Il controllo della posta elettronica privata del dipendente. Limiti, condizioni e inutilizzabilità delle prove

Nell’era digitale il confine tra vita professionale e sfera personale è sempre più poroso. L’utilizzo di dispositivi aziendali per accedere a servizi privati – come account di posta

elettronica personali – pone interrogativi delicati: il datore di lavoro può controllare l’e-mail privata del dipendente? E, soprattutto, può utilizzare eventuali messaggi acquisiti in un giudizio disciplinare o civile? La risposta, alla luce del quadro normativo interno ed europeo e della più recente giurisprudenza di legittimità, è netta: il controllo della posta elettronica privata è, di regola, vietato. Le eventuali prove raccolte in violazione delle regole sulla protezione dei dati personali e sulla segretezza della corrispondenza sono, in linea di principio, inutilizzabili. Il lavoratore, anche quando utilizza strumenti aziendali, resta titolare dei diritti fondamentali alla riservatezza e alla segretezza della corrispondenza. Sul piano costituzionale, rilevano: l’art. 15 Cost. (libertà e segretezza della corrispondenza) e l’art. 2 Cost. (diritti inviolabili della persona). Sul piano sovranazionale, la tutela trova fondamento nell’art. 8 della Convenzione europea dei diritti dell'uomo, che garantisce il diritto al rispetto della vita privata e della corrispondenza. La Grande Camera della Corte europea dei diritti dell'uomo, nella sentenza Bărbulescu c. Romania, ha affermato un principio cardine: anche nel contesto lavorativo, il monitoraggio delle comunicazioni elettroniche del dipendente deve rispettare criteri stringenti di trasparenza, necessità e proporzionalità. In quel caso, il licenziamento fondato su chat private monitorate senza adeguata informazione preventiva è stato ritenuto in violazione dell’art. 8 CEDU. La giurisprudenza italiana – inclusa la Corte di Cassazione – richiama costantemente tali principi, recependoli nell’interpretazione della normativa interna.

Account personali e strumenti aziendali. Occorre distinguere con precisione tra: account di posta aziendali (assegnati dal datore di lavoro) e account personali (Gmail, Outlook, ecc.), protetti da credenziali individuali. L’accesso a un account personale, ancorché effettuato tramite PC aziendale, non ne muta la natura: si tratta di corrispondenza privata, coperta dalle garanzie costituzionali e convenzionali. Il datore di lavoro non può accedervi liberamente, nemmeno in presenza di sospetti generici. Il semplice fatto che il dispositivo sia di proprietà dell’impresa non legittima un controllo invasivo sulle comunicazioni personali del dipendente.

Lo Statuto dei Lavoratori e il GDPR. a) L’art. 4 dello Statuto dei Lavoratori. Il fulcro della disciplina interna è l’art. 4 della Legge 20 maggio 1970, n. 300, come modificato dal d.lgs. 151/2015. La norma vieta controlli a distanza finalizzati alla sorveglianza dell’attività lavorativa, consente l’utilizzo di strumenti dai quali possa derivare anche un controllo (es. PC, smartphone aziendali), ma subordina la legittimità dei controlli al rispetto di precise condizioni; impone che il lavoratore riceva adeguata informazione sulle modalità d’uso degli strumenti e sui controlli effettuabili. I dati raccolti in violazione di tali condizioni non sono utilizzabili a fini disciplinari. b) La protezione dei dati personali. Sul piano della protezione dati, trovano applicazione il Regolamento (UE) 2016/679 e il d.lgs. 30 giugno 2003, n. 196 (come modificato dal d.lgs. 101/2018). Il trattamento dei dati dei dipendenti deve rispettare i principi di liceità, correttezza e trasparenza; +limitazione della finalità;

minimizzazione dei dati; proporzionalità e limitazione della conservazione. In ambito lavorativo, il Garante per la protezione dei dati personali ha più volte ribadito che i controlli devono essere configurati in modo da non realizzare forme di sorveglianza generalizzata e indiscriminata.

La necessità di una policy aziendale chiara e preventiva. Elemento imprescindibile è la preventiva informativa al lavoratore. Una policy aziendale conforme deve indicare in modo dettagliato le modalità di utilizzo consentite degli strumenti informatici, l’eventuale divieto o limitazione dell’uso personale, le finalità dei controlli, le modalità tecniche del monitoraggio e i tempi di conservazione dei dati. In assenza di una informativa preventiva e specifica, il controllo è, con elevata probabilità, illecito. Il principio di trasparenza, valorizzato anche nella sentenza Bărbulescu, impone che il lavoratore sia messo in condizione di prevedere le conseguenze dell’uso degli strumenti aziendali. Anche in presenza di una policy legittima, non sono consentiti controlli generalizzati o “a strascico”. La giurisprudenza di legittimità ha elaborato la categoria dei “controlli difensivi”, ammissibili solo a determinate condizioni🡪 esistenza di un fondato sospetto di illecito; controllo successivo all’insorgere del sospetto; intervento mirato su specifiche persone o condotte e rispetto del criterio di proporzionalità. La Corte di Cassazione, con la sentenza n. 18168/2023, ha ribadito che i controlli devono essere circoscritti e non possono tradursi in una sorveglianza preventiva e generalizzata dell’attività dei lavoratori.

È dunque illegittimo, ad esempio, monitorare sistematicamente la posta elettronica di tutti i dipendenti nella speranza di individuare eventuali comportamenti scorretti.

Inutilizzabilità delle prove raccolte illecitamente. Il profilo forse più rilevante, sul piano pratico, è quello probatorio. La giurisprudenza ha affermato che i dati acquisiti in violazione dell’art. 4 dello Statuto dei Lavoratori e della normativa privacy non possono essere utilizzati per fondare sanzioni disciplinari, licenziamenti e azioni civili per risarcimento danni o concorrenza sleale (art. 2105 c.c.). La Corte di Cassazione, con la sentenza n. 24204/2025, ha confermato l’inutilizzabilità di elementi probatori ottenuti mediante controlli non conformi ai requisiti di legge, ribadendo che il rispetto delle garanzie procedurali è condizione imprescindibile per la validità dell’azione disciplinare o giudiziaria. Il principio è chiaro: anche una prova “vera” diventa giuridicamente irrilevante se acquisita in modo illecito.

Obbligo di fedeltà e limiti alla reazione datoriale. L’art. 2105 c.c. impone al lavoratore l’obbligo di fedeltà, vietando atti di concorrenza e divulgazione di notizie riservate. Tuttavia, la tutela dell’interesse imprenditoriale non può realizzarsi sacrificando diritti fondamentali in modo indiscriminato. Il bilanciamento tra libertà d’impresa (art. 41 Cost.) e diritto alla riservatezza e alla segretezza della corrispondenza, deve avvenire secondo criteri di stretta necessità e proporzionalità, come imposto dalla normativa europea e nazionale.

Concludendo, il datore di lavoro non può “spiare” l’e-mail personale del dipendente solo perché nutre un sospetto o perché il lavoratore utilizza un dispositivo aziendale. Perché un controllo sia lecito occorrono una policy preventiva, chiara e trasparente, un fondato sospetto (nei casi di controllo difensivo), il rispetto rigoroso dei principi di proporzionalità e minimizzazione e la conformità all’art. 4 dello Statuto dei Lavoratori e alla normativa privacy. In caso contrario, i dati raccolti sono inutilizzabili e l’eventuale provvedimento disciplinare o l’azione giudiziaria vengono facilmente travolti

Conoscere i propri diritti è importante ma, ancora di più, è esercitarli nel modo corretto. I dirigenti di Azione Sindacale Udine garantiscono ai propri iscritti una tutela gratuita, qualificata e tempi di attesa che non superano, nella peggiore delle ipotesi, le 48 ore. 

• puoi chiamarci: Linea mobile 351-6688108

• contattarci via e-mail: azionesindacale.fvg@gmail.com