Email aziendali e badge di accesso: due regimi dei controlli datoriali
La questione in sintesi
L’art. 4 dello Statuto dei Lavoratori distingue nettamente gli strumenti dai quali deriva la possibilità di controllo a distanza dell’attività lavorativa (comma 1) dagli strumenti di lavoro e di registrazione degli accessi e delle presenze (comma 2). Due recenti pronunce della Cassazione, apparentemente in contrasto, illuminano la differenza di regime. Nella prima (Cass. n. 24204/2025) il controllo sulla posta elettronica personale confluita sul server aziendale è stato dichiarato illegittimo, con conseguente inutilizzabilità della prova. Nella seconda (Cass. n. 7985/2026) il controllo sugli accessi tramite badge e tornelli è stato ritenuto pienamente legittimo, al ricorrere delle sole condizioni dell’adeguata informativa e del rispetto della normativa privacy.
Un solo articolo, due regimi giuridici
La materia dei controlli datoriali è tra le più delicate del diritto del lavoro contemporaneo. La disciplina cardine è contenuta nell’art. 4 della legge n. 300 del 1970, profondamente riformato dal D.Lgs. n. 151/2015. La norma non traccia una linea unica, ma costruisce un sistema a cerchi concentrici: al centro, lo strumento di lavoro e quello di rilevazione delle presenze, soggetti al solo obbligo di adeguata informativa; nel cerchio intermedio, gli impianti dai quali deriva anche la possibilità di controllo a distanza dell’attività, installabili soltanto per esigenze organizzative, produttive, di sicurezza o tutela del patrimonio, previo accordo sindacale o autorizzazione dell’Ispettorato; nel cerchio più esterno, i controlli difensivi in senso stretto, elaborati dalla giurisprudenza come strumenti emergenziali di reazione a un fondato sospetto di illecito.
Le due sentenze oggetto di questa analisi si collocano su versanti opposti di questo sistema, ma rispondono entrambe alla stessa logica: il lavoratore deve sempre sapere se, come e per quali finalità può essere controllato. Quando l’informativa manca o è inidonea, la prova è inutilizzabile. Quando è presente e adeguata, lo strumento del comma 2 dispiega piena efficacia, anche disciplinare.
Le due pronunce a confronto
Controllo illegittimo
Una società aveva acquisito, dai personal computer e dal server aziendale, comunicazioni e-mail degli ex dipendenti dopo la cessazione del rapporto di lavoro, utilizzandole come prova di atti di concorrenza sleale. Le e-mail provenivano da account personali protetti da password, sebbene fossero confluite sul server aziendale. La Corte d’Appello di Milano aveva dichiarato inutilizzabile la consulenza tecnica informatica. La Cassazione ha confermato.
La Corte ha inoltre richiamato i principi della sentenza Bărbulescu della Grande Camera CEDU (5 settembre 2017), ribadendo che le comunicazioni trasmesse dai locali dell’impresa rientrano nella nozione di «vita privata» e «corrispondenza» tutelate dall’art. 8 della Convenzione, e che il controllo datoriale deve rispettare i principi di finalità legittima, proporzionalità e preventiva dettagliata informazione. Un controllo massivo e preventivo, non accompagnato da idonee informative, fuoriesce dal perimetro della legittimità.
Controllo legittimo
Un dipendente Enel era stato licenziato per giusta causa nel gennaio 2020 per aver ripetutamente omesso la timbratura all’ingresso e all’uscita, o aver inserito manualmente orari non corrispondenti ai dati rilevati dal sistema di controllo degli accessi. La Corte d’Appello di Napoli aveva confermato la legittimità del licenziamento, sussumendo la fattispecie nell’art. 4, comma 2, St. Lav. La Cassazione ha respinto il ricorso del lavoratore.
La Corte ha precisato che la rilevazione delle presenze tramite tornelli, pur comportando un controllo sul quantum della prestazione, non coincide con il controllo sull’attività del lavoratore disciplinato dal comma 1, né con il controllo difensivo in senso stretto che richiede il fondato sospetto ex post. L’informativa veicolata dalla Policy aziendale n. 164/2018, pubblicata sull’intranet, diffusa via e-mail massiva e richiamata in busta paga, è stata ritenuta adeguata sia nel contenuto sia nelle modalità di comunicazione.
La convergenza nella divergenza
L’apparente contrasto tra le due pronunce si dissolve non appena si guardi alla norma applicabile. Nel primo caso, il datore di lavoro aveva effettuato un controllo che incideva sulla corrispondenza elettronica personale (seppure transitata sul server aziendale) senza aver attivato né le procedure del comma 1 (accordo sindacale o autorizzazione Ispettorato), né i requisiti del controllo difensivo in senso stretto (fondato sospetto, dati raccolti ex post), né un’adeguata informativa ai lavoratori. Nel secondo caso, lo strumento utilizzato — il badge marcatempo — rientra espressamente nell’elenco tipizzato dal comma 2 («strumenti di registrazione degli accessi e delle presenze»), per il quale il legislatore ha ritenuto sufficiente l’adeguata informativa e il rispetto della normativa privacy.
Sintesi comparativa
| Profilo | Cass. 24204/2025 (email) | Cass. 7985/2026 (badge) |
|---|---|---|
| Strumento | Posta elettronica personale transitata sul server aziendale | Tornelli e badge per la registrazione degli accessi |
| Norma applicabile | Art. 4, comma 1, St. Lav. e/o controllo difensivo in senso stretto | Art. 4, comma 2, St. Lav. |
| Accordo sindacale o Ispettorato | Necessario (o presupposti del controllo difensivo) | Non necessario |
| Finalità del controllo | Solo organizzative, produttive, sicurezza, patrimonio | Libera, compresa quella disciplinare |
| Informativa preventiva | Necessaria; nel caso concreto mancante | Necessaria; nel caso concreto ritenuta adeguata |
| Esito processuale | Prova inutilizzabile; domanda risarcitoria rigettata | Licenziamento confermato |
Il nodo del controllo difensivo
La sentenza n. 24204/2025 è particolarmente significativa perché respinge l’argomento con cui la società aveva tentato di qualificare l’acquisizione delle e-mail come controllo difensivo in senso stretto, invocando la circostanza che l’indagine fosse stata svolta dopo le dimissioni dei dipendenti. La Cassazione, in linea con il proprio consolidato orientamento (Cass. nn. 25731 e 25732 del 2021; Cass. n. 18168/2023), ha ribadito che il controllo difensivo in senso stretto si colloca fuori dal perimetro dell’art. 4 solo in presenza di un fondato sospetto preesistente e a condizione che i dati utilizzati siano stati raccolti successivamente all’insorgere del sospetto. Non è sufficiente, in altri termini, che l’analisi dei dati avvenga ex post: occorre che anche la raccolta sia successiva. Diversamente, il datore potrebbe eludere la disciplina garantistica conservando per lungo tempo informazioni, per poi invocare a posteriori la natura «difensiva» del controllo.
Simmetricamente, l’ordinanza n. 7985/2026 chiarisce che, quando lo strumento ricade nel comma 2, non occorre alcun fondato sospetto: i dati sono legittimamente raccolti dalla nascita del rapporto e utilizzabili «a tutti i fini», incluso quello disciplinare. L’analisi di quei dati, anche se sollecitata da un sospetto successivo, non muta la natura giuridica del controllo, perché si muove su un piano diverso da quello del controllo difensivo.
Il principio di diritto consolidato
1. Perimetro dell’art. 4 St. Lav. Gli strumenti di lavoro e quelli di registrazione degli accessi e delle presenze (comma 2) sono sottratti ai vincoli procedurali del comma 1: non richiedono accordo sindacale o autorizzazione dell’Ispettorato, e i dati raccolti sono utilizzabili a tutti i fini connessi al rapporto di lavoro, ivi compreso quello disciplinare, a condizione dell’adeguata informativa e del rispetto della normativa privacy.
2. Strumenti di controllo in senso proprio. Gli impianti dai quali deriva la possibilità di controllo a distanza dell’attività lavorativa (comma 1) sono installabili soltanto per esigenze organizzative, produttive, di sicurezza o tutela del patrimonio aziendale, previo accordo sindacale o autorizzazione dell’Ispettorato; il loro utilizzo è parimenti subordinato all’adeguata informativa.
3. Controllo difensivo in senso stretto. Esso si colloca al di fuori del perimetro dell’art. 4 solo se mirato, attivato a seguito di un fondato sospetto e limitato ai dati raccolti successivamente all’insorgere del sospetto stesso; la raccolta anticipata e indiscriminata di informazioni non può essere riqualificata ex post come controllo difensivo.
4. Corrispondenza elettronica e CEDU. Le e-mail inviate dal luogo di lavoro rientrano nella nozione di vita privata e corrispondenza protetta dall’art. 8 CEDU; il loro controllo richiede finalità legittima, proporzionalità e preventiva dettagliata informazione, non essendo ammissibile un’attività di controllo massivo.
L’adeguatezza dell’informativa
Il discrimine più delicato, tanto nelle fattispecie del comma 1 quanto in quelle del comma 2, resta la qualità dell’informativa. L’ordinanza n. 7985/2026 offre un parametro pragmatico: l’informazione è adeguata quando spiega in modo dettagliato da quali strumenti presenti in azienda derivi la possibilità di controllo, per quali finalità i dati saranno utilizzati, e quando è veicolata attraverso molteplici canali idonei a raggiungere tutti i destinatari. Nel caso Enel, la Policy aziendale era stata pubblicata sull’intranet, inviata via e-mail massiva con link diretto al documento e richiamata in busta paga: una triplice comunicazione che il giudice di merito ha ritenuto congrua e che la Cassazione non ha censurato.
Per converso, nel caso deciso da Cass. n. 24204/2025, la società non aveva dimostrato di aver impartito specifiche disposizioni finalizzate a regolamentare le modalità di controllo o di duplicazione della corrispondenza dei lavoratori, né di aver acquisito il consenso individuale, né di aver rilasciato le informative previste dal Codice Privacy. In assenza di questi presidi, l’acquisizione dei dati si traduce direttamente in una violazione dell’art. 8 della legge n. 300/1970, che vieta lo svolgimento di indagini sulle opinioni e sulla vita personale del lavoratore, anche se le informazioni raccolte non siano in concreto utilizzate (principio già affermato da Cass. n. 18302/2016, richiamata al punto 14 della sentenza in commento).
Consigli strategici per l’avvocato
- Per il difensore del lavoratore: verificare sempre la natura dello strumento utilizzato dal datore per acquisire la prova disciplinare. Se lo strumento è potenzialmente idoneo al controllo sull’attività (es. software di monitoraggio, intercettazione e-mail, sistemi di geolocalizzazione non finalizzati alla presenza), contestare l’assenza di accordo sindacale o autorizzazione dell’Ispettorato; se si discute di controllo difensivo, pretendere la prova rigorosa del fondato sospetto anteriore alla raccolta dei dati. In ogni caso, verificare la qualità e la tempestività dell’informativa.
- Per il difensore del datore di lavoro: costruire preventivamente un sistema documentale che colleghi ciascuno strumento a una policy scritta, diffusa attraverso molteplici canali (intranet, e-mail, busta paga, sottoscrizione in sede di assunzione) e aggiornata periodicamente. Per gli strumenti del comma 1, procurarsi l’accordo sindacale o l’autorizzazione dell’Ispettorato prima dell’installazione. Per gli strumenti del comma 2, distinguere chiaramente nell’informativa le finalità di registrazione delle presenze da quelle eventualmente disciplinari.
- Per entrambi: la riforma del 2015 non ha abolito lo Statuto dei Lavoratori in materia di controlli, ma ne ha ridefinito l’ambito. Nella pratica, la battaglia processuale si gioca quasi sempre su due terreni: la qualificazione dello strumento (comma 1, comma 2 o controllo difensivo) e l’adeguatezza dell’informativa. Impostare il contraddittorio su questi due fronti, con allegazione puntuale degli elementi fattuali, è il modo più efficace di orientare la decisione del giudice di merito.
Il presente articolo ha finalità esclusivamente divulgative e informative. Non costituisce parere legale né consulenza professionale. Le informazioni riportate si basano su pronunce della Corte di Cassazione reperite nella banca dati BuddaLaw e possono non riflettere l’evoluzione normativa o giurisprudenziale successiva alla data di pubblicazione. Per ogni questione specifica si raccomanda di rivolgersi a un professionista abilitato. L’autore e il gestore del sito declinano ogni responsabilità per l’uso improprio delle informazioni qui contenute.
Questo articolo è stato elaborato e redatto con il supporto di strumenti di intelligenza artificiale e potrebbe contenere errori. Le fonti giurisprudenziali sono state ricercate e verificate sulla banca dati BuddaLaw.