Articolo a cura di: Redazione - Studio Legale Calvello

Il datore di lavoro può accedere alla posta elettronica aziendale dei dipendenti, ma non dispone di un diritto generale e indiscriminato di leggerne i messaggi. La legittimità del controllo dipende dalle finalità perseguite, dalle modalità di accesso, dalle informazioni preventivamente fornite ai lavoratori e dal rispetto del GDPR e dell’articolo 4 dello Statuto dei lavoratori. Il problema si presenta soprattutto quando l’impresa deve recuperare comunicazioni commerciali, verificare un sospetto illecito, garantire la continuità operativa durante un’assenza oppure gestire la casella di un dipendente dimissionario o licenziato. Un accesso effettuato senza le necessarie verifiche può esporre l’azienda a contestazioni, sanzioni e controversie sull’utilizzabilità delle informazioni raccolte. Prima di autorizzare un controllo, occorre quindi stabilire se esista una finalità legittima e quale procedura consenta di perseguirla con la minore interferenza possibile nella riservatezza del lavoratore.

Quando il datore di lavoro può leggere le email aziendali e quali controlli sono vietati

La posta elettronica è uno strumento di lavoro, ma il fatto che l’indirizzo email appartenga al dominio aziendale non rende automaticamente accessibili al datore di lavoro tutte le comunicazioni contenute nella casella. Anche quando l’account viene utilizzato esclusivamente per ragioni professionali, i messaggi possono contenere dati personali del dipendente, informazioni relative a terzi e comunicazioni la cui riservatezza merita tutela. La proprietà dell’infrastruttura informatica non equivale a un’autorizzazione generale alla lettura della corrispondenza.

Il Regolamento (UE) 2016/679 impone che ogni trattamento di dati personali rispetti i principi di liceità, correttezza, trasparenza, limitazione delle finalità e minimizzazione. L’azienda deve individuare una base giuridica appropriata ai sensi dell’articolo 6 del GDPR e verificare che il controllo sia effettivamente necessario rispetto allo scopo perseguito. Il consenso del dipendente, considerato lo squilibrio che caratterizza il rapporto di lavoro, generalmente non costituisce una soluzione idonea per legittimare attività di monitoraggio disposte dal datore.

Occorre distinguere l’accesso occasionale a informazioni professionali necessarie per una specifica esigenza aziendale dal monitoraggio sistematico delle comunicazioni. Un’impresa che debba recuperare urgentemente un documento commerciale durante l’assenza di un dipendente si trova in una situazione diversa rispetto a quella che intenda esaminare periodicamente tutte le email inviate e ricevute dai lavoratori per valutarne il comportamento. Nel primo caso possono esistere modalità organizzative meno invasive, come l’utilizzo di caselle condivise, deleghe preventivamente disciplinate o procedure di risposta automatica. Nel secondo emergono problemi più complessi di controllo a distanza e proporzionalità del trattamento.

L’articolo 4 della legge n. 300/1970 disciplina gli strumenti dai quali possa derivare un controllo a distanza dell’attività dei lavoratori. Per gli impianti e gli altri strumenti soggetti al primo comma, l’installazione richiede le condizioni e le garanzie previste dalla disposizione, comprese, secondo i casi, le procedure sindacali o autorizzative. Gli strumenti utilizzati dal lavoratore per rendere la prestazione sono invece contemplati dal secondo comma. Questa distinzione non consente però di considerare automaticamente lecito qualsiasi monitoraggio effettuato attraverso la posta elettronica aziendale. Occorre valutare le caratteristiche concrete del sistema, le funzionalità aggiuntive di controllo, i dati raccolti e le modalità del loro utilizzo.

Particolare attenzione meritano i cosiddetti controlli difensivi, effettuati quando l’impresa sospetta comportamenti illeciti lesivi del proprio patrimonio o dei propri diritti. La giurisprudenza distingue i controlli ordinari sull’attività lavorativa dalle verifiche mirate, fondate su concreti sospetti di illecito e rispettose di specifici limiti. La presenza di un sospetto non autorizza comunque l’esame indiscriminato della corrispondenza, soprattutto quando l’indagine coinvolge comunicazioni anteriori all’emersione degli elementi che hanno giustificato la verifica.

La questione assume particolare rilievo quando le email vengono utilizzate per contestare una violazione dell’obbligo di fedeltà, una sottrazione di informazioni riservate o una condotta disciplinarmente rilevante. L’azienda deve verificare separatamente la legittimità dell’acquisizione e la possibilità di utilizzare le informazioni raccolte. L’articolo 4, terzo comma, dello Statuto dei lavoratori collega infatti l’utilizzabilità delle informazioni raccolte attraverso gli strumenti disciplinati dalla disposizione all’adeguata informazione del lavoratore e al rispetto della normativa sulla protezione dei dati personali.

Accesso alle caselle email, controlli difensivi e GDPR: come deve organizzarsi l’azienda

Per gestire correttamente la posta elettronica aziendale non basta predisporre un’informativa generica. L’impresa deve definire una disciplina interna che chiarisca le condizioni di utilizzo degli account, le eventuali limitazioni all’uso personale, le misure di sicurezza, le modalità di accesso in caso di assenza e le procedure applicabili alla cessazione del rapporto di lavoro. La documentazione deve corrispondere al funzionamento effettivo dei sistemi informatici: una policy che dichiari l’assenza di controlli, mentre il servizio registra sistematicamente informazioni dettagliate sulle comunicazioni dei dipendenti, presenta evidenti problemi di coerenza e trasparenza.

Quando un responsabile HR, un amministratore o il reparto IT ritiene necessario accedere alla casella di un lavoratore, la prima verifica riguarda la finalità concreta. Occorre stabilire quali informazioni siano indispensabili, se possano essere recuperate attraverso strumenti alternativi e chi debba essere autorizzato all’operazione. L’accesso dovrebbe essere circoscritto alle informazioni necessarie, evitando l’esplorazione generalizzata dell’account. La procedura deve inoltre prevedere adeguate autorizzazioni, istruzioni agli incaricati, misure di riservatezza e documentazione delle operazioni compiute.

Un problema ricorrente riguarda il dipendente assente per ferie, malattia o altre ragioni. L’esigenza di rispondere tempestivamente a clienti e fornitori non legittima, da sola, la lettura integrale della sua corrispondenza. L’azienda dovrebbe organizzare preventivamente la continuità operativa attraverso caselle funzionali, sistemi di delega appropriati e messaggi automatici che indirizzino gli interlocutori verso altri referenti. Se queste misure non sono sufficienti e si prospetta un accesso eccezionale, occorre valutare preventivamente la necessità e la proporzionalità dell’intervento.

Ancora più delicata è la gestione dell’account dopo dimissioni, licenziamento o altra cessazione del rapporto. Il Garante per la protezione dei dati personali ha più volte affrontato le problematiche derivanti dal mantenimento di caselle nominative e dall’accesso alla corrispondenza degli ex dipendenti. L’impresa deve predisporre una procedura che contempli la disattivazione dell’account, l’eventuale messaggio automatico per gli interlocutori e la gestione delle comunicazioni professionali mediante soluzioni rispettose dei principi di minimizzazione e limitazione della conservazione. Il mantenimento indiscriminato della casella attiva o l’inoltro automatico di tutta la corrispondenza a un superiore non possono essere considerati modalità ordinariamente lecite.

La conformità riguarda anche i dati tecnici prodotti dai servizi di posta elettronica. I sistemi Microsoft 365, Exchange Online, Google Workspace e altre piattaforme cloud possono generare metadati relativi alle comunicazioni, registrazioni degli accessi e informazioni utilizzabili per ricostruire l’attività degli utenti. Il documento di indirizzo del Garante del 6 giugno 2024, successivo al provvedimento del 21 dicembre 2023, ha affrontato specificamente il trattamento dei metadati della posta elettronica dei lavoratori. Il riferimento indicativo a 21 giorni per la conservazione dei metadati necessari al funzionamento dell’infrastruttura non costituisce un termine generale applicabile a qualsiasi log o una soglia che renda automaticamente lecito ogni trattamento. Tempi superiori richiedono una giustificazione specifica e possono comportare l’applicazione delle garanzie dell’articolo 4 dello Statuto dei lavoratori.

Il responsabile IT non dovrebbe decidere autonomamente l’attivazione di funzionalità di monitoraggio o l’estensione dei tempi di conservazione. Prima di configurare sistemi di archiviazione, ricerca nelle comunicazioni, prevenzione della perdita di dati o acquisizione forense delle caselle, è necessario coordinare le valutazioni tecniche con quelle giuridiche. Quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, deve essere verificata anche la necessità di una valutazione d’impatto ai sensi dell’articolo 35 del GDPR.

Queste verifiche rientrano nella più ampia organizzazione della privacy dei dipendenti e degli obblighi del datore di lavoro. Devono essere coordinate con le informative, le istruzioni agli autorizzati, il registro delle attività di trattamento quando applicabile e gli accordi con i fornitori che operano come responsabili del trattamento. Nei casi in cui l’impresa abbia nominato un Responsabile della protezione dei dati, il DPO deve essere coinvolto tempestivamente nelle questioni relative alla protezione dei dati personali, ferma restando la responsabilità decisionale del titolare del trattamento.

Controllo delle email aziendali: responsabilità del datore di lavoro, sanzioni e procedure da adottare

Quando un’azienda decide di controllare la posta elettronica di un dipendente, deve considerare che la legittimità dell’operazione non dipende soltanto dall’esistenza di un interesse imprenditoriale. Anche una finalità comprensibile, come proteggere informazioni riservate, accertare una condotta illecita o recuperare documentazione commerciale, deve essere perseguita attraverso strumenti conformi alla normativa. Il rischio maggiore nasce quando il controllo viene disposto senza una procedura preventiva, affidando al reparto IT o a un responsabile aziendale la scelta delle informazioni da acquisire e delle modalità di accesso.

Le responsabilità possono riguardare diversi ambiti. Sotto il profilo della protezione dei dati personali, un accesso sproporzionato, privo di adeguata base giuridica o effettuato senza rispettare gli obblighi di trasparenza può comportare l’intervento del Garante Privacy. Il GDPR prevede, per determinate violazioni, sanzioni amministrative pecuniarie fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Si tratta dei massimali previsti dall’articolo 83, non di importi automaticamente applicabili a ogni controllo irregolare: la concreta determinazione della sanzione dipende dalla violazione accertata e dai criteri stabiliti dalla normativa.

Le violazioni dell’articolo 4 dello Statuto dei lavoratori possono comportare ulteriori conseguenze, comprese quelle previste dal relativo apparato sanzionatorio. In presenza dei rispettivi presupposti, possono inoltre sorgere controversie lavoristiche, richieste risarcitorie e questioni relative alla tutela della corrispondenza. Un controllo illegittimo può compromettere anche la posizione processuale dell’impresa quando le informazioni acquisite vengono utilizzate per giustificare una contestazione disciplinare o un licenziamento. La valutazione dell’utilizzabilità della prova richiede comunque di considerare le circostanze concrete e la disciplina applicabile.

Particolarmente delicata è la situazione in cui l’azienda sospetti che un dipendente stia trasferendo documenti riservati a un concorrente, sottraendo informazioni commerciali oppure utilizzando impropriamente i dati dei clienti. In questi casi, l’esigenza di proteggere il patrimonio aziendale può giustificare verifiche mirate, ma non consente automaticamente di acquisire l’intera corrispondenza del lavoratore. Prima di procedere occorre individuare gli elementi che hanno fatto sorgere il sospetto, delimitare temporalmente e oggettivamente l’indagine e verificare se le informazioni necessarie possano essere ottenute attraverso modalità meno invasive.

Un altro profilo riguarda la conservazione delle email e dei relativi metadati. La possibilità tecnica di archiviare integralmente la posta elettronica per periodi prolungati non costituisce, da sola, una giustificazione giuridica. Occorre distinguere le esigenze di sicurezza informatica, continuità operativa, conservazione documentale e tutela giudiziaria, individuando per ciascun trattamento finalità, presupposti e tempi appropriati. La conservazione generalizzata di tutte le comunicazioni dei dipendenti, giustificata genericamente con la necessità di proteggere l’azienda, presenta problemi di proporzionalità e limitazione della conservazione.

Per ridurre il rischio di contestazioni, riteniamo necessario che l’impresa disponga di una procedura effettivamente applicata per autorizzare e documentare gli accessi eccezionali alle caselle. La richiesta dovrebbe indicare la ragione dell’intervento, le informazioni ricercate, le persone autorizzate e le modalità previste per evitare l’acquisizione di comunicazioni estranee alla finalità. Nei casi più delicati è opportuno coinvolgere preventivamente la funzione legale, il responsabile HR e, ove designato, il DPO, mantenendo distinti i rispettivi compiti.

La verifica deve estendersi alle impostazioni dei sistemi informatici e ai rapporti con i fornitori dei servizi di posta elettronica. L’azienda dovrebbe conoscere quali dati vengono registrati automaticamente, chi può consultarli, per quanto tempo sono conservati e quali funzionalità consentono di ricostruire l’attività dei lavoratori. Se il servizio è affidato a un fornitore che tratta dati personali per conto dell’impresa, occorre verificare anche gli accordi previsti dall’articolo 28 del GDPR. Le attività devono essere coerenti con la documentazione aziendale e con le misure organizzative effettivamente adottate, secondo i principi illustrati nella nostra analisi sull’adeguamento GDPR aziendale.

Quando il controllo è già avvenuto e il dipendente ne contesta la legittimità, l’impresa deve evitare ulteriori accessi non necessari e ricostruire con precisione le operazioni effettuate. È opportuno verificare chi abbia consultato la casella, quali dati siano stati acquisiti, a chi siano stati comunicati e per quali finalità. Qualora emergano elementi di una possibile violazione dei dati personali, occorre valutare anche gli adempimenti previsti dagli articoli 33 e 34 del GDPR, senza presumere che ogni accesso irregolare integri automaticamente un data breach soggetto a notifica. Se il lavoratore presenta un reclamo, la gestione della controversia richiede particolare attenzione, come approfondito nell’articolo dedicato al reclamo privacy di un dipendente e alla difesa dell’azienda.

Un esempio pratico: accesso alle email di un dipendente dimissionario per recuperare comunicazioni commerciali

Consideriamo il caso ipotetico di una società commerciale nella quale un responsabile delle vendite presenta le dimissioni, lasciando alcune trattative con clienti importanti ancora aperte. La direzione chiede al reparto IT di mantenere attiva la casella nominativa e di inoltrare automaticamente tutte le comunicazioni al nuovo responsabile, così da evitare interruzioni nei rapporti commerciali.

La soluzione presenta un problema: l’inoltro indiscriminato potrebbe consentire l’accesso a comunicazioni personali o comunque estranee alle esigenze aziendali, senza un’adeguata delimitazione delle informazioni trattate. Prima di procedere, sarebbe necessario verificare la policy esistente, le informazioni fornite al lavoratore, le modalità di gestione degli account alla cessazione del rapporto e le alternative disponibili per recuperare la documentazione professionale.

Una gestione più appropriata dovrebbe privilegiare la disattivazione della casella nominativa, l’attivazione di un messaggio automatico per indirizzare i clienti verso un nuovo referente e l’utilizzo della documentazione già disponibile nei sistemi aziendali. Qualora residuasse una necessità specifica di recuperare informazioni non altrimenti disponibili, l’eventuale intervento dovrebbe essere sottoposto a una valutazione giuridica preventiva, circoscritto allo stretto necessario e adeguatamente documentato.

L’aspetto più delicato sarebbe distinguere l’esigenza di continuità commerciale dall’accesso alla corrispondenza individuale. La stessa procedura, opportunamente disciplinata e comunicata prima che si verifichi il problema, potrebbe essere integrata nelle regole aziendali di gestione degli account, evitando che ogni cessazione del rapporto venga affrontata attraverso decisioni improvvisate.

Domande frequenti sul controllo delle email aziendali dei dipendenti

Il datore di lavoro può leggere le email aziendali senza avvisare il dipendente?

Non esiste un’autorizzazione generale alla lettura delle email per il solo fatto che la casella appartenga all’azienda. Il lavoratore deve ricevere informazioni adeguate sulle modalità di utilizzo degli strumenti e sui possibili controlli, nel rispetto dell’articolo 4 dello Statuto dei lavoratori e del GDPR. Eventuali controlli difensivi mirati richiedono una valutazione specifica dei presupposti e non possono trasformarsi in un monitoraggio indiscriminato.

È sufficiente far firmare al dipendente una policy che autorizza il controllo delle email?

No. La firma di una policy non rende automaticamente legittimo qualsiasi accesso alla corrispondenza. Il documento deve descrivere correttamente le modalità di utilizzo degli strumenti informatici e le attività di controllo previste, ma l’azienda deve comunque rispettare le condizioni stabilite dalla normativa lavoristica e dal GDPR. Una dichiarazione generica con cui il dipendente accetta qualsiasi controllo non sostituisce tali garanzie.

L’azienda può utilizzare le email di un dipendente come prova per un licenziamento?

Le comunicazioni aziendali possono assumere rilevanza probatoria, ma occorre verificare come siano state acquisite e se il loro utilizzo rispetti la normativa applicabile. L’articolo 4, terzo comma, dello Statuto dei lavoratori stabilisce specifiche condizioni per l’utilizzabilità delle informazioni raccolte attraverso gli strumenti disciplinati dalla disposizione. In caso di controlli difensivi, devono essere valutati anche la natura dell’illecito sospettato, il momento in cui è sorto il sospetto e la proporzionalità dell’accertamento.

Microsoft 365 e Google Workspace consentono all’amministratore IT di accedere alle email: questo rende legittimo il controllo?

No. Le autorizzazioni tecniche disponibili nelle piattaforme informatiche non costituiscono una base giuridica per il trattamento dei dati. L’impresa deve disciplinare i privilegi amministrativi, limitare gli accessi alle persone autorizzate e verificare le funzionalità di monitoraggio e conservazione dei dati. Anche la raccolta dei metadati della posta elettronica deve essere valutata rispetto alle indicazioni del Garante Privacy e alle garanzie previste per i lavoratori.

Cosa deve fare un’azienda che ha già controllato le email di un dipendente senza una procedura privacy?

È opportuno ricostruire immediatamente le circostanze dell’accesso, identificare i dati consultati e verificare le ragioni che hanno determinato il controllo. Occorre valutare la liceità del trattamento, limitare eventuali ulteriori accessi non necessari e stabilire le misure correttive appropriate. Se sono già intervenute contestazioni disciplinari, reclami o richieste del lavoratore, è consigliabile sottoporre la documentazione a una valutazione legale prima di assumere ulteriori iniziative.

Controllo delle email aziendali: richiedi una valutazione legale e GDPR per la tua impresa

Se la vostra azienda deve accedere alla posta elettronica di un dipendente, verificare un sospetto illecito, recuperare comunicazioni commerciali oppure rivedere le procedure di controllo e conservazione delle email, possiamo esaminare la situazione sotto il profilo della normativa privacy e lavoristica.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione dei controlli sugli strumenti informatici aziendali, nella predisposizione delle procedure GDPR e nella gestione delle contestazioni relative alla riservatezza dei lavoratori. La soluzione deve essere individuata considerando le esigenze operative, le caratteristiche dei sistemi utilizzati e le specifiche circostanze del caso.

Per sottoporre il problema alla nostra attenzione, richiedi una valutazione legale in materia di privacy e GDPR aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare gli aspetti che richiedono un approfondimento professionale.