Controllo della posta elettronica aziendale: quali limiti per il datore

Il caso e perché conta

La domanda è ricorrente in azienda: l'email con dominio aziendale è uno strumento di lavoro, quindi il datore può leggerla liberamente? La risposta è no. La casella di posta è, al tempo stesso, uno strumento per rendere la prestazione e un canale che veicola dati personali del lavoratore. Per questo il controllo è consentito solo se rispetta le condizioni fissate dalla legge.

Il punto di equilibrio non è teorico. Un controllo effettuato fuori dalle regole può rendere inutilizzabili le prove poste a fondamento di un provvedimento disciplinare, con la conseguenza di annullare un licenziamento e di esporre l'azienda a un risarcimento per trattamento illecito dei dati.

Inquadramento normativo

La cornice è l'art. 4 della Legge n. 300/1970 (Statuto dei lavoratori), riformato dall'art. 23 del D.Lgs. n. 151/2015 (cosiddetto Jobs Act). La norma distingue due categorie.

Da un lato, gli strumenti di controllo a distanza dell'attività lavorativa (comma 1): sono ammessi solo per esigenze organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale, previo accordo sindacale o autorizzazione dell'Ispettorato del lavoro.

Dall'altro, gli strumenti utilizzati per rendere la prestazione lavorativa (comma 2), tra cui rientra tipicamente l'email aziendale: qui non serve l'accordo sindacale, ma resta una condizione essenziale. Le informazioni raccolte sono utilizzabili — anche a fini disciplinari — solo se al lavoratore è stata data adeguata informazione sulle modalità d'uso degli strumenti e sull'esecuzione dei controlli, nel rispetto della normativa privacy (comma 3).

Su quest'ultimo versante interviene il GDPR (Regolamento UE 2016/679): il trattamento dei dati del dipendente richiede una base giuridica, un'informativa chiara, principi di minimizzazione e proporzionalità. Sul piano sovranazionale, la Corte europea dei diritti dell'uomo, con la nota decisione della Grande Camera nel caso *Bărbulescu c. Romania* (2017), ha affermato che il monitoraggio delle comunicazioni del lavoratore deve essere preceduto da un'informativa preventiva ed essere proporzionato allo scopo. La Cassazione, in materia, ha nel tempo consolidato la distinzione tra sorveglianza dell'attività e cosiddetti controlli difensivi.

Controlli difensivi: una precisazione necessaria

È il punto più delicato. I controlli difensivi *in senso stretto* sono quelli diretti ad accertare condotte illecite del lavoratore già in atto o sospettate — non a sorvegliare in via generale come questi svolge la prestazione. La giurisprudenza di legittimità ha chiarito che restano sottratti al perimetro dell'art. 4, ma solo quando siano mirati, successivi al fondato sospetto dell'illecito e non traducano un monitoraggio massivo e preventivo dell'attività lavorativa.

La differenza è sostanziale: leggere retrospettivamente una casella per verificare un ammanco già emerso è cosa diversa dal monitorare in modo continuativo tutte le email di un dipendente. Il primo può reggere; il secondo, senza informativa e presupposti, no.

Implicazioni pratiche per l'azienda

Per il datore di lavoro il messaggio è netto: la legittimità del controllo si costruisce *prima*, non dopo. Senza un regolamento aziendale che disciplini l'uso della posta e senza informativa privacy, le prove raccolte rischiano di essere dichiarate inutilizzabili in giudizio. Con effetti a cascata: il licenziamento fondato su quelle prove può cadere, e il trattamento illecito può generare responsabilità risarcitoria autonoma.

Per il dipendente, la tutela ruota attorno alla trasparenza: ha diritto di sapere in anticipo se e come la sua casella può essere controllata.

Cosa fare in concreto

1. Adottate un regolamento aziendale scritto sull'uso di email e strumenti informatici, distinguendo utilizzo lavorativo e personale.
2. Consegnate un'informativa privacy specifica sui controlli, indicando finalità, modalità, tempi di conservazione e soggetti autorizzati all'accesso.
3. Coinvolgete l'ufficio IT nella definizione di procedure tracciabili: chi accede, quando, con quale autorizzazione e per quale finalità.
4. Limitate l'accesso ai casi necessari e proporzionati, evitando il monitoraggio massivo e preventivo delle comunicazioni.
5. Documentate ogni verifica difensiva, ancorandola a un sospetto concreto e circostanziato, non a una sorveglianza generalizzata.

Un equilibrio da presidiare

Il controllo della posta aziendale non è vietato, ma è un potere condizionato. Regole chiare, informativa preventiva e proporzionalità sono le tre leve che rendono utilizzabile ciò che si raccoglie. Consigliamo di rivedere per tempo policy e informative: intervenire dopo un contenzioso, quasi sempre, è troppo tardi.

Contributo informativo a cura di Tamburro & Partners Avvocati - Avv. Giuseppe Tamburro. Non costituisce parere legale.