Il controllo difensivo ex post sulla posta aziendale è lecito se avviene dopo che il datore ha già acquisito un ragionevole sospetto di condotta illecita del dipendente. I dati così raccolti sono utilizzabili in giudizio a condizione che il lavoratore fosse stato preventivamente informato delle policy aziendali sugli strumenti elettronici. Il licenziamento fondato su tali prove regge se il fatto contestato integra una giusta causa e la proporzionalità della sanzione è documentata.
Punti chiave
- Punto 1 — Il controllo ex post è lecito solo se preceduto da un sospetto fondato su elementi oggettivi concreti.
- Punto 2 — La policy aziendale sugli strumenti elettronici deve essere consegnata e firmata dal dipendente prima del controllo.
- Punto 3 — Le prove ricavate dalla posta aziendale sono ammissibili se rispettano art. 4 St. Lav. e Reg. UE 2016/679.
Se assisti datori di lavoro in controversie disciplinari, questa pronuncia ti dà uno strumento operativo preciso: il controllo sulla casella email aziendale non è automaticamente illegittimo, ma deve seguire una sequenza causale ben definita. Sbagliare l’ordine degli atti — controllare prima, cercare il motivo dopo — espone il licenziamento all’impugnazione e il datore a una condanna ex art. 18 St. Lav. o al regime indennitario del d.lgs. 23/2015.
Il Tribunale di Pisa, Sez. lavoro, con la sentenza 13 giugno 2026 (N.R.G. 1353/2023), ha ritenuto legittimo il licenziamento di un dipendente i cui messaggi di posta aziendale erano stati acquisiti dal datore nell’ambito di un controllo difensivo ex post. La pronuncia completa è disponibile su GiuriCivile.it.
Il contesto normativo
Il quadro di riferimento si regge su tre pilastri. L’art. 4, comma 3, della L. 300/1970 (Statuto dei Lavoratori), nella versione riformata dal d.lgs. 151/2015, consente l’utilizzo delle informazioni raccolte tramite strumenti tecnologici aziendali a fini disciplinari, purché il lavoratore sia stato informato delle modalità d’uso e dei controlli possibili. Il Regolamento UE 2016/679 (GDPR), artt. 5 e 6, impone che il trattamento sia fondato su una base giuridica legittima — nel rapporto di lavoro privato, tipicamente il legittimo interesse ex art. 6, par. 1, lett. f. La Cassazione, con la sentenza n. 25732/2021, ha già distinto i controlli difensivi ex post — leciti se rivolti ad accertare condotte illecite già sospettate — dai controlli generalizzati sull’attività lavorativa, che restano vietati. Il Trib. Pisa 2026 si inserisce in questa linea, applicandola al caso concreto.
Cosa cambia per lo studio
- Prima di consigliare al cliente di accedere alla casella email del dipendente, verifica che esista un sospetto specifico e documentabile: un’anomalia contabile, una segnalazione scritta, un accesso anomalo ai sistemi. Il sospetto generico non basta.
- Controlla che l’azienda abbia adottato e comunicato una policy sull’uso degli strumenti elettronici, con firma di ricevuta del dipendente. Senza questo passaggio, le prove ricavate rischiano di essere inutilizzabili ex art. 4 St. Lav.
- Il controllo deve essere proporzionato: accedere solo alle email pertinenti all’illecito sospettato, non all’intera cronologia della casella. Acquisire più dati del necessario configura una violazione del principio di minimizzazione ex art. 5, par. 1, lett. c, GDPR.
- Nella lettera di contestazione disciplinare, indica con precisione quali messaggi hai acquisito, in quale data, per quale motivo. La genericità della contestazione è un vizio autonomo che può travolgere il licenziamento anche se le prove erano legittime.
- Se il dipendente aveva usato la casella aziendale per comunicazioni anche personali con il tacito consenso del datore, il regime di tutela della privacy si complica: in quel caso, coinvolgi il DPO aziendale prima di procedere.
Attenzione a
Il rischio principale è invertire la sequenza logica: il controllo difensivo ex post presuppone che il sospetto preesista all’accesso alla casella. Se il datore accede alle email e solo dopo costruisce la motivazione, il giudice qualificherà l’operazione come controllo preventivo sull’attività lavorativa, vietato dall’art. 4, comma 1, St. Lav. In quel caso le prove sono inutilizzabili e il licenziamento decade.
Secondo errore frequente: omettere la notifica al Garante per la Protezione dei Dati Personali nei casi in cui il trattamento comporti un rischio elevato per i diritti del lavoratore, ai sensi dell’art. 35 GDPR (valutazione d’impatto). In un contenzioso, l’assenza di questa valutazione rafforza le argomentazioni del lavoratore sulla illegittimità del trattamento.
Domande frequenti
Il datore di lavoro può leggere le email aziendali del dipendente senza il suo consenso?
Sì, ma solo nell’ambito di un controllo difensivo ex post, ovvero dopo aver maturato un sospetto fondato su elementi oggettivi di una condotta illecita. Il consenso del dipendente non è richiesto se esiste una policy aziendale che prevede espressamente la possibilità di controllo, comunicata al lavoratore prima dell’assunzione o durante il rapporto.
Le email aziendali sono utilizzabili come prova nel procedimento disciplinare?
Sono utilizzabili se acquisite nel rispetto dell’art. 4, comma 3, L. 300/1970 e del GDPR. Il datore deve dimostrare che il dipendente era informato della policy, che il controllo era proporzionato all’illecito sospettato e che i dati trattati erano limitati a quelli strettamente pertinenti. In assenza di questi requisiti, il giudice le esclude.
Cosa rischia il datore di lavoro se controlla illegittimamente la posta aziendale del dipendente?
Rischia la nullità del licenziamento per violazione dell’art. 4 St. Lav., con conseguente reintegra o indennizzo a seconda del regime applicabile (art. 18 St. Lav. o d.lgs. 23/2015). Sul piano amministrativo, il Garante Privacy può irrogare sanzioni fino a 20 milioni di euro o al 4% del fatturato globale annuo ex art. 83 GDPR.
Fonte di riferimento: Giuricivile