CONTROLLI AZIENDALI? La Cassazione mette dei limiti

Il caso

Una società aveva agito in giudizio contro alcuni ex dipendenti per condotte di concorrenza sleale, producendo come prova alcune e‑mail tratte dagli account di posta personale dei lavoratori, pur accessibili tramite i server e dispositivi aziendali. In primo grado il Tribunale di Milano aveva ritenuto utilizzabili tali comunicazioni per accertare la condotta sleale e aveva condannato i lavoratori al risarcimento. In secondo grado la Corte d’Appello ha escluso l’utilizzabilità delle stesse e ha rigettato le domande della società, ritenendo che le e‑mail personali non potessero essere impiegate come prove nei confronti dei lavoratori in assenza di regole chiare sui controlli. La società ha quindi proposto ricorso sostenendo tra l’altro la legittimità dell’utilizzo delle comunicazioni estratte dal sistema aziendale.

Il principio stabilito dal giudice

Con sentenza n. 24204 del 29 agosto 2025, la Corte di Cassazione – Sezione Lavoro Civile – ha affermato un principio fondamentale in materia di controlli aziendali e tutela della privacy: le e‑mail personali dei lavoratori restano dati personali tutelati, anche se accessibili da dispositivi o server aziendali, e non possono essere utilizzate in giudizio a meno che:

✔ sia stata fornita una informativa preventiva chiara e specifica al lavoratore circa la possibilità di controllo di tali comunicazioni;

✔ siano rispettati i principi di proporzionalità, necessità e finalità legittima del trattamento, secondo i criteri stabiliti dalla giurisprudenza della Corte europea dei diritti dell’uomo.

La Corte ha richiamato in particolare i principi di tutela della “vita privata” e della “corrispondenza” ai sensi dell’articolo 8 della Convenzione Europea dei Diritti dell’Uomo, ribadendo che l’accesso o l’utilizzo in giudizio di comunicazioni private senza le condizioni di legge configura un’invasione ingiustificata della sfera personale del lavoratore.

Implicazioni operative

✔ Quali controlli sono legittimi?

a) È possibile l’utilizzo di strumenti di controllo aziendali o dei dati generati sulla rete aziendale solo se i lavoratori sono stati preventivamente informati e la finalità del controllo è legittima (ad es. sicurezza dei sistemi, prevenzione di perdite);

b) In assenza di informative specifiche e documentate, l’azienda non può considerare utilizzabili come prove giudiziarie le e‑mail personali conservate o transitanti sui sistemi aziendali.

✔ Quali limiti restano?

a) Anche se le comunicazioni sono conservate su server aziendali, il loro contenuto rimane soggetto a tutela della privacy, se si tratta di account personali;

b) L’accesso non autorizzato o l’utilizzo delle comunicazioni a fini processuali può violare non solo le norme sulla protezione dei dati, ma anche principi di diritto costituzionale e sovranazionale sulla privacy e sulla corrispondenza.

✔ Cosa succede alle prove già raccolte?

a) Le prove ottenute violando i principi di tutela dei dati personali e senza informativa preventiva non possono essere utilizzate per fondare richieste risarcitorie o condanne nei confronti dei lavoratori in sede civile o penale.

Cosa significa per chi legge

Questa sentenza ribadisce un principio di estrema rilevanza nel rapporto di lavoro moderno: la tutela della privacy del lavoratore non viene meno solo perché il dato sia nato o transitato su un sistema informatico aziendale. Anche l’accesso a comunicazioni personali, pur tecnicamente possibile dall’azienda, non può essere usato automaticamente come prova in giudizio se non sono rispettate le condizioni di legge in materia di informativa e protezione dei dati. In pratica, quindi, le imprese devono adottare policy di controllo trasparenti e conformi alla normativa sulla protezione dei dati, prevedendo informazioni preventive ai lavoratori e criteri di proporzionalità nei controlli, per poter utilizzare dati digitali nei procedimenti giudiziari.