Controllo delle email aziendali: tra privacy e controlli difensivi del datore

Il caso

Il Garante per la protezione dei dati personali ha irrogato una sanzione a Piaggio per aver acceduto, senza adeguate garanzie, alla casella di posta elettronica aziendale di un dipendente sospettato di condotte infedeli. Il punto fermo dell'Autorità è netto: la casella assegnata al lavoratore è un dato personale, e come tale gode di tutela anche quando il dominio e l'account sono di proprietà aziendale.

Sullo sfondo, un orientamento giurisprudenziale non allineato. Il Tribunale di Pisa e la Corte d'Appello di Torino hanno riconosciuto la legittimità dei cosiddetti controlli difensivi, cioè le verifiche mirate a reprimere illeciti già sospettati del dipendente. Il risultato è un quadro in cui lecito sul piano del lavoro e lecito sul piano privacy non sempre coincidono.

Inquadramento normativo

La cornice è data dall'art. 4 dello Statuto dei lavoratori (legge 300/1970), come riformato dal d.lgs. 151/2015. La norma distingue tra strumenti di controllo a distanza (impianti e apparecchiature) e strumenti "di lavoro" assegnati al dipendente. Per i primi serve accordo sindacale o autorizzazione dell'Ispettorato; per i secondi il controllo è ammesso, ma solo a condizione che il lavoratore sia stato adeguatamente informato sulle modalità d'uso e di controllo.

Qui si innesta la normativa sulla protezione dei dati: il GDPR (Regolamento UE 2016/679) e il Codice Privacy (d.lgs. 196/2003). Anche quando il controllo è astrattamente consentito dall'art. 4, il trattamento dei dati deve rispettare i principi di liceità, minimizzazione e proporzionalità. In altre parole: non basta che il sospetto sia fondato, serve che l'accesso sia il mezzo meno invasivo e sia preceduto da un'informativa chiara.

Il "controllo difensivo" riconosciuto dalla giurisprudenza (in particolare Cassazione, sez. lavoro, con l'orientamento del 2022-2023) resta ammesso per accertare condotte illecite già sospettate, ma non autorizza un monitoraggio generalizzato e preventivo. È una deroga stretta, non una licenza.

Implicazioni pratiche

Per il datore di lavoro la lezione è duplice. Vincere davanti al giudice del lavoro, ottenendo la validità di un licenziamento fondato su prove tratte dalle email, non mette al riparo dalla sanzione del Garante. Sono due binari distinti, con autorità e parametri diversi.

Il rischio economico non è trascurabile: le sanzioni privacy possono raggiungere soglie elevate, a cui si aggiunge il possibile risarcimento al dipendente e l'inutilizzabilità probatoria dei dati acquisiti in modo illecito.

Per il lavoratore, la pronuncia conferma che l'account aziendale non è una zona franca a disposizione del datore. Il diritto alla riservatezza non si annulla con la sottoscrizione del contratto, ma può essere compresso solo entro limiti precisi e conoscibili in anticipo.

Cosa fare in concreto

• Adotta un disciplinare chiaro. Redigi una policy sull'uso degli strumenti informatici che indichi in modo esplicito tempi, modalità e finalità dei controlli, e consegnala al dipendente prima dell'assunzione o dell'assegnazione dell'account.

• Informa prima di controllare. Verifica che l'informativa privacy sia completa e aggiornata. Un controllo non preceduto da informazione adeguata è vulnerabile sia sul piano giuslavoristico sia su quello privacy.

• Limita l'accesso al necessario. Applica il principio di minimizzazione: accedi solo ai dati pertinenti al sospetto specifico, per un arco temporale definito, evitando acquisizioni massive della corrispondenza.

• Documenta la proporzionalità. Prima di procedere, metti per iscritto perché il controllo è necessario e perché non esistono alternative meno invasive. Questa motivazione sarà decisiva in caso di contestazione.

• Coordina legale del lavoro e DPO. Consigliamo di non affrontare il controllo difensivo come questione puramente giuslavoristica: il parallelo profilo privacy va valutato contestualmente, prima dell'accesso, non dopo.

Il caso Piaggio segnala un punto di equilibrio ancora instabile. Chi gestisce rapporti di lavoro deve muoversi tenendo insieme due normative che non parlano sempre la stessa lingua.

---

*Contributo informativo a cura di Tamburro & Partners - Avv. Giuseppe Tamburro. Non costituisce parere legale.*