Il controllo delle email aziendali può sostenere un licenziamento per giusta causa quando nasce da un sospetto fondato di illecito, viene svolto ex post con criteri selettivi ed è preceduto da un’informativa chiara. Il Tribunale di Pisa, con la sentenza n. 800/2026 pubblicata il 15 giugno, ha confermato il recesso per conflitto di interessi e ha considerato utilizzabili soltanto le comunicazioni successive al 18 ottobre 2021, data in cui la lavoratrice aveva accettato formalmente la policy informatica.
- Il conflitto di interessi con la società fornitrice
- Le condizioni richieste per il controllo difensivo
- Le email anteriori all’informativa escluse dalle prove
- Data retention e utilizzabilità delle singole email
- Obbligo di fedeltà e licenziamento per giusta causa
- Gli elementi richiesti nella policy aziendale
Il conflitto di interessi con la società fornitrice
La vicenda riguarda una dipendente addetta alla fatturazione attiva, assunta nel 1994, che aveva omesso per oltre un anno di comunicare la presenza del figlio nel consiglio di amministrazione di una società fornitrice del datore di lavoro.
L’azienda aveva acquisito la notizia nel 2022 e avviato una prima verifica attraverso visure camerali e documenti societari. Gli accertamenti avevano rilevato anche la partecipazione della lavoratrice, in qualità di delegata, a un’assemblea collegata alla società fornitrice e alcuni rapporti intercorsi attraverso la posta elettronica aziendale.
Dopo il confronto con il responsabile della protezione dei dati e un test di bilanciamento ai sensi del GDPR, l’indagine era stata estesa alla casella email. La ricerca era stata eseguita attraverso parole chiave riferite al possibile conflitto di interessi e affidata a personale autorizzato.
Le condizioni richieste per il controllo difensivo
Il controllo difensivo in senso stretto è ammesso quando serve ad accertare una condotta illecita attribuibile a un singolo lavoratore sulla base di indizi già emersi. La verifica deve essere successiva al sospetto e circoscritta ai fatti oggetto dell’indagine.
| Condizione richiesta | Accertamento nel caso di Pisa |
|---|---|
| sospetto fondato e circostanziato | omessa comunicazione del ruolo ricoperto dal figlio presso una società fornitrice |
| verifica avviata dopo gli indizi | prima analisi delle visure societarie e successivo accesso alla posta elettronica |
| ricerca selettiva | utilizzo di parole chiave riferite al conflitto di interessi |
| accesso limitato | consultazione affidata all’auditor interno e al responsabile delle risorse umane |
| informazione preventiva | policy informatica formalmente accettata dalla dipendente il 18 ottobre 2021 |
L’articolo 4 della Legge n. 300/1970 disciplina i controlli informatici sui dipendenti e consente l’utilizzo delle informazioni raccolte ai fini del rapporto di lavoro soltanto dopo un’adeguata informazione sulle modalità d’uso degli strumenti e sulle verifiche aziendali.
Le email anteriori all’informativa escluse dalle prove
Il Tribunale ha escluso le comunicazioni precedenti al 18 ottobre 2021. I documenti consegnati alla lavoratrice nel 2008 e nel 2018 contenevano istruzioni generiche e informazioni sull’assegnazione degli strumenti, senza descrivere modalità, frequenza e limiti dei controlli.
La procedura telematica completata nell’ottobre 2021 conteneva invece un rinvio diretto alla policy sull’utilizzo degli strumenti informatici e alla possibilità di verifiche sulla posta elettronica. Da quella data, secondo il giudice, la dipendente disponeva di un’informazione adeguata sul trattamento dei dati.
La Cassazione, con le sentenze n. 25732/2021, n. 18168/2023 e n. 7514/2026, ha chiarito che il datore deve dimostrare la legittima acquisizione dei dati tecnologici. Le informazioni raccolte prima del sospetto o in assenza delle garanzie previste non possono essere sanate attraverso una successiva indagine disciplinare.
Data retention e utilizzabilità delle singole email
Il Tribunale ha separato la conservazione generalizzata dei dati dalla ricerca mirata svolta nel caso della dipendente. Il procedimento avviato dal Garante aveva contestato all’azienda la conservazione dei log per sei mesi e dell’intera corrispondenza fino a cinque anni dopo la cessazione del rapporto.
Secondo la sentenza, tali contestazioni riguardavano la struttura complessiva della data retention e non rendevano automaticamente inutilizzabili i messaggi selezionati durante un’indagine successiva, delimitata da parole chiave e collegata a un sospetto specifico.
Il Garante, con il provvedimento n. 364 del 6 giugno 2024, indica per i metadati necessari al funzionamento della posta elettronica una conservazione normalmente contenuta entro 21 giorni. Periodi più lunghi richiedono esigenze documentate e, in caso di raccolta generalizzata idonea a controllare l’attività, le garanzie previste dall’articolo 4, comma 1, dello Statuto dei lavoratori.
Obbligo di fedeltà e licenziamento per giusta causa
Il licenziamento è stato confermato per la violazione dell’obbligo di fedeltà previsto dall’articolo 2105 del Codice civile, integrato dai doveri di correttezza e buona fede sanciti dagli articoli 1175 e 1375.
La lavoratrice aveva comunicato con forte ritardo una circostanza capace di incidere sui rapporti con un fornitore e aveva partecipato ad attività collegate alla società coinvolta. Il giudice ha ritenuto la condotta sufficiente a compromettere il rapporto fiduciario, indipendentemente dalla prova di un danno economico già prodotto.
La gravità disciplinare delle condotte sugli strumenti aziendali dipende dalla lesione dei doveri di lealtà, diligenza e tutela del patrimonio informativo. La valutazione comprende ruolo del lavoratore, durata della condotta, consapevolezza dell’illecito e conseguenze sul vincolo di fiducia.
Gli elementi richiesti nella policy aziendale
Una policy aziendale sui controlli dei dispositivi deve descrivere in anticipo modalità d’uso della posta, finalità delle verifiche, soggetti autorizzati e tempi di conservazione dei dati.
La procedura applicata in caso di sospetto dovrebbe rispettare questi criteri:
- il sospetto deve derivare da fatti già emersi e collegati a un possibile illecito;
- la ricerca deve utilizzare parole chiave, intervalli temporali e account coerenti con l’accertamento;
- l’accesso ai messaggi deve essere riservato a soggetti autorizzati e adeguatamente istruiti;
- il datore deve documentare finalità, necessità, proporzionalità e bilanciamento degli interessi;
- le informazioni estranee all’accertamento devono essere escluse dalla consultazione e dalla conservazione.
La sentenza del Tribunale di Pisa è una pronuncia di merito riferita alle circostanze accertate nel singolo giudizio. La legittimità di ogni controllo richiede quindi una valutazione autonoma delle policy applicate, della fonte del sospetto e delle modalità tecniche adottate.
