L’accesso del datore di lavoro alle email aziendali dei dipendenti

L’accesso del datore di lavoro alle email aziendali dei dipendenti rappresenta un tema delicato, che richiede un bilanciamento tra il potere direttivo e di controllo dell’impresa e il diritto alla riservatezza e alla protezione dei dati personali del lavoratore. La disciplina italiana e quella europea, anche alla luce del Regolamento (UE) 2016/679 (GDPR), offrono una cornice normativa articolata, che si è consolidata anche grazie a una vasta giurisprudenza della Corte di Cassazione, della Corte Europea dei Diritti dell’Uomo (CEDU) e del Garante per la protezione dei dati personali.

---

📌 1. Il quadro normativo: controlli a distanza e diritti del lavoratore

Il punto di partenza è l’art. 4 dello Statuto dei Lavoratori (L. n. 300/1970), modificato dal d.lgs. 151/2015 (Jobs Act), il quale distingue tra:

• Controlli difensivi diretti alla tutela del patrimonio aziendale, ammessi anche senza accordo sindacale, purché rispettino i principi di necessità, proporzionalità e finalità;

• Strumenti di lavoro, che possono comportare un controllo indiretto sull’attività del lavoratore (es. email, telefono, PC), ma solo se l’utilizzo è disciplinato in modo trasparente e il lavoratore è informato delle modalità d’uso e controllo.

Il GDPR ha ulteriormente rafforzato la necessità di informazione preventiva, specificando che ogni trattamento di dati (come la lettura delle email) deve avere:

• una base giuridica (art. 6 GDPR),

• una finalità esplicita e legittima,

• una comunicazione trasparente verso l’interessato (artt. 12 ss. GDPR).

---

📌 2. La policy aziendale: un requisito fondamentale

Il controllo delle email aziendali è legittimo solo se previsto in modo chiaro da una policy aziendale conforme:

• Deve essere consegnata al lavoratore e approvata (anche tacitamente) all’inizio del rapporto;

• Deve specificare: limiti all’uso personale della casella aziendale, modalità di monitoraggio, tempi di conservazione, strumenti di controllo, eventuale accesso da parte di altri colleghi o superiori;

• Deve rispettare il principio di minimizzazione dei dati (art. 5 GDPR) e indicare il responsabile del trattamento (es. datore, DPO).

La giurisprudenza conferma l’importanza di tali strumenti: secondo la Cass. civ., Sez. Lavoro, n. 2722/2021, la mancanza di una policy chiara può rendere il controllo illegittimo e quindi inutilizzabile in sede disciplinare.

---

📌 3. I limiti al potere di controllo: proporzionalità e finalità

Il datore di lavoro non può accedere liberamente e senza limiti al contenuto delle email aziendali:

• Deve esserci un fondato sospetto di abuso, come uso personale non autorizzato, divulgazione di dati riservati, attività illecite;

• Il controllo deve essere mirato e non massivo;

• Le informazioni raccolte devono essere pertinenti e non eccedenti, secondo i principi di proporzionalità e necessità.

La Corte EDU, sent. Bărbulescu c. Romania (2017), ha chiarito che i controlli indiscriminati su email lavorative, anche se aziendali, violano l’art. 8 CEDU (diritto alla vita privata e corrispondenza), se non sorretti da valide garanzie.

---

📌 4. Email personali usate su dispositivi aziendali

Un ambito ancora più delicato è rappresentato dalle email personali (es. Gmail) aperte o consultate dal dipendente sul PC aziendale. Secondo il Garante Privacy e varie sentenze:

• il datore non può accedere a questi account personali, neppure se aperti su dispositivi aziendali;

• l’unica eccezione ammessa è in presenza di un ordine dell’autorità giudiziaria o per motivi di sicurezza informatica grave e documentata.

Pertanto, l’uso promiscuo del dispositivo aziendale non legittima di per sé l’accesso del datore a contenuti personali, pena la violazione di privacy e segreto delle comunicazioni (art. 15 Cost., art. 616 c.p.).

---

📌 5. Le conseguenze del controllo illegittimo

Se il datore accede in modo illecito alle email:

• le prove sono inutilizzabili in sede disciplinare o giudiziaria (art. 191 c.p.p.);

• può scattare la responsabilità civile per danno da lesione della privacy (art. 82 GDPR);

• nei casi più gravi, si configura il reato di violazione di corrispondenza (art. 616 c.p.);

• il Garante può irrogare sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato annuo.

---

✅ Conclusioni operative