Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Un'impiegata con quasi trent'anni di anzianità viene licenziata per giusta causa. L'azienda, insospettita da alcune anomalie nei rapporti con i fornitori, accede alla sua casella di posta elettronica aziendale tramite un auditor interno, utilizza filtri per parole chiave, estrae un centinaio di messaggi e scopre che la lavoratrice aveva taciuto per oltre un anno il ruolo assunto dal figlio nel consiglio di amministrazione di una società fornitrice. Un conflitto di interessi documentato, grave, prolungato. Il licenziamento sembra granitico.
Eppure il giudice non ragiona in blocco. Taglia il controllo in due lungo una data precisa — quella in cui la dipendente aveva accettato telematicamente la policy informatica aziendale — e stabilisce che solo le email successive a quella data possono essere utilizzate come prova. La decisione non valida il controllo in blocco, ma lo «taglia in due lungo una data precisa — quella in cui la lavoratrice ha accettato telematicamente la policy informatica. Tutto ciò che precede quella data è inutilizzabile; ciò che segue regge, ed è sufficiente a fondare il licenziamento.»
È questa la lezione più importante che si ricava da Tribunale di Pisa, Sezione Lavoro, sentenza n. 800/2026, pubblicata il 15 giugno 2026: non che il controllo sulla posta aziendale sia sempre legittimo, né che sia sempre illegittimo, ma che la sua validità si misura millimetro dopo millimetro, e che ogni email vale o non vale a seconda di quando il lavoratore è stato informato della possibilità di quel controllo.
Cosa la legge consente — e cosa le aziende credono di poter fare
L'equivoco di fondo è antico quanto la posta elettronica stessa: molte imprese ritengono che la casella email fornita al dipendente sia, in quanto strumento aziendale, di esclusiva proprietà e disponibilità dell'impresa. È un convincimento comprensibile ma giuridicamente errato, e il Garante per la Protezione dei Dati Personali lo ha smentito con forza nel corso del 2026.
Le email contenute in account aziendali di un ex dipendente, anche quelle di contenuto strettamente lavorativo, mantengono la natura di dati personali dell'interessato, e il datore di lavoro non può, salvo eccezioni tassativamente previste dalla legge, impedire al dipendente di accedervi. È il principio cardine affermato dal Garante per la Protezione dei Dati Personali con il provvedimento n. 165 del 12 marzo 2026.
Il caso che ha originato quel provvedimento è istruttivo: un ex dipendente, al termine del rapporto di lavoro, aveva richiesto accesso integrale alla propria casella di posta elettronica aziendale di tipo individualizzato. L'azienda aveva consegnato solo le email a contenuto personale, trattenendo quelle relative all'attività lavorativa in quanto contenenti informazioni riservate. Il Garante ha accolto il reclamo del lavoratore, ordinando l'accesso completo all'intera casella e irrogando una sanzione amministrativa di 50.000 euro.
Il punto centrale è la titolarità dei dati, non la titolarità dello strumento. Quando un account è individualizzato, ovvero reca il nome e il cognome del lavoratore, esiste una presunzione di pertinenza di ogni messaggio alla sfera di quell'interessato. Il Garante ha censurato la condotta della società, sottolineando che non spetta al datore decidere preventivamente cosa l'interessato debba o possa vedere della propria storia comunicativa.
Non è solo questione di accesso post-rapporto: il Garante ha ritenuto contraria ai principi in materia di protezione dei dati personali la condotta posta in essere dalla società consistente nell'analisi preventiva del contenuto delle email presenti sull'account aziendale del dipendente. Tale analisi era stata intrapresa dall'azienda con l'obiettivo di filtrare le comunicazioni e limitare l'accesso dell'interessato ai soli messaggi di carattere strettamente personale, partendo dal presupposto errato che la corrispondenza scambiata tramite uno strumento aziendale sia nella piena ed esclusiva disponibilità del datore di lavoro.
Il provvedimento n. 165/2026 affronta anche la questione dei tempi di conservazione, spesso sottovalutata dalle imprese: un periodo di conservazione delle email pari a 5 anni è stato ritenuto eccessivo. Allo stesso modo, la conservazione dei log di navigazione internet per 12 mesi è stata giudicata incongrua. E ancora, il backup della posta elettronica e i log di navigazione rientrano tra gli strumenti di controllo a distanza e richiedono un accordo sindacale preventivo o l'autorizzazione dell'Ispettorato del Lavoro.
Il paradosso della prova: quando l'illecito amministrativo non travolge il licenziamento
Qui si annida il profilo più sottile — e più trascurato — dell'intera materia: la dissociazione tra illiceità amministrativa della conservazione dei dati e utilizzabilità processuale delle prove estratte. Il Tribunale di Pisa ha introdotto una distinzione che molti non si aspettavano: il punto più innovativo consiste nella separazione tra la possibile illiceità amministrativa del sistema di conservazione massiva e l'utilizzabilità della singola prova nel processo del lavoro. Secondo questa impostazione, l'eventuale irregolarità dell'archivio informatico non rende automaticamente inutilizzabili i documenti recuperati mediante una ricerca successiva, selettiva e collegata a un sospetto già formatosi.
In pratica: l'azienda può essere sanzionata dal Garante per come ha gestito l'archivio, e al contempo il giudice del lavoro può ritenere valide le prove ricavate da quell'archivio, purché il controllo fosse mirato, ex post e preceduto da un'informativa regolarmente accettata. Un procedimento sanzionatorio del Garante Privacy sulla data retention aziendale, già avviato, non è stato ritenuto idoneo a travolgere l'utilizzabilità processuale delle email acquisite.
Questa scissione tra piano amministrativo-privacy e piano processuale-lavoristico è una delle tensioni più rilevanti del momento, e non è ancora risolta in modo stabile dalla giurisprudenza. La Cassazione, dal canto suo, ha consolidato il principio che i controlli difensivi — cioè quelli orientati ad accertare condotte illecite già sospettate — sfuggono in parte alle procedure dell'art. 4 dello Statuto dei Lavoratori, ma non possono legittimare retroattivamente dati raccolti prima che il sospetto si fosse formato. La Cassazione, con le sentenze n. 25732/2021, n. 18168/2023 e n. 7514/2026, ha chiarito che il datore deve dimostrare la legittima acquisizione dei dati tecnologici. Le informazioni raccolte prima del sospetto o in assenza delle garanzie previste non possono essere sanate attraverso una successiva indagine disciplinare.
Il criterio che emerge è quello che vigilantibus iura subveniunt: il diritto assiste chi è vigile, e in questo campo la vigilanza si misura in documenti, date, firme digitali. L'informativa accettata è il confine tra prova utilizzabile e prova inutile.
Per il lavoratore il quadro è doppio. Da un lato, la casella email individualizzata rientra nella sua sfera personale, e il datore non può filtrarla, esplorarla massivamente o negargli l'accesso al termine del rapporto. Dall'altro, se il datore ha un sospetto fondato, ha adottato le misure di trasparenza previste e il controllo è selettivo e proporzionato, le email che emergono possono sostenere anche un licenziamento per giusta causa. Non c'è una risposta univoca: tutto dipende dalla data dell'informativa, dall'anteriorità del sospetto, dalla modalità tecnica del controllo.
Come osservava Rudolf von Jhering, il diritto non è un teorema da dimostrare una volta per tutte, ma una conquista da difendere continuamente nella pratica. Nel diritto digitale del lavoro questa conquista si consuma ogni giorno, dentro archivi informatici e metadata di posta elettronica che pochi dipendenti e poche imprese sanno davvero come gestire.
Cosa dovrebbe fare concretamente un'azienda — e cosa un lavoratore — alla luce di questo scenario? Sul versante datoriale: adottare e far accettare una policy informatica chiara, aggiornata e specifica, che indichi espressamente la possibilità di accesso alla posta in caso di controllo difensivo; fissare politiche di retention documentate e proporzionate, che non eccedano i limiti indicati dal Garante; non accedere mai alla casella email in modo preventivo o indiscriminato; e attivare la procedura di garanzia (accordo sindacale o autorizzazione ispettoriale) prima di qualunque sistema di backup sistematico. Sul versante del lavoratore: sapere che la casella email individualizzata contiene suoi dati personali, e che ha diritto di accedervi — anche dopo la fine del rapporto — inviando un'istanza ai sensi dell'art. 15 del GDPR, alla quale il datore deve rispondere entro trenta giorni.
La vera frattura che emerge dalla giurisprudenza del 2026 non è tra privacy e controllo datoriale: è tra chi ha una policy informatica seria e chi la ignora. Per i primi, i controlli possono reggere anche davanti al giudice. Per i secondi, anche una prova schiacciante rischia di diventare inutilizzabile nel momento in cui conta di più.
Redazione - Staff Studio Legale MP
