Sim, isso é possível (até mesmo trivial para alguém com um administrador de domínio ou conta de gerenciamento da organização) para ler o e-mail de outra pessoa e, como mencionado nos comentários, há tantas maneiras de fazer isso que não há como eliminar ou acompanhá-lo.
A solução padrão é habilitar a auditoria em contas com privilégios elevados, para que você possa ver (por exemplo) em quais caixas de correio uma conta de gerenciamento da organização se conecta, mas isso só detecta a espionagem feita dessa maneira. Um administrador de domínio sempre poderia bisbilhotar por meio do compartilhamento administrativo na máquina cliente (ou de várias outras maneiras na máquina cliente), um administrador de rede poderia sempre farejar o tráfego nos comutadores, etc. e, francamente, habilitar todo o registro de auditoria necessário para detectar isso não é remotamente viável.
Usar log de auditoria em contas de alto acesso, juntamente com criptografia de email (como PGP) fornece uma solução muito boa, mas acaba criando problemas quando você precisa confiar em alguém com as chaves de criptografia (ou confiar nos usuários para mantê-los seguro e backup, que nunca funciona) e confiar em alguém com os logs de auditoria de qualquer maneira - eles não fazem muito bem quando o mesmo administrador (s) que pode estar bisbilhotando seu e-mail também administra (e pode alterar) os logs de auditoria. E, novamente, há outras maneiras de fazer isso também, que não serão capturadas pelo registro de auditoria padrão.
Com o e-mail em particular, o problema é que os dados não são criptografados o tempo todo, então é mais como um cartão postal do que um e-mail. Há um grande número de pessoas na internet que poderiam estar lendo seu e-mail como está indo do sistema de origem para o sistema de destino também, então se houver algo importante ou confidencial, você não deve se comunicar por e-mail em primeiro lugar, pelo menos sem usar alguma criptografia.
É possível configurar um sistema para solucionar todos esses problemas, mas é muito caro e difícil de manter. Portanto, a melhor solução é ter administradores nos quais você confia. É da natureza de um administrador ou conta raiz que eles podem fazer qualquer coisa nos computadores em que eles têm esse nível de acesso. Se você não pode confiar nas pessoas com essas contas, você tem um problema fundamental.
Não é realmente diferente de, digamos, confiar no seu pessoal de RH. Como você sabe que eles não estão lendo seu arquivo pessoal e rindo sobre as alegações médicas / de benefícios que você colocou? Você não - o mesmo negócio com seu pessoal de TI. Se você não pode confiar neles, você tem um problema com seu pessoal ou um problema fundamental que pode ser resumido como "problemas de confiança".