Mail aziendale: no a controlli indiscriminati
Il tema dei controlli sulla mail aziendale rimane uno dei nodi più delicati del diritto del lavoro contemporaneo. La tensione tra il potere direttivo e di controllo del datore di lavoro e il diritto alla riservatezza del dipendente non si è mai sopita: anzi, con la diffusione dello smart working, degli strumenti digitali aziendali e delle policy BYOD (Bring Your Own Device), la questione è oggi più attuale che mai. Capire dove si tracci il confine tra controllo legittimo e sorveglianza indiscriminata permette sia alle imprese di tutelarsi correttamente, sia ai lavoratori di conoscere i propri diritti.
Il punto di partenza è la sentenza del 12 gennaio 2016 della Corte europea dei diritti dell’uomo, che ha ritenuto legittimi i controlli del datore di lavoro sulla mail aziendale, ma solo al ricorrere di condizioni molto stringenti. Come vedremo, quella pronuncia non ha fatto altro che ribadire principi già radicati nel nostro ordinamento: le linee guida del Garante della Privacy e lo Statuto dei lavoratori, modificato dal Jobs Act, disegnano da tempo un quadro normativo che vieta espressamente i controlli massivi e indiscriminati.
Il quadro normativo: Statuto dei lavoratori, Jobs Act e Garante Privacy
Il divieto di controlli indiscriminati sulla mail aziendale affonda le radici nell’articolo 4 dello Statuto dei lavoratori, profondamente rivisitato dal Jobs Act. La norma distingue tra strumenti di lavoro — tra cui rientrano i dispositivi informatici e gli account di posta elettronica aziendali — e impianti di sorveglianza a distanza. Per i primi, il controllo è in linea di principio ammesso, ma rimane subordinato a precisi requisiti formali e sostanziali.
In particolare, l’articolo 4 dello Statuto stabilisce che i dati acquisiti tramite controlli a distanza sono utilizzabili a fini disciplinari soltanto se il lavoratore ha ricevuto un’informativa scritta — ai sensi dell’articolo 13 del Codice della privacy, oggi integrato dal Regolamento UE 2016/679 (GDPR) — sulle modalità di utilizzo degli strumenti e sul trattamento dei dati personali. In assenza di tale informativa, le prove raccolte non possono essere legittimamente impiegate in un procedimento disciplinare o giudiziario.
Le linee guida del Garante della Privacy, elaborate sin dal 2007 e più volte aggiornate, aggiungono un ulteriore livello di tutela: se esiste una ragionevole aspettativa di segretezza sulle comunicazioni veicolate attraverso la casella di posta aziendale, nessun controllo è lecito. Per rimuovere tale aspettativa, le aziende devono adottare policy aziendali chiare, scritte e portate a conoscenza dei dipendenti, che stabiliscano espressamente il divieto di utilizzo degli strumenti aziendali per scopi personali.
Cosa ha stabilito la Corte europea dei diritti dell’uomo
La rilevanza mediatica della sentenza con cui la Corte europea dei diritti dell’uomo ha ritenuto legittimi i controlli del datore di lavoro sulle email aziendali è molto superiore rispetto ai risvolti pratici che la decisione ha avuto nel nostro ordinamento. La pronuncia, infatti, non legittima affatto controlli indiscriminati sulla posta dei dipendenti, ma si limita a ribadire principi già ampiamente vigenti e codificati.
Ma andiamo con ordine, riepilogando innanzitutto cosa dice la sentenza. La Corte ha riconosciuto l’applicabilità nei confronti delle comunicazioni via email delle tutele previste dalla Convenzione dei diritti dell’uomo per tutto quanto concerne la riservatezza della vita privata; è stata ammessa, tuttavia, la possibilità di superare questa tutela rinforzata, in presenza di alcune condizioni molto stringenti.
→ Leggi anche: Diritto alla riservatezza del lavoratore: i limiti legali al controllo via email, GPS e telecamere in azienda
La prima condizione è che l’utilizzo per scopi personali dello strumento informatico fornito dall’azienda sia espressamente vietato dal datore di lavoro. Questo elemento è essenziale in quanto — come ribadito anche dalle linee guida del Garante privacy italiano — se esiste un’«aspettativa di segretezza» delle comunicazioni veicolate dal dipendente con la posta aziendale, nessun controllo da parte del datore di lavoro è lecito.
La seconda condizione individuata dalla sentenza riguarda la proporzionalità del controllo. È da escludere — secondo i giudici di Strasburgo, ma anche secondo le norme e le prassi vigenti in Italia — la legittimità di controlli massivi, attivati in assenza di un motivo specifico o comunque eseguiti in maniera troppo estesa rispetto alle finalità che si perseguono.
Mail aziendale e controlli indiscriminati: perché il principio di proporzionalità è centrale
Il principio di proporzionalità rappresenta il cuore della disciplina: il controllo sulla mail aziendale non può essere sistematico, preventivo o generalizzato. Deve invece essere mirato, motivato da una specifica esigenza organizzativa, produttiva o di sicurezza, e limitato a quanto strettamente necessario per raggiungere quella finalità. Controlli massivi e indiscriminati — ad esempio la lettura sistematica di tutte le email dei dipendenti senza alcun presupposto concreto — sono illegittimi tanto alla luce del diritto europeo quanto di quello italiano.
Questi concetti sono pienamente compatibili con le regole che governano nel nostro Paese la questione: tali controlli sono legittimi (e i relativi risultati possono essere utilizzati a fini disciplinari) solo a condizione che gli strumenti informatici non siano coperti da un’aspettativa di segretezza — il Garante privacy ritiene che si debba rimuovere tale aspettativa mediante apposite policy aziendali — e all’ulteriore condizione che le indagini siano effettuate in maniera lecita e proporzionata.
Il Jobs Act non ha modificato tale impostazione e, anzi, ha introdotto nell’articolo 4 dello Statuto dei lavoratori una tutela ulteriore per i dipendenti, stabilendo che i dati acquisiti tramite i controlli a distanza sono utilizzabili ai fini disciplinari solo se è stata data comunicazione scritta, mediante l’informativa prevista dalla normativa privacy, della modalità con cui saranno trattati i dati personali.
Le condizioni che rendono legittimo il controllo sulla posta elettronica aziendale
Alla luce del quadro normativo e giurisprudenziale descritto, è possibile individuare le condizioni cumulative che devono sussistere affinché il controllo sulla mail aziendale sia legittimo e i risultati siano utilizzabili:
- Esistenza di una policy aziendale che vieti espressamente l’uso degli strumenti aziendali per scopi personali, portata a conoscenza dei dipendenti in forma scritta.
- Informativa privacy completa e aggiornata, che illustri le modalità di trattamento dei dati raccolti attraverso i sistemi informatici aziendali.
- Proporzionalità: il controllo deve essere limitato a quanto necessario rispetto alla specifica finalità perseguita (sicurezza informatica, verifica di illeciti, ecc.).
- Motivazione specifica: non è ammissibile un monitoraggio generalizzato e preventivo; occorre un presupposto concreto che giustifichi l’accesso alle comunicazioni.
- Assenza di aspettativa di segretezza: se il dipendente ha ragione di ritenere che le proprie comunicazioni siano riservate, il controllo non è lecito.
Implicazioni pratiche per aziende e lavoratori
La sentenza della Corte europea, pur non rivoluzionando le regole esistenti, offre uno spunto prezioso per rivedere le prassi aziendali. Le imprese dovrebbero verificare l’adeguatezza delle proprie policy rispetto agli standard richiesti dalla normativa, accertandosi prima di ogni cosa che siano state adottate linee guida che affermino in maniera chiara il divieto di utilizzo degli strumenti aziendali per scopi personali. Una policy ben redatta non solo tutela l’azienda in caso di contenzioso, ma costituisce anche un atto di trasparenza nei confronti dei dipendenti.
→ Leggi anche: I ritardi nella produzione documentale: profili di responsabilità nel processo del lavoro
I lavoratori, dal canto loro, dovrebbero prendere coscienza del fatto che tutti gli strumenti informatici aziendali possono teoricamente essere controllati dal datore di lavoro, nei limiti sopra descritti. Questo rischio si può ridurre mediante semplici accorgimenti: ad esempio, l’apertura di una casella di posta personale per tutte le comunicazioni extra-lavorative, evitando così qualsiasi commistione tra sfera privata e strumenti aziendali.
Inoltre, la sentenza di Strasburgo esamina solo il tema della legittimità del controllo, mentre nulla dice in merito alla congruità della sanzione comminata al lavoratore — nel caso specifico, il licenziamento — che aveva dato origine alla controversia. Questo aspetto rimane interamente disciplinato dal diritto nazionale e dalla giurisprudenza dei tribunali italiani, che valutano caso per caso la proporzionalità della sanzione rispetto alla gravità della condotta accertata.
FAQ: Mail aziendale e controlli del datore di lavoro
Il datore di lavoro può leggere le email aziendali dei dipendenti?
Sì, ma solo in presenza di condizioni precise: deve esistere una policy aziendale che vieti l’uso personale degli strumenti aziendali, il dipendente deve aver ricevuto un’informativa privacy adeguata, e il controllo deve essere proporzionato e motivato da una specifica esigenza. Controlli indiscriminati e sistematici sono vietati.
Cosa si intende per «aspettativa di segretezza» sulla mail aziendale?
Si tratta della ragionevole convinzione del dipendente che le proprie comunicazioni elettroniche siano riservate. Se l’azienda non ha adottato una policy chiara che escluda tale aspettativa, il controllo sulla posta aziendale non è lecito, anche se tecnicamente possibile.
Le prove raccolte tramite il controllo della mail aziendale possono essere usate per licenziare un dipendente?
Sì, ma solo se il controllo è stato effettuato nel rispetto di tutte le condizioni di legge (policy aziendale, informativa privacy, proporzionalità). In caso contrario, le prove sono inutilizzabili e il licenziamento potrebbe essere impugnato con successo.
Il GDPR ha cambiato qualcosa rispetto ai controlli sulla mail aziendale?
Il Regolamento UE 2016/679 ha rafforzato gli obblighi di trasparenza e informativa a carico del datore di lavoro. Le policy aziendali devono oggi essere allineate ai principi del GDPR (liceità, correttezza, minimizzazione dei dati), e il trattamento dei dati raccolti tramite il monitoraggio della posta elettronica deve avere una base giuridica esplicita.
Un dipendente può usare la mail aziendale per comunicazioni personali?
Dipende dalla policy aziendale. Se l’azienda non ha vietato espressamente l’uso personale, il dipendente potrebbe vantare un’aspettativa di riservatezza su quelle comunicazioni. È comunque buona prassi utilizzare un account personale per le comunicazioni private, separando nettamente la sfera lavorativa da quella personale.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
