Sintesi
Il rapporto di lavoro era iniziato nel 1994. Dopo avere scoperto che la dipendente aveva taciuto per oltre 1 anno il ruolo assunto dal figlio in una società fornitrice, l’azienda effettuò verifiche camerali e controlli circoscritti sulla posta elettronica, contestandole un conflitto d’interessi e licenziandola per giusta causa nel marzo 2023. La lavoratrice impugnò il provvedimento e presentò reclamo al Garante, contestando la conservazione prolungata dei dati e l’assenza delle garanzie preventive. Nel giugno 2024 l’Autorità precisò i limiti applicabili alla raccolta dei metadati della posta aziendale. Nel gennaio 2025 la Cassazione ribadì che i controlli difensivi non possono utilizzare informazioni anteriori alla nascita del fondato sospetto. Con una decisione del 13 giugno 2026 pubblicata il 15, il Tribunale di Pisa ha respinto il ricorso, distinguendo la possibile irregolarità amministrativa della conservazione massiva dei dati dall’utilizzabilità processuale delle prove estratte con una ricerca successiva, mirata e proporzionata. La pronuncia rafforza la possibilità di accertare condotte infedeli mediante gli strumenti aziendali, ma lascia aperto il confronto con l’indirizzo più restrittivo della giurisprudenza di legittimità.
Articolo
La disciplina dei controlli tecnologici sul lavoro trae origine dall’articolo 4 della legge 20 maggio 1970, n. 300, conosciuta come Statuto dei lavoratori. La formulazione iniziale rispondeva a una realtà produttiva dominata da impianti audiovisivi e dispositivi meccanici, molto diversa dall’attuale organizzazione digitale. Il decreto legislativo 14 settembre 2015, n. 151, ha aggiornato la norma stabilendo che gli strumenti dai quali può derivare un controllo a distanza devono essere giustificati da esigenze organizzative, produttive, di sicurezza o di tutela del patrimonio e, di regola, richiedono un accordo sindacale oppure un’autorizzazione amministrativa. Il comma 2 esclude da questa procedura gli apparecchi indispensabili per svolgere la prestazione e quelli che registrano accessi e presenze. Il comma 3 consente di utilizzare le informazioni raccolte nel rapporto di lavoro soltanto quando il dipendente sia stato adeguatamente informato sulle modalità d’uso degli strumenti e sulle possibili verifiche, nel rispetto della disciplina sulla protezione dei dati.
La tutela della corrispondenza elettronica era già stata approfondita nelle linee guida del 1° marzo 2007, che escludono letture sistematiche e registrazioni indiscriminate dei messaggi o dei relativi dati tecnici. Nel 2017 la Corte europea dei diritti dell’uomo ha inoltre affermato che il controllo delle comunicazioni professionali deve essere trasparente, necessario e proporzionato, valutando l’estensione del monitoraggio, le ragioni che lo giustificano e la presenza di strumenti meno invasivi. L’assegnazione di una casella aziendale non elimina, quindi, ogni aspettativa di riservatezza del lavoratore, neppure quando il dispositivo e l’indirizzo appartengono al datore.
Un passaggio decisivo è rappresentato dal documento adottato il 6 giugno 2024 dal Garante per la protezione dei dati personali. L’atto riguarda principalmente i metadati, cioè le informazioni tecniche contenute nei log (registri informatici), come mittente, destinatario, indirizzi di rete, orari, dimensione del messaggio e presenza di allegati. Questi elementi non devono essere confusi con il testo delle e-mail (posta elettronica), che resta parte della corrispondenza conservata nella casella. Per assicurare il normale funzionamento e la sicurezza del servizio, l’Autorità indica come riferimento una conservazione limitata a pochi giorni e orientativamente non superiore a 21 giorni. Un periodo più ampio deve essere motivato da particolari condizioni tecniche o organizzative, mentre la raccolta generalizzata e prolungata, se capace di permettere un controllo indiretto dei dipendenti, può richiedere le garanzie preventive previste dal comma 1. Lo stesso documento precisa, però, di avere natura orientativa e di non introdurre nuovi adempimenti autonomi.
La Corte di Cassazione ha costruito negli ultimi anni una distinzione tra verifiche ordinarie sull’attività lavorativa e controlli difensivi in senso stretto, rivolti ad accertare uno specifico illecito lesivo dei beni aziendali. Con la sentenza n. 18168 del 26 giugno 2023 ha escluso la legittimità di un’indagine ampia, priva di limiti temporali, fondata su sospetti non dimostrati e svolta senza un’adeguata informazione preventiva. L’ordinanza n. 807 del 13 gennaio 2025 ha aggiunto un vincolo ancora più rigoroso: prima devono emergere elementi concreti capaci di generare il sospetto e soltanto dopo può iniziare il controllo. Le informazioni raccolte o conservate prima dell’alert (segnalazione automatica) non possono essere recuperate retroattivamente e utilizzate per giustificare il licenziamento, secondo l’impostazione seguita in quella controversia.
La vicenda pisana nasce da una situazione differente. La dipendente, in servizio da circa 30 anni e addetta alla fatturazione attiva, avrebbe omesso per oltre 1 anno di comunicare che il figlio aveva assunto una posizione di vertice all’interno di una rilevante impresa fornitrice. La notizia emerse casualmente durante un colloquio con il compagno della lavoratrice, anch’egli occupato nella stessa organizzazione. Le successive visure mostrarono non soltanto il ruolo familiare, ma anche rapporti con una società fiduciaria e la partecipazione della ricorrente a un’assemblea del fornitore come delegata dotata del diritto di voto. Questi elementi furono considerati sufficienti a far nascere un fondato sospetto di opacità e di possibile conflitto d’interessi.
Soltanto dopo queste verifiche l’impresa estese l’accertamento alla casella professionale. La ricerca non avrebbe interessato indistintamente l’intero archivio, ma sarebbe stata condotta con parole chiave e criteri selettivi collegati alle persone, alle società e ai fatti già individuati. Il giudice ha qualificato questa attività come controllo difensivo ex post (successivo alla nascita del sospetto), ritenendola circoscritta, proporzionata e diretta a documentare un comportamento illecito già ipotizzato. Ha inoltre valorizzato l’accettazione telematica, da parte della dipendente, delle regole interne sull’impiego dei sistemi informatici e sulla possibilità di effettuare controlli.
La decisione del Tribunale di Pisa, iscritta al registro generale n. 1353/2023, risulta sottoscritta il 13 giugno 2026 e pubblicata 2 giorni dopo come sentenza n. 800. Il punto più innovativo consiste nella separazione tra la possibile illiceità amministrativa del sistema di conservazione massiva e l’utilizzabilità della singola prova nel processo del lavoro. Secondo questa impostazione, l’eventuale irregolarità dell’archivio informatico non rende automaticamente inutilizzabili i documenti recuperati mediante una ricerca successiva, selettiva e collegata a un sospetto già formatosi. Il giudice ha inoltre ricondotto computer e posta professionale agli strumenti necessari per rendere la prestazione, assoggettati al comma 2, pur ricordando che rimangono indispensabili l’informazione preventiva e il rispetto delle regole sulla riservatezza.
Il licenziamento è stato confermato anche per la gravità della condotta sostanziale. L’omessa comunicazione del potenziale conflitto è stata giudicata incompatibile con la delicatezza delle mansioni e con il dovere di fedeltà previsto dall’articolo 2105 del Codice civile. La reticenza avrebbe impedito all’impresa di verificare tempestivamente la regolarità dei rapporti commerciali con il fornitore, compromettendo in maniera irreparabile il vincolo fiduciario. È stata esclusa anche la natura ritorsiva del recesso, poiché non è risultato dimostrato che un intento vendicativo costituisse la sua ragione unica e determinante.
La pronuncia non rappresenta, tuttavia, il superamento definitivo dell’orientamento più severo. Si tratta di una decisione di primo grado e non di un precedente vincolante capace di modificare automaticamente i principi affermati dalla giurisprudenza di legittimità. Avvocati Giuslavoristi Italiani ne hanno evidenziato gli elementi favorevoli al datore, cioè: sospetto concreto, verifica mirata, proporzionalità e informativa preventiva. Gli avvocati Vittorio De Luca e Martina De Angeli, commentando l’ordinanza del 2025, hanno invece sottolineato che il controllo dovrebbe riguardare esclusivamente informazioni acquisite dopo la nascita del sospetto. L’analisi pubblicata da GiuriCivile legge la sentenza del 2026 come un tentativo di separare la responsabilità amministrativa per la struttura dell’archivio dal valore probatorio dei documenti estratti. Il contrasto, pertanto, rimane aperto soprattutto quando il datore utilizza, dopo il sospetto, messaggi che erano già stati conservati in precedenza.
La regola prudenziale che emerge dal confronto è che l’azienda non può predisporre un controllo permanente e indiscriminato per cercare successivamente eventuali infrazioni. Deve fornire una disciplina interna chiara, limitare i tempi di conservazione, documentare l’origine e la data del sospetto, restringere la ricerca ai fatti pertinenti e adottare criteri capaci di ridurre l’invasività. Quando il sistema informatico permette un monitoraggio generale non strettamente necessario allo svolgimento del lavoro, restano richiesti l’accordo sindacale o l’autorizzazione amministrativa. La casella professionale è uno strumento dell’impresa, ma contiene comunicazioni e dati personali protetti dal GDPR (General Data Protection Regulation, Regolamento generale sulla protezione dei dati). La tutela del patrimonio aziendale e quella della dignità del lavoratore devono quindi procedere insieme, senza trasformare né la riservatezza in uno scudo per le condotte infedeli né il potere organizzativo in una sorveglianza senza confini.
Giornalista pubblicista, ex direttore di una precedente testata e attuale direttore di Mediterranea24.