména pro zaměstnavatele, kteří uchovávají e-mailové schránky zaměstnanců po skončení pracovního poměru, monitorují jejich komunikaci nebo si vyhrazují možnost zpětně získávat obsah e-mailů pro účely interního vyšetřování či soudních sporů.
Co bylo předmětem stížnosti?
Případ vznikl na základě stížností dvou bývalých zaměstnanců společnosti Piaggio. Oba byli propuštěni z důvodu závažného porušení pracovních povinností.
Zaměstnanci mimo jiné namítali, že společnost přistupovala k jejich firemním e-mailovým schránkám a získávala z nich e-mailové zprávy, které následně použila v rámci disciplinárního řízení.
V jednom případě se mělo jednat nejméně o 18 e-mailů, ve druhém dokonce o 94 e-mailů. Součástí komunikace byly podle zjištění úřadu také zprávy odesílané či přijímané prostřednictvím soukromé e-mailové schránky zaměstnance.
Piaggio argumentovalo zejména tím, že nešlo o systematické monitorování zaměstnanců, ale o tzv. defensive controls – tedy kontrolu provedenou až poté, co existovalo konkrétní podezření na protiprávní jednání zaměstnanců a jejímž cílem bylo chránit majetek společnosti.
Společnost zároveň tvrdila, že při získávání e-mailů použila předem stanovená klíčová slova, časové období a další filtry, aby rozsah kontroly minimalizovala. Samotné získání relevantních e-mailů navíc svěřila externímu zpracovateli podle čl. 28 GDPR.
Problémem nebyl pouze samotný přístup k e-mailům
Úřad však neposuzoval pouze konkrétní přístup k e-mailovým schránkám.
Významnou část případu představovala také dlouhodobá archivace firemní elektronické komunikace.
Piaggio původně stanovilo dobu uchování e-mailů zaměstnanců na pět let po skončení pracovního poměru. Společnost tuto dobu odůvodňovala mimo jiné potřebou chránit bezpečnost informací, zajistit kontinuitu činnosti a být schopna reagovat na případné právní nároky nebo soudní řízení.
Podle společnosti byla firemní e-mailová schránka nástrojem používaným zaměstnancem k výkonu práce, a proto bylo podle jejího názoru možné uchovávat e-maily po dobu pracovního poměru bez nutnosti uzavření dohody s odbory. Úřad s tímto přístupem nesouhlasil.
E-mail zaměstnance požívá ochrany i na pracovišti
Úřad zdůraznil, že obsah e-mailových zpráv, ale také metadata elektronické komunikace, jako jsou adresy odesílatele a příjemce, IP adresy, časy odeslání a přijetí, velikost zprávy či informace o přílohách, představují komunikaci chráněnou právem na soukromí. Tato ochrana podle Úřadu existuje i v pracovním prostředí.
Úřad přitom odkázal také na judikaturu Evropského soudu pro lidská práva, podle které se ochrana soukromého života podle čl. 8 Evropské úmluvy vztahuje rovněž na pracovní prostředí. Jako relevantní případy uvádí například Niemietz v. Germany, Copland v. United Kingdom a Barbulescu v. Romania.
To je důležitý aspekt rozhodnutí: skutečnost, že je e-mailová schránka zaměstnanci poskytnuta zaměstnavatelem a používána k pracovní komunikaci, neznamená, že zaměstnavatel získává neomezené právo kontrolovat nebo archivovat její obsah.
Uchovávání e-mailů může představovat kontrolu zaměstnance
Podle Úřadu umožňovalo nastavení systémů Piaggio zaměstnavateli zpětně rekonstruovat pracovní činnost zaměstnanců.
Společnost si ve své IT politice například vyhrazovala právo kontrolovat soubory a zprávy uložené v ICT systémech, a dokonce i některá již smazaná data, mimo jiné za účelem vyšetřování protiprávního jednání nebo uplatňování a obhajoby právních nároků.
Podle Úřadu takové nastavení překročilo hranice legitimního zpracování osobních údajů.
Úřad dovodil, že systematické shromažďování a uchovávání e-mailů a souvisejících logů může zaměstnavateli umožnit kontrolu činnosti zaměstnanců, a proto musí respektovat nejen GDPR, ale také specifická pravidla pracovního práva.
GDPR a italský zákoník práce se zde prolínají
Rozhodnutí je zajímavé také z hlediska vztahu GDPR a pracovního práva.
Úřad odkázal zejména na čl. 88 GDPR, který umožňuje členským státům přijmout specifičtější pravidla pro zpracování osobních údajů v pracovněprávním kontextu.
V Itálii je v této oblasti významný čl. 4 zákona č. 300/1970 (Statuto dei lavoratori), který upravuje podmínky, za nichž mohou být používány nástroje umožňující také kontrolu činnosti zaměstnanců.
Podle Úřadu jsou účely, pro které lze takové nástroje využívat, vymezeny taxativně – zejména jde o organizační a výrobní potřeby, bezpečnost práce a ochranu majetku zaměstnavatele. Za určitých okolností jsou navíc vyžadovány specifické procesní garance, například dohoda s odbory nebo povolení příslušného veřejného orgánu.
Samotná skutečnost, že zaměstnavatel sleduje legitimní cíl, proto ještě neznamená, že je zpracování osobních údajů automaticky zákonné.
Společnost změnila dobu uchování až v průběhu řízení
Zajímavé je, že Piaggio během řízení před Úřadem své postupy upravilo.
Původní doba uchování e-mailů po skončení pracovního poměru činila pět let. Společnost ji následně zkrátila na tři měsíce.
Úřad tuto změnu uvítal, současně však zdůraznil, že ani samotné zkrácení retenční doby neřeší všechny problémy.
Přístup k archivované komunikaci musí být nastaven tak, aby k ní zásadně nemohly přistupovat jiné osoby než samotný držitel schránky, s výjimkou situací, kdy zaměstnanec výslovně požádá o asistenci.
To znamená, že retence a přístupová oprávnění je nutné posuzovat jako dva samostatné aspekty compliance.
Krátká retenční doba sama o sobě neudělá nezákonné zpracování zákonným.
Ani ochrana práv zaměstnavatele není automatickou výjimkou
Piaggio argumentovalo také tím, že e-maily bývalých zaměstnanců představovaly důležité důkazní prostředky pro pracovněprávní spory a jejich smazání by mohlo ohrozit schopnost společnosti hájit se před soudem.
Tento argument však nevedl k závěru, že zaměstnavatel může preventivně uchovávat kompletní obsah e-mailové schránky po dlouhou dobu.
Právo na obhajobu právních nároků samozřejmě může představovat legitimní důvod pro zpracování osobních údajů. Neznamená však automatické oprávnění uchovávat veškerou komunikaci všech zaměstnanců po libovolně dlouhou dobu.
Zpracování musí být stále nezbytné, přiměřené a omezené na údaje relevantní pro konkrétní účel.
Pokuta 460 000 EUR
Úřad konstatoval porušení několika ustanovení GDPR, zejména zásad zákonnosti, účelového omezení, minimalizace údajů a omezení doby uchování podle čl. 5 odst. 1 GDPR. Dále konstatoval porušení čl. 6, 12, 13, 17 a 88 GDPR a příslušných ustanovení italského zákoníku ochrany osobních údajů.
Úřad považoval porušení za závažné, protože se dotýkalo základních principů zpracování osobních údajů, pravidel pro kontrolu zaměstnanců i jejich práv.
Výsledkem byla pokuta ve výši 460 000 EUR.
Při stanovení její výše Úřad zohlednil mimo jiné ekonomickou situaci společnosti, její obrat a skutečnost, že se nejednalo o subjekt s relevantní předchozí historií porušování obdobných povinností.
Kromě pokuty Úřad společnosti zakázal přístup k obsahu nezákonně shromážděných a uchovávaných dat týkajících se firemní e-mailové komunikace. Rozhodnutí má být rovněž zveřejněno na internetových stránkách Úřadu.
Co si z rozhodnutí mohou odnést zaměstnavatelé?
Rozhodnutí Úřad představuje důležité upozornění, že firemní e-mail není z pohledu GDPR „majetkem zaměstnavatele“, se kterým může zaměstnavatel nakládat bez omezení.
Zaměstnavatelé by měli zejména:
jasně stanovit dobu uchování firemních e-mailových schránek po skončení pracovního poměru;
oddělit běžnou provozní archivaci od archivace pro konkrétní právní nárok nebo spor;
minimalizovat rozsah uchovávaných e-mailů a logů;
přesně definovat, kdo může k e-mailové komunikaci přistupovat;
nastavit technická a organizační opatření zabraňující neoprávněnému přístupu;
transparentně informovat zaměstnance o zpracování jejich e-mailové komunikace;
před provedením interního vyšetřování posoudit jeho právní základ a přiměřenost;
zohlednit nejen GDPR, ale také příslušná pravidla pracovního práva týkající se monitorování zaměstnanců.
Závěr
Rozhodnutí Úřadu potvrzuje trend, který je relevantní pro zaměstnavatele v celé EU: možnost zaměstnavatele chránit své oprávněné zájmy, vyšetřovat protiprávní jednání nebo se bránit před soudem není neomezená.
Zvláštní pozornost je třeba věnovat e-mailovým schránkám zaměstnanců, protože jejich obsah i metadata mohou poskytovat velmi detailní obraz o pracovních aktivitách konkrétní osoby. Pokud zaměstnavatel nastaví systém tak, že umožňuje dlouhodobě uchovávat a zpětně prohledávat tuto komunikaci, může se dostat nejen do konfliktu se zásadou minimalizace a omezení doby uchování podle GDPR, ale také s pravidly upravujícími kontrolu zaměstnanců.
Případ Piaggio tak ukazuje, že GDPR compliance v oblasti pracovních e-mailů není pouze otázkou privacy policy nebo interního IT nastavení. Jde o oblast na pomezí ochrany osobních údajů, pracovního práva, kybernetické bezpečnosti a procesů pro interní vyšetřování.
