Posta elettronica lavoratore: illegittima la registrazione sul server aziendale
La registrazione della posta elettronica del lavoratore sul server aziendale, effettuata senza il rispetto delle procedure di legge, costituisce una violazione grave dei diritti fondamentali del dipendente. Il tema — che intreccia diritto del lavoro, tutela della privacy e controllo a distanza — rimane di stringente attualità anche oggi, alla luce di un quadro normativo in continua evoluzione e di una giurisprudenza che non smette di affinare i propri criteri applicativi. Capire dove si colloca il confine tra legittimo controllo datoriale e sorveglianza illecita è essenziale tanto per i lavoratori quanto per le imprese.
Il caso della Zecca dello Stato e la sentenza della Cassazione
La Corte di Cassazione, con la sentenza n. 18302, ha stabilito che è illegittimo registrare sul server aziendale la posta elettronica, le telefonate e la navigazione internet del lavoratore senza la preventiva procedura di autorizzazione prevista dallo Statuto dei lavoratori e dal Codice della privacy. La Suprema Corte ha condannato la Zecca dello Stato poiché monitorava, senza l’osservanza delle prescritte procedure, la navigazione internet, la posta elettronica e le telefonate dei propri dipendenti.
Il sistema informatico in uso presso l’ente non si limitava a inibire l’accesso a siti non pertinenti all’attività istituzionale: memorizzava ogni accesso o tentativo di accesso alla rete, conservando tali informazioni per un periodo variabile tra sei e dodici mesi. Quanto alla posta elettronica, il software archiviava sul server aziendale tutti i messaggi spediti e ricevuti dal dipendente, rendendoli visualizzabili dagli amministratori di sistema. Anche le telefonate erano oggetto di registrazione, almeno con riferimento ai numeri chiamati.
Il quadro normativo di riferimento: art. 4 Statuto dei lavoratori e Codice della privacy
La pronuncia ricostruisce con precisione le procedure che devono essere rispettate per poter validamente utilizzare strumenti informatici di controllo a distanza sull’attività dei lavoratori. La decisione riguarda la versione dell’articolo 4 dello Statuto vigente prima delle modifiche introdotte dal D.Lgs. 151/2015 — che ha sottratto gli «strumenti di lavoro» alle procedure di autorizzazione, con una formulazione che lascia aperti alcuni interrogativi applicativi — ma in larga misura i principi enunciati restano validi anche rispetto alla formulazione attuale della norma.
L’articolo 4 dello Statuto dei lavoratori, per costante giurisprudenza, trova applicazione ogni volta che un apparecchio consente il controllo a distanza dell’attività dei dipendenti, anche quando il datore di lavoro intenda attuare i cosiddetti controlli difensivi. Spetta al datore di lavoro organizzarsi in modo da prevenire comportamenti illeciti mediante strumenti leciti, evitando un controllo diretto della prestazione lavorativa. Se tale controllo non può essere evitato — anche solo come effetto indiretto — gli impianti sono utilizzabili soltanto previo accordo con le rappresentanze sindacali o, in mancanza, previa autorizzazione amministrativa.
Il ruolo del Garante della privacy
Il Garante della privacy aveva emesso un provvedimento con il quale vietava il trattamento dei dati personali dei dipendenti relativi alla navigazione internet, all’utilizzo della posta elettronica e alle utenze telefoniche. L’Autorità non ha contestato i sistemi nella loro interezza, ma ha censurato il fatto che fossero stati installati e utilizzati senza il rispetto delle procedure previste dalla legge: senza l’accordo sindacale (o, in mancanza, l’autorizzazione amministrativa) previsto dallo Statuto dei lavoratori, senza l’acquisizione del consenso individuale e senza il rilascio delle informative previste dal Codice della privacy. La Cassazione ha rigettato l’impugnazione proposta contro tale provvedimento, confermandone integralmente la legittimità.
→ Leggi anche: Licenziamento per falsificazione di firme: diritti del lavoratore
Perché la registrazione della posta elettronica sul server aziendale è illegittima senza autorizzazione
È illegittima l’installazione di apparecchi e software che consentono controlli approfonditi sulla posta elettronica, sulle telefonate e sulla navigazione internet del lavoratore, se non sono preventivamente esperite le procedure di autorizzazione (sindacale o amministrativa) previste dall’articolo 4 dello Statuto dei lavoratori e se non sono rispettati gli ulteriori adempimenti previsti dalla normativa in materia di protezione dei dati personali.
Le autorizzazioni costituiscono lo strumento indispensabile individuato dal legislatore per bilanciare i diritti del lavoratore — in primo luogo quello alla riservatezza — e il diritto del datore di lavoro a proteggere i beni aziendali. La violazione di tale principio comporta, secondo la Corte, anche la violazione dell’articolo 8 dello Statuto, che vieta lo svolgimento di indagini sulle opinioni e sulla vita personale del lavoratore, anche se i dati raccolti non sono in concreto utilizzati.
L’informativa privacy come condizione di legittimità
La sentenza ribadisce l’importanza dell’informativa prevista dalla normativa sulla protezione dei dati personali: la mancata consegna di tale documento rende illegittimo il trattamento e la conservazione dei messaggi di posta elettronica sul server aziendale. Non è sufficiente, dunque, che il datore di lavoro si doti di strumenti tecnicamente idonei: occorre che l’intero procedimento — dall’accordo sindacale all’informativa individuale — sia rispettato nella sua integralità.
Controllo difensivo e posta elettronica: dove si colloca il confine
Un nodo interpretativo ricorrente riguarda i cosiddetti controlli difensivi, ossia quei controlli che il datore di lavoro ritiene necessari per tutelare il patrimonio aziendale o prevenire illeciti. La giurisprudenza ha chiarito che anche in questi casi l’articolo 4 dello Statuto non può essere aggirato: il datore di lavoro deve comunque esperire le procedure autorizzative previste dalla legge. Il controllo difensivo non costituisce, di per sé, un’esimente dalla procedura sindacale o amministrativa.
Diverso è il caso degli strumenti di lavoro in senso stretto — come il computer aziendale assegnato al dipendente — per i quali il D.Lgs. 151/2015 ha introdotto una disciplina parzialmente differenziata. Tuttavia, anche in questo ambito, la raccolta sistematica e la conservazione prolungata dei dati di navigazione e dei messaggi di posta elettronica richiedono una base giuridica adeguata e il rispetto degli obblighi informativi.
Implicazioni pratiche per datori di lavoro e lavoratori
Per i datori di lavoro, la sentenza impone una revisione critica dei sistemi di monitoraggio in uso: qualunque software che archivi la posta elettronica dei dipendenti, registri le telefonate o tracci la navigazione internet deve essere preceduto da un accordo con le rappresentanze sindacali aziendali o, in mancanza, da un’autorizzazione dell’Ispettorato Nazionale del Lavoro. A ciò si aggiunge l’obbligo di fornire ai lavoratori un’informativa chiara, completa e preventiva sul trattamento dei loro dati personali.
Per i lavoratori, la pronuncia conferma che la riservatezza delle comunicazioni elettroniche è un diritto tutelato anche nell’ambiente di lavoro. La mera circostanza che la posta elettronica sia gestita su un server aziendale non autorizza il datore di lavoro a trattare liberamente quei dati: la legittimità del trattamento dipende dal rispetto di un procedimento formale che non può essere omesso né surrogato da policy aziendali unilaterali prive di base legale.
FAQ: posta elettronica del lavoratore e registrazione sul server aziendale
Il datore di lavoro può leggere le email aziendali del dipendente?
Non liberamente. L’accesso ai messaggi di posta elettronica del lavoratore è subordinato al rispetto delle procedure previste dall’art. 4 dello Statuto dei lavoratori (accordo sindacale o autorizzazione amministrativa) e alla previa consegna di un’informativa privacy adeguata. In assenza di tali condizioni, il trattamento è illegittimo.
Per quanto tempo possono essere conservate le email sul server aziendale?
La conservazione deve essere proporzionata alla finalità perseguita. Periodi di conservazione eccessivamente lunghi — come i sei-dodici mesi contestati nel caso della Zecca dello Stato — sono stati ritenuti sproporzionati e quindi illegittimi. Il periodo di retention deve essere definito e comunicato ai lavoratori nell’informativa privacy.
Cosa rischia il datore di lavoro che monitora illecitamente la posta elettronica dei dipendenti?
Il datore di lavoro che installa sistemi di controllo senza le prescritte autorizzazioni e senza le informative dovute si espone a provvedimenti del Garante della privacy (inclusi divieti di trattamento e sanzioni pecuniarie), nonché a responsabilità civile e, in alcuni casi, penale per violazione della normativa sul controllo a distanza dei lavoratori.
Il controllo difensivo esonera dall’obbligo di accordo sindacale?
No. La giurisprudenza della Cassazione ha chiarito che anche i controlli difensivi devono rispettare le procedure previste dall’art. 4 dello Statuto dei lavoratori. L’esigenza di tutela del patrimonio aziendale non costituisce una deroga automatica agli obblighi procedurali.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
