L’art. 4 della L. 20 maggio 1970, n. 300 vieta l’uso di impianti e strumenti per il controllo a distanza dell’attività dei lavoratori, salvo specifiche esigenze organizzative, produttive o di sicurezza, e comunque previa informativa ai lavoratori e, se del caso, accordo sindacale o autorizzazione amministrativa. Tale principio è stato più volte ribadito dal Garante per la Privacy in relazione alla posta elettronica, affermando che il controllo sistematico e indiscriminato della posta elettronica, anche aziendale, deve considerarsi vietato, salvo casi eccezionali e sempre nel rispetto dei principi di pertinenza, non eccedenza e trasparenza.
Anche la Corte Europea dei Diritti dell’Uomo si è espressa sull’argomento e nella sentenza CEDU 5.9.2017, Barbalescu c. Romania ha stabilito che il monitoraggio delle comunicazioni elettroniche è lecito solo se il lavoratore è stato preventivamente informato, se il controllo è proporzionato e se non esistono alternative meno invasive.
Riprendendo i principi sanciti da questa nota pronuncia, la Corte di Cassazione con la recente Sentenza n. 24204 del 29 agosto 2025 si è espressa sul caso di tre ex dipendenti di una Società condannati in primo grado per concorrenza sleale, sulla base di alcune e-mail provenienti da account personali confluite nei sistemi informatici aziendali. In secondo grado era stata esclusa la possibilità di utilizzare la suddetta documentazione e, in assenza di altre prove, la Corte d’Appello aveva respinto le domande della Società. La Cassazione, confermando la decisione del Giudice di secondo grado, ha precisato alcuni concetti di fondamentale importanza in tema di privacy dei lavoratori e controllo a distanza.
Innanzitutto, ha affermato che le e-mail personali, anche se inviate o ricevute dai o nei locali aziendali, rientrano nella nozione di “vita privata” e “corrispondenza” così come tutelate dall’art. 8 CEDU (come precisato dalla sentenza Barbalescu c. Romania) e che i controlli del datore di lavoro sono ammissibili solo se giustificati da una finalità legittima, proporzionati e preceduti da un’informativa chiara ai dipendenti, come richiesto anche dalla normativa nazionale e sovranazionale. La Corte ha poi precisato che, nella fattispecie in esame, i tre lavoratori non avevano in alcun modo autorizzato la ricezione o duplicazione della posta personale sull’applicativo aziendale e che la Società non aveva adottato regole interne per disciplinare eventuali controlli, con conseguente inutilizzabilità delle prove raccolte.
In un mondo del lavoro sempre più digitalizzato e spersonalizzante è essenziale mantenere il bilanciamento tra le esigenze datoriali di incremento della produttività e tutela del patrimonio aziendale e tutta una serie di diritti in capo ai lavoratori, come la tutela della privacy e la protezione dei dati personali, che sono irrinunciabili e non possono essere in alcun modo lesi.
