Virus trojan e mail aziendali: conseguenze della decisione del Tribunale di Modena
Il tema del virus trojan e delle mail aziendali continua a suscitare un dibattito giuridico di grande rilievo pratico, soprattutto alla luce della storica ordinanza del Tribunale di Modena che ha sancito l’inutilizzabilità delle mail aziendali recuperate dalla memoria del server tramite l’utilizzo di un captatore informatico (cosiddetto virus trojan). Capire le conseguenze di tale decisione è essenziale per datori di lavoro, lavoratori e professionisti del diritto che si trovano a gestire indagini interne o procedimenti penali in cui siano coinvolte comunicazioni elettroniche aziendali.
In questo articolo analizziamo i quattro principi fissati dal giudice modenese, le loro implicazioni operative e i nodi interpretativi ancora aperti, riprendendo anche l’analisi pubblicata dal Sole 24 Ore (Andrea Monti, “Il virus trojan non sostituisce il sequestro”).
Il caso: virus trojan, mail aziendali e il Tribunale di Modena
L’ordinanza del Tribunale di Modena rappresenta un punto di riferimento imprescindibile nel panorama giurisprudenziale italiano in materia di intercettazioni informatiche e acquisizione di prove digitali in ambito lavorativo e penale. Il provvedimento si è occupato specificamente dell’utilizzo di un captatore informatico (trojan horse) per recuperare il contenuto di mail aziendali memorizzate su server, stabilendo limiti precisi all’ammissibilità di tale tecnica investigativa.
Le ricadute pratiche riguardano non solo il processo penale, ma anche i procedimenti disciplinari in ambito lavorativo: qualora un datore di lavoro o un ente pubblico tenti di utilizzare prove acquisite tramite trojan per giustificare un licenziamento o una sanzione disciplinare, la questione dell’utilizzabilità di tali elementi diventa dirimente.
I quattro principi fissati dal Tribunale di Modena
L’ordinanza del tribunale di Modena che limita l’utilizzo dei virus investigativi “trojan” stabilisce quattro principi fondamentali, la cui portata si estende ben oltre il caso concreto.
1. Inapplicabilità dell’art. 132 del D.Lgs. 196/2003 ai contenuti delle comunicazioni
Il primo principio chiarisce che è impossibile applicare l’articolo 132 del D.Lgs. 196/2003 (data-retention) per ottenere da operatori di telecomunicazioni i contenuti di comunicazioni elettroniche. Tale norma, già di dubbia compatibilità con il diritto europeo — il Considerando n. 13 della direttiva sulla protezione dei dati personali esclude espressamente le attività statali in materia penale dal campo di applicazione del diritto comunitario, e la Corte di Giustizia UE ha annullato la direttiva 24/2006 che ne è la fonte — non può dunque fungere da base giuridica per acquisire il contenuto delle mail.
→ Leggi anche: Orario di lavoro e diritto alla disconnessione: l'interpretazione del Tribunale di Milano sulla responsabilità civile del datore
2. Obbligo di ricorrere al sequestro per acquisire contenuti informatici
Il secondo principio stabilisce che, quando è necessario acquisire all’indagine i contenuti di un computer, si deve utilizzare lo strumento del sequestro nelle forme previste dal codice di procedura penale. Il trojan non può sostituire questo istituto, che offre garanzie procedurali precise a tutela dell’indagato.
3. Limiti all’uso dei captatori informatici da parte del PM
Il terzo principio delimita l’ambito soggettivo di utilizzo: il pubblico ministero non può impiegare «captatori informatici» se non per indagini su criminalità organizzata e terrorismo. Al di fuori di questi casi, l’uso del trojan è precluso, con conseguente inutilizzabilità delle prove così acquisite.
4. Applicabilità della disciplina delle intercettazioni (artt. 266 e ss. c.p.p.)
Il quarto principio richiama la giurisprudenza della Corte di Cassazione (Sez. IV, n. 16556/09), secondo cui gli articoli 266 e seguenti del codice di procedura penale si applicano anche quando i captatori siano utilizzati per acquisire i contenuti veicolati da un flusso di comunicazioni. Il trojan, in questa prospettiva, rientra tra le prove atipiche, ma deve comunque rispettare le garanzie previste per le intercettazioni.
Captatori informatici: microspia ambientale o perquisizione telematica?
Un nodo interpretativo centrale, evidenziato dall’analisi pubblicata sul Sole 24 Ore, riguarda la qualificazione giuridica dell’attività svolta dal captatore informatico. La distinzione non è meramente teorica: ha conseguenze dirette sull’utilizzabilità delle prove e sui diritti dell’indagato.
Se il captatore è usato come una microspia ambientale — per captare comunicazioni in tempo reale — è palese che si tratti di una modalità di intercettazione, con applicazione delle norme esistenti. Se invece lo strumento serve per individuare e copiare file memorizzati in un computer, ci troveremmo di fronte a una perquisizione telematica e non, come ritiene il giudice modenese, a un atto qualificabile come prova atipica in dibattimento.
In quest’ultimo caso, un PM potrebbe in astratto utilizzare il captatore anche al di fuori dei casi indicati dalla Cassazione, ma pur sempre rispettando gli obblighi di informazione preventiva a tutela dell’indagato. Tuttavia, così configurata, la perquisizione telematica diventerebbe praticamente impossibile: il diritto di difesa non può cedere di fronte a scorciatoie investigative, nemmeno quando queste siano motivate dall’assenza di strumenti giuridici efficaci per l’acquisizione rapida di informazioni custodite all’estero.
Il problema della giurisdizione: mail su server esteri e cooperazione giudiziaria
Un ulteriore profilo critico riguarda la localizzazione dei server su cui sono ospitate le mail aziendali. Nel caso esaminato dal Tribunale di Modena, il fornitore del servizio di posta era Google, soggetto di diritto extracomunitario con server non localizzati in Italia.
→ Leggi anche: Responsabilità del datore per mobbing digitale: WhatsApp, Slack e la tutela della dignità nel lavoro ibrido
Occorre distinguere due scenari operativi:
- Il captatore copia email già memorizzate in locale: l’attività investigativa inizia e finisce in Italia, con applicazione della giurisdizione italiana.
- Il captatore carpisce le credenziali di accesso per poi accedere direttamente al server di posta estero: in questo caso si configura un atto di indagine compiuto al di fuori della giurisdizione italiana, senza passare per gli accordi internazionali di cooperazione giudiziaria. Le prove così acquisite sarebbero gravemente compromesse sotto il profilo della legittimità.
Questa distinzione è rilevante anche per i datori di lavoro che utilizzano servizi cloud per la gestione delle mail aziendali: qualsiasi accesso non autorizzato a tali sistemi — anche nell’ambito di indagini interne — deve fare i conti con la normativa sulla protezione dei dati personali e con i limiti imposti dalla giurisprudenza in materia di prove digitali.
Conseguenze pratiche per datori di lavoro e lavoratori
La decisione del Tribunale di Modena sui virus trojan e le mail aziendali produce effetti concreti su più piani:
- Procedimenti disciplinari: le prove acquisite tramite captatori informatici al di fuori dei presupposti di legge non possono essere utilizzate per giustificare licenziamenti o sanzioni disciplinari, pena la nullità del provvedimento.
- Indagini penali: il PM che intenda acquisire il contenuto di mail aziendali deve ricorrere al sequestro nelle forme ordinarie, non potendo surrogare tale strumento con l’uso di trojan.
- Politiche aziendali di sicurezza informatica: le imprese devono adottare policy chiare sull’utilizzo degli strumenti informatici aziendali, informando preventivamente i lavoratori delle modalità di controllo consentite dalla legge (art. 4 Statuto dei Lavoratori, come modificato dal D.Lgs. 151/2015).
- Tutela della privacy: il lavoratore conserva una ragionevole aspettativa di riservatezza sulle proprie comunicazioni elettroniche, anche quando effettuate tramite strumenti aziendali, nei limiti fissati dalla normativa vigente e dal Regolamento UE 2016/679 (GDPR).
FAQ: Virus trojan, mail aziendali e Tribunale di Modena
Le mail recuperate tramite virus trojan possono essere usate come prova in un licenziamento?
No. Secondo i principi fissati dal Tribunale di Modena, le mail aziendali recuperate tramite captatori informatici (trojan) al di fuori dei presupposti di legge sono inutilizzabili come prova, sia in sede penale sia in sede disciplinare. Il datore di lavoro che intenda monitorare le comunicazioni dei dipendenti deve rispettare le procedure previste dall’art. 4 dello Statuto dei Lavoratori e dalla normativa sulla privacy.
Quando è legittimo l’uso di un captatore informatico nelle indagini penali?
Il Tribunale di Modena ha chiarito che il PM può ricorrere a captatori informatici solo per indagini su criminalità organizzata e terrorismo. In tutti gli altri casi, per acquisire il contenuto di comunicazioni elettroniche è necessario il sequestro nelle forme ordinarie, con le garanzie procedurali previste dal codice di procedura penale.
Cosa cambia se le mail sono ospitate su server esteri (es. Gmail)?
Se il captatore viene utilizzato per accedere direttamente a server di posta localizzati all’estero, l’atto investigativo si svolge al di fuori della giurisdizione italiana, senza il rispetto degli accordi internazionali di cooperazione giudiziaria. Le prove così ottenute risultano ulteriormente compromesse sotto il profilo della legittimità e dell’utilizzabilità processuale.
Il lavoratore ha diritto alla privacy sulle mail aziendali?
Sì, nei limiti fissati dalla legge. Il lavoratore conserva una ragionevole aspettativa di riservatezza sulle proprie comunicazioni elettroniche, anche se effettuate tramite strumenti aziendali. Il datore di lavoro può effettuare controlli solo nel rispetto dell’art. 4 dello Statuto dei Lavoratori e del GDPR, previa informativa ai dipendenti e, ove necessario, accordo sindacale o autorizzazione dell’Ispettorato del Lavoro.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
