Controlli difensivi sulla posta elettronica aziendale: il licenziamento regge se l’informativa è provata
La questione in sintesi
Il Tribunale di Pisa, Sezione Lavoro, con sentenza n. 800 del 15 giugno 2026, respinge il ricorso di una dipendente con quasi trent’anni di anzianità licenziata per giusta causa a seguito dell’accesso datoriale alla sua casella di posta elettronica aziendale.
La decisione è interessante non tanto per l’esito, quanto per il metodo: il giudice non valida in blocco il controllo, ma lo taglia in due lungo una data precisa — quella in cui la lavoratrice ha accettato telematicamente la policy informatica. Tutto ciò che precede quella data è inutilizzabile; ciò che segue regge, ed è sufficiente a fondare il licenziamento.
Il secondo profilo di rilievo: un procedimento sanzionatorio del Garante Privacy sulla data retention aziendale, già avviato, non è stato ritenuto idoneo a travolgere l’utilizzabilità processuale delle e-mail acquisite.
Il caso concreto
La ricorrente era dipendente della società convenuta dal 2 maggio 1994, dapprima come operaia e successivamente come impiegata addetta alla fatturazione attiva presso la sede operativa di Pontedera. Il rapporto si interrompe il 2 marzo 2023 con un licenziamento per giusta causa.
All’origine della vicenda vi è una segnalazione informale: nel luglio 2022 il datore di lavoro apprende, in un colloquio occasionale, che il figlio neodiciottenne della lavoratrice aveva fatto parte del Consiglio di Amministrazione di una società fornitrice di servizi di trasporto. La lavoratrice comunica formalmente la circostanza al proprio superiore soltanto il 20 settembre 2022, a distanza di oltre un anno dall’inizio dell’incarico.
Insospettita dall’omessa comunicazione, la società incarica l’Internal Audit di una verifica, inizialmente limitata alle visure camerali. Da queste emerge un quadro più articolato: la società fornitrice aveva come socio unico una fiduciaria con la quale la stessa lavoratrice intratteneva un contratto di amministrazione fiduciaria, e la ricorrente aveva partecipato il 20 gennaio 2022, in qualità di delegata di quella fiduciaria e con diritto di voto, a un’assemblea della società fornitrice.
Solo a questo punto la società — previo parere del Responsabile della protezione dei dati e test di bilanciamento ai sensi del Regolamento UE 2016/679 — estende la verifica alla casella di posta aziendale, mediante estrazione automatizzata per parole chiave affidata a un fornitore IT nominato Responsabile del trattamento.
Il perimetro del controllo difensivo
Il Tribunale muove dall’art. 4 dello Statuto dei Lavoratori, ricordando che i dispositivi informatici aziendali — computer e posta elettronica — sono esclusi dalla procedura autorizzativa del comma 1, rientrando nel comma 2 quali strumenti necessari alla prestazione. Resta però fermo il comma 3, che subordina l’utilizzabilità delle informazioni raccolte all’adeguata informazione preventiva del lavoratore.
Il giudice affianca al requisito del fondato sospetto quello, autonomo, della trasparenza informativa, ricavabile dal Codice della privacy, dal Regolamento UE 2016/679 e già dalle Linee guida del Garante per posta elettronica e internet del 1° marzo 2007. E ne trae una regola di riparto dell’onere probatorio di immediata rilevanza pratica.
Quali documenti non valgono come informativa
La parte più utile per il professionista è la disamina analitica dei documenti prodotti dalla difesa aziendale, due dei quali vengono espressamente svalutati.
Inidoneo
Il Tribunale lo qualifica come «modulistica dal contenuto generico avente valore di mansionario di istruzioni comportamentali per il dipendente», priva di qualsiasi efficacia ai fini dell’informativa sui controlli.
Inidoneo
Ha «valore di mera ricevuta di consegna dei dispositivi informatici». Il rinvio generico ai regolamenti aziendali contenuti nel Manuale Organizzativo è giudicato «riferimento privo di efficacia ai fini della trasparenza».
È solo con l’accettazione telematica delle linee guida informatiche, perfezionatasi il 18 ottobre 2021 in occasione dell’assegnazione di un nuovo dispositivo, che il giudice individua un atto informativo valido: contiene un rinvio «preciso, mirato e inequivocabile» al corpo di regole aziendali e una dichiarazione in prima persona della dipendente.
La cronologia dello spartiacque
Elemento che il Tribunale valorizzerà nel giudicare ragionevole l’ampiezza temporale della verifica.
Spartiacque
Da questa data in avanti i controlli sono legittimi. Il materiale raccolto tra marzo 2020 e ottobre 2021 viene espunto dal compendio utilizzabile.
Il giudice qualifica l’omissione come «indicatore di rischio e di fondato sospetto di un conflitto di interessi», idoneo a legittimare l’avvio delle verifiche.
Confermato
Il Tribunale ritiene rispettato il principio di immediatezza, tenuto conto della complessità e della durata degli accertamenti istruttori interni.
Ricorso rigettato
Rigetto integrale del ricorso, con condanna alle spese liquidate in euro 9.257,00 oltre accessori. Respinta anche la domanda datoriale di condanna per lite temeraria ex art. 96 c.p.c.
Controllo mirato, non massivo
Accertata la legittimità temporale, il Tribunale verifica le modalità concrete dell’accesso. L’estrazione è avvenuta su un server di backup inaccessibile al personale, tramite quattro o cinque parole chiave e un intervallo temporale delimitato, con esito di circa un centinaio di messaggi visionati da due sole persone autorizzate.
Il procedimento del Garante non travolge la prova
Sui reclami della lavoratrice, l’Autorità Garante aveva avviato un procedimento sanzionatorio nei confronti della società, rilevando profili di illiceità strutturale nella prassi di conservazione dei dati: log di accesso conservati per sei mesi e intera corrispondenza fino a cinque anni dopo la cessazione del rapporto, senza adeguata comunicazione ai dipendenti.
Il Tribunale opera qui una distinzione destinata a pesare nel contenzioso futuro: separa l’illecito amministrativo relativo all’architettura di conservazione dall’utilizzabilità processuale del singolo documento acquisito nell’ambito di un’indagine mirata.
Fedeltà, proporzionalità e ritorsività
Nel merito, il giudice ravvisa la violazione dell’obbligo di fedeltà di cui all’art. 2105 c.c., letto in combinato con i canoni di correttezza e buona fede degli artt. 1175 e 1375 c.c. La condotta rilevante non è un atto positivo, ma una reticenza prolungata: per oltre un anno la lavoratrice ha taciuto una circostanza relativa alla società fornitrice del proprio datore, in posizione potenzialmente confliggente con le mansioni di addetta alla fatturazione attiva.
Respinta infine la tesi della ritorsività. Il Tribunale osserva che il carattere ritorsivo esige la prova, gravante sul lavoratore, di un intento vendicativo quale motivo unico e determinante del recesso; prova che nella specie non è stata fornita, non potendosi desumere la ritorsione dal mero legame affettivo con un collega destinatario di analogo provvedimento.
I punti fermi della decisione
1. Il controllo difensivo deve essere mirato ed ex post. L’accesso alla posta aziendale è consentito solo dopo l’insorgenza di un fondato sospetto di illecito, e deve limitarsi ai dati acquisiti successivamente a quel momento.
2. L’informativa ha una data, e quella data delimita la prova. Il momento in cui il lavoratore accetta formalmente la policy fissa il confine dell’utilizzabilità: tutto ciò che precede è espunto, anche se rilevante nel merito.
3. Ricevute di consegna e mansionari generici non sono informative. Occorre un documento che indichi limiti d’uso dello strumento, frequenza dei controlli e tempi di conservazione dei log; il rinvio generico ad altri regolamenti non basta.
4. L’onere della liceità grava sul datore di lavoro. È l’impresa a dover provare la legittimità dell’accesso, non il lavoratore a doverne dimostrare l’illegittimità.
5. Illecito privacy e inutilizzabilità processuale non coincidono. Un procedimento del Garante sulla conservazione dei dati non determina automaticamente l’espunzione delle prove raccolte con indagine mirata.
Consigli strategici per l’avvocato
- Per il difensore del lavoratore: non fermarsi alla contestazione generica dell’illegittimità del controllo. La sentenza mostra che la censura sull’art. 4 St. Lav., se non accompagnata dalla contestazione specifica dei fatti emersi, lascia intatto il nucleo probatorio. Chiedere in giudizio la produzione integrale della documentazione informativa e datarne con precisione ciascun elemento: lo spazio difensivo si gioca sulla cronologia.
- Per il difensore del datore di lavoro: ricostruire documentalmente la sequenza fondato sospetto → parere del DPO → test di bilanciamento → estrazione per parole chiave delimitate → accesso limitato a soggetti autorizzati. È questa tracciabilità procedurale, più della gravità sostanziale dei fatti, ad aver retto al vaglio giudiziale.
- Per entrambi: verificare l’esistenza e la data di accettazione della policy informatica prima ancora di impostare la strategia. La prova documentale dell’informativa è l’elemento che, nella specie, ha separato il materiale utilizzabile da quello espunto, e con esso l’esito della causa.
La sentenza è consultabile nel testo integrale sulla banca dati BuddaLaw al seguente indirizzo: Tribunale di Pisa, Sez. Lavoro, sent. n. 800/2026.
Il presente articolo ha finalità esclusivamente divulgative e informative. Non costituisce parere legale né consulenza professionale. Le informazioni riportate si basano su pronunce reperite nella banca dati BuddaLaw e possono non riflettere l’evoluzione normativa o giurisprudenziale successiva alla data di pubblicazione. Per ogni questione specifica si raccomanda di rivolgersi a un professionista abilitato. L’autore e il gestore del sito declinano ogni responsabilità per l’uso improprio delle informazioni qui contenute.
Questo articolo è stato elaborato e redatto con il supporto di strumenti di intelligenza artificiale e potrebbe contenere errori. Le fonti giurisprudenziali sono state ricercate e verificate sulla banca dati BuddaLaw.