Controlli difensivi sulla posta elettronica aziendale: privacy, fondato sospetto e utilizzabilità dei dati
24 Luglio 2026
Massima Il datore di lavoro può accedere alla posta elettronica aziendale del dipendente quando - in presenza di un fondato sospetto di una specifica condotta illecita - il controllo sia mirato, delimitato attraverso parole chiave e intervalli temporali e rispettoso dei principi di necessità, pertinenza e proporzionalità. L’illiceità del sistema generale di conservazione dei log e della corrispondenza non determina automaticamente l’inutilizzabilità delle singole e-mail successivamente individuate mediante un’indagine difensiva circoscritta. Restano comunque inutilizzabili le sole comunicazioni anteriori all’accettazione di un’adeguata policy aziendale. Il caso Una lavoratrice aziendale di lungo corso veniva licenziata per giusta causa. Tutto originava dalla scoperta che il figlio, appena diciottenne, aveva fatto parte del consiglio di amministrazione di una società fornitrice fin dal marzo 2021: circostanza comunicata dalla lavoratrice alla propria responsabile soltanto il 20 settembre 2022, a carica ormai cessata. Da quel momento sorgeva nel datore il fondato sospetto di un conflitto di interessi. Dopo prime verifiche documentali (per es. camerali) la società disponeva un controllo sulla casella email aziendale, deliberato all’esito di un incontro tra il Lead Independent Director, quale rappresentante del titolare del trattamento, e il DPO – che rendeva parere positivo – e un previo test di bilanciamento, ai sensi del GDPR, tra il legittimo interesse datoriale all’accertamento (ritenuto prevalente) e i diritti degli interessati. L’estrazione dei dati, affidata all’amministratore di sistema e a un fornitore IT nominato responsabile del trattamento, avveniva sul server di backup mediante poche parole chiave riferite alle società coinvolte ed era circoscritta al periodo aprile 2020 - novembre 2022. La ricerca restituiva circa cento messaggi, i quali venivano posti dall'azienda a fondamento della contestazione disciplinare per dimostrare un coinvolgimento diretto, non occasionale e in aperto conflitto di interessi, della dipendente/interessata nella gestione della fornitrice. A livello di documentazione aziendale risultava frattanto che la lavoratrice avesse accettato formalmente, tramite procedura telematica, le aggiornate policy informatiche sull'uso della strumentazione solo dal 18 ottobre 2021. La dipendente impugnava il proprio licenziamento ritenuto illecito, deducendone la ritorsività e, soprattutto, l’illegittimità del controllo: controllo a suo avviso massivo, retrospettivo e non preceduto da adeguata informazione, quindi contrario all’art. 4 Stat. Lav. e alla disciplina di protezione dei dati personali (Reg. UE 2016/679 e d.lgs. n. 196/2003) - con conseguente inutilizzabilità della corrispondenza acquisita. Sui reclami presentati dalla lavoratrice il Garante privacy notificava intanto alla società la violazione e avviava un procedimento sanzionatorio, rilevando profili di illiceità “strutturale” della prassi aziendale di data retention: conservazione sistematica dei log di accesso per sei mesi e dell’intera corrispondenza e-mail fino a cinque anni dopo la cessazione del rapporto, non trasparentemente comunicata ai dipendenti, in violazione del principio di minimizzazione e – per carenza di accordo sindacale o autorizzazione pubblica – dell’art. 4 Stat. Lav. Il rilievo investiva dunque il sistema di conservazione in sé, a monte del singolo controllo difensivo. La questione La decisione pone tre questioni principali:
Le soluzioni giuridiche Circa il primo profilo, è noto che l’art. 4 Stat. Lav. distingue gli strumenti dai quali possa derivare un controllo a distanza, soggetti ad accordo sindacale o autorizzazione amministrativa, dagli strumenti utilizzati per rendere la prestazione lavorativa. Le informazioni ricavate da tali ultimi strumenti di lavoro sono utilizzabili a fini disciplinari soltanto quando il lavoratore abbia ricevuto un’adeguata informazione sulle modalità d’uso e di controllo e sia rispettata la disciplina sulla protezione dei dati. La giurisprudenza pacificamente ammette i controlli difensivi in senso stretto, rivolti non al controllo della normale attività lavorativa, come appena precisato, bensì a specifici illeciti attribuibili a singoli dipendenti (ex multis Cass. civ., sez. lav., nn. 25732/2021, Cass. 34092/2021, Cass. 18168/2023, Cass. 7514/2026; nella giurisprudenza europea, cfr. CEDU, Bărbulescu c. Romania, 2017). Sono però ritenuti necessari requisiti come un fondato sospetto, un controllo mirato e un corretto bilanciamento tra tutela dell’impresa e dignità nonché riservatezza delle comunicazioni del lavoratore. Nel caso in esame il sospetto derivava dalla tardiva comunicazione della carica ricoperta dal figlio e dai collegamenti societari emersi dalle visure. Il Tribunale riteneva tali circostanze sufficienti a giustificare un approfondimento da parte della società, considerando proporzionata la ricerca per parole chiave sul materiale archiviato. Appare pertanto condivisibile l’esclusione di un controllo “indiscriminato” nel caso di specie, come ritenuto dal Tribunale: l’indagine riguardava una sola lavoratrice, poche parole chiave e un numero limitato di messaggi. Anche il coinvolgimento del DPO e il documentato test di bilanciamento costituiscono elementi organizzativi con valenza positiva, in chiave di accountability GDPR, pur non avendo efficacia autorizzatoria o sanante. Quanto al requisito della dovuta informazione alla sottoposta sui possibili controlli, il Tribunale escludeva l’idoneità di alcuni documenti generici sottoscritti dalla lavoratrice nel 2008 e nel 2018, poiché non descrivevano modalità, limiti e tempi dei controlli. Soltanto la successiva policy aziendale, accettata telematicamente il 18 ottobre 2021 dalla lavoratrice per presa visione, è stata ritenuta sufficientemente precisa e contestualizzata: da tale data – e non dall’insorgenza del fondato sospetto – il Tribunale fa decorrere l’utilizzabilità dei messaggi. Si badi che l’informazione preventiva rappresenta però una condizione necessaria ma non sufficiente: una policy non rende lecita qualsiasi raccolta o conservazione, devono comunque essere rispettati i principi di finalità, minimizzazione e limitazione della conservazione previsti dall’art. 5 GDPR. Sul secondo punto, circa il rapporto tra l'illiceità della conservazione (data retention) e l'utilizzabilità della prova nel processo, la pronuncia impone di distinguere il piano della violazione amministrativa e strutturale da quello della validità probatoria nel rito giuslavoristico. La questione consiste nello stabilire se una ricerca informatica mirata (come quella condotta tramite alcune parole chiave) ed effettuata ex post possa rendere utilizzabili specifiche e-mail, anche se queste sono state prelevate da un sistema aziendale di conservazione massiva giudicato illecito dal Garante Privacy (per violazione del principio di minimizzazione e per assenza di accordo sindacale ex art. 4 Stat. Lav.). Secondo la decisione in esame l'illiceità del sistema generale di conservazione non inficia l'utilizzabilità dei documenti informatici acquisiti, poiché l'operazione di accesso è stata giustificata da un sospetto specifico e qualificato. Infine circa il terzo punto - il limite temporale per l’acquisizione e l’utilizzabilità dei dati nell'ambito del controllo difensivo - la questione verte sull'esatta individuazione dello spartiacque che rende lecita (e utilizzabile) l'acquisizione delle prove informatiche. Sotto questo profilo emerge una netta divergenza tra la teoria della giurisprudenza di legittimità e la pratica del giudice di merito: per i giudici di legittimità lo spartiacque è l’insorgenza del fondato sospetto, i controlli difensivi sono leciti “sempre che il controllo riguardi dati acquisiti successivamente all’insorgere del sospetto” (Cass. n. 25732/2021); il datore deve allegare e provare quel momento e non può rendere retroattivamente lecita una raccolta anteriore e generalizzata (Cass. n. 18168/2023); né la successiva estrazione mirata sana l’acquisizione originaria (Cass. n. 7514/2026, pure richiamata dalla sentenza in commento). Il limite temporale riguarda dunque l’acquisizione, non la consultazione. Il Tribunale muove invece dallo spartiacque dell’informativa aziendale idonea e comunicata alla dipendente: ritiene utilizzabili e-mail del dicembre 2021 e del gennaio 2022, successive alla policy del 18 ottobre 2021 ma anteriori al sospetto sorto nel settembre 2022, finendo così per sostituire al requisito del fondato sospetto quello – distinto – dell’informazione preventiva. Molto dipende, peraltro, dalla nozione di “acquisizione”: se i messaggi erano semplicemente rimasti archiviati nella casella assegnata alla lavoratrice allora si potrebbe sostenere che l’acquisizione datoriale sia avvenuta soltanto al momento dell’estrazione; se invece erano stati duplicati e trattenuti in un archivio separato per anni, il trattamento rilevante era già avvenuto. Oltretutto nel ricostruire l'infedeltà della lavoratrice il Tribunale cita apertamente e utilizza come prova a suo carico un’e-mail risalente al 23 giugno 2021 (relativa a un invito a Barcellona da parte di Logtravi Italia s.r.l.), violando palesemente il limite temporale di inutilizzabilità appena imposto dallo stesso giudicante (il 18 ottobre 2021). Osservazioni La motivazione non chiarisce pienamente come sia stato gestito il funzionamento tecnico del sistema di backup, profilo che sarebbe stato decisivo per stabilire se il datore abbia consultato dati fisiologicamente presenti nello strumento o utilizzato un archivio storico formatosi mediante una conservazione sproporzionata. La sentenza ha comunque il merito di evitare l’automatismo per cui ogni irregolarità privacy renderebbe inutilizzabile qualsiasi documento aziendale, esito che paralizzerebbe l’accertamento di condotte gravemente infedeli per fini disciplinari-civilistici. Rischia però l’automatismo opposto: degradare l’illiceità della conservazione a mera violazione amministrativa, priva di effetti sul piano probatorio. Se bastasse attendere un sospetto per esplorare retrospettivamente un archivio potenzialmente illimitato, il datore avrebbe interesse a conservare ogni comunicazione, accettando la sanzione in cambio di una permanente riserva probatoria. Il requisito della posteriorità serve proprio a impedire tale strategia: il fondato sospetto giustifica l’indagine e, insieme, ne delimita il perimetro temporale. La liceità del controllo va quindi valutata sull’intera catena del trattamento – dalla conservazione all’estrazione e all’utilizzazione –, verificando finalità e durata del backup, così che uno strumento di continuità operativa non si trasformi in archivio investigativo permanente. La disponibilità tecnica del dato non deve coincidere con la sua disponibilità giuridica. Sul piano operativo ciò impone policy trasparenti per i lavoratori, tempi di conservazione differenziati per finalità e indagini difensive ben documentate (con data e ragioni del sospetto, parole chiave ricercate, periodo esaminato, ecc.). Il punto più critico resta l’avere assunto come dirimente la data della policy sottoscritta dalla lavoratrice, anziché quella del fondato sospetto. Alla luce dell’orientamento più rigoroso e piuttosto consolidato della Cassazione (Cass. n. 25732/2021, Cass. 18168/2023 e Cass. 7514/2026), l’utilizzabilità dovrebbe dipendere dalla liceità dell’intera catena che ha reso il dato disponibile. Pertanto l’eventuale impugnazione in appello della sentenza de quo potrebbe riallineare il giudicato con l’indirizzo consolidato di Cassazione. Il testo della pronuncia sarà disponibile a breve Riferimenti A.Topo, Controlli difensivi "in senso stretto" e utilizzo delle prove raccolte dal datore di lavoro, in Labor, 2/2025, pp. 204-216 G. Craca, I controlli a distanza: la tutela del patrimonio aziendale e le misure a tutela della persona del lavoratore, in Il Lavoro nella giurisprudenza, 1/2025, pp. 32-40 M. Capece, Controlli difensivi: illegittimo il licenziamento basato su dati acquisiti antecedentemente all'insorgere del sospetto, in Il Lavoro nella giurisprudenza, 10/2025, pp. 917-922 A. Sitzia, Sull'utilizzabilità in giudizio di documenti ottenuti in violazione della “privacy”, in Il Lavoro nella giurisprudenza, 7/2024, pp. 713-721 M. Peruzzi, Controlli investigativi, violazione della normativa sulla privacy e inutilizzabilità dei dati in giudizio, in Rivista giuridica del lavoro e della previdenza sociale, 2/2024, 2, pp. 162-169 P. Tullini (a cura di), Controlli a distanza e tutela dei dati personali del lavoratore, Torino, 2017. |
