Email aziendali, metadati e controlli difensivi: l’utilizzabilità della prova digitale

Il quadro normativo: le garanzie dell’art. 4 dello Statuto dei lavoratori

La principale norma di riferimento rilevante sulla questione è quella nell’art. 4 dello Statuto dei lavoratori (legge 300/1970), che disciplina l’utilizzo di impianti audiovisivi e altri strumenti dai quali possa derivare anche la possibilità di controllo a distanza dell’attività dei lavoratori, prevedendo che tali strumenti possano essere impiegati per esigenze organizzative e produttive, sicurezza del lavoro o tutela del patrimonio aziendale a condizione che sia stato preventivamente stipulato un accordo collettivo con le rappresentanze sindacali aziendali oppure, in mancanza, sia stata rilasciata un’apposita autorizzazione dall’Ispettorato del Lavoro competente.

Restano esclusi dalla procedura sindacale e autorizzativa solo gli strumenti utilizzati dal lavoratore per rendere la prestazione e quelli per la registrazione degli accessi e delle presenze.

La stessa norma dispone che le informazioni raccolte sono utilizzabili ai fini del rapporto di lavoro solo se il dipendente è stato adeguatamente informato sulle modalità d’uso degli strumenti e di effettuazione dei controlli, nel rispetto della normativa privacy.

Controlli difensivi, fondato sospetto e limiti temporali

Nel quadro normativo sopra delineato, si distinguono i controlli ordinari sull’esatto adempimento della prestazione – che rientrano ad ogni effetto nell’ambito di applicazione della disciplina di cui all’art. 4 della legge 300/1970 – dai controlli c.d. “difensivi”, cioè mirati ad accertare condotte illecite del lavoratore, lesive di beni o interessi aziendali, che possono collocarsi fuori dal perimetro di applicazione dell’art. 4 dello Statuto, a condizione siano svolti nel rispetto di specifici requisiti formali e procedurali.

Più in dettaglio, per la validità di tali particolari controlli e quindi l’utilizzabilità dei dati raccolti, la giurisprudenza di legittimità richiede al datore di lavoro di dimostrare l’esistenza preventiva di un fondato sospetto di illecito da cui consegua una ragionevole finalità difensiva, che il controllo sia effettuato a posteriori e rispetti i principi di proporzionalità, pertinenza e tutela della dignità e della riservatezza dei dipendenti coinvolti.

L’Ordinanza n. 807/2025 della Corte di Cassazione

Sul tema, merita particolare attenzione l’Ordinanza n. 807/2025 della Corte di Cassazione che ha fissato un principio chiave relativo alla temporalità del controllo c.d. difensivo, ritenendolo legittimo solo se attivato dopo l’insorgere di un fondato sospetto e ha ad oggetto dati e informazioni acquisiti successivamente a tale momento: il sospetto sopravvenuto non può quindi giustificare ricerche retrospettive su archivi, log o comunicazioni relativi a periodi anteriori.

Il provvedimento del 18 giugno 2026 del Garante

Con il recente provvedimento del 18 giugno 2026, l’autorità garante della protezione dei dati personali ha confermato di condividere l’impostazione restrittiva della Corte di Cassazione relativamente al profilo temporale delle circostanze oggetto di controllo, sanzionando una nota azienda per avere effettuato accessi sistematici alla posta elettronica aziendale di alcuni dipendenti al fine di verificare l’esistenza di presunti illeciti monitorando comunicazioni risalenti fino a due anni prima rispetto al momento in cui era sorto il sospetto, con conseguente illegittimità delle verifiche in difetto delle garanzie procedurali previste dall’art. 4 dello Statuto dei lavoratori.

Come documentare il momento in cui nasce il sospetto

Secondo l’univoca giurisprudenza, peraltro, per essere lecito, il controllo difensivo non può tradursi in una verifica meramente esplorativa legata a mere supposizioni del datore di lavoro, dovendo invece poggiare su un concreto e apprezzabile sospetto di illecito, ovvero su elementi oggettivi e specifici, quali segnalazioni circostanziate, alert tecnici di anomalie, evidenze documentali, incongruenze contabili, violazioni di procedure interne o fonti esterne attendibili.

È dunque essenziale documentare il momento in cui nasce il sospetto, gli elementi che lo sorreggono, il perimetro dell’indagine e la pertinenza dei dati acquisiti.

Inoltre, per garantire la proporzionalità del controllo, dovrebbero essere definiti prima dell’accesso le parole chiave, l’arco temporale, gli account interessati e i soggetti coinvolti, senza ampliare il perimetro d’indagine in mancanza di ragioni sopravvenute e documentate.

La conservazione dei metadati secondo il Garante Privacy

Nel contesto sopra delineato, il Garante Privacy è intervenuto portando all’attenzione delle imprese un ulteriore aspetto, cruciale, per la corretta gestione della posta elettronica aziendale, anche e soprattutto nell’ottica di eventuali controlli sull’operato dei dipendenti.

Specificamente, l’autorità si è espressa sui tempi di conservazione dei metadati della posta elettronica aziendale, cioè i log tecnici generati dai sistemi di posta nelle operazioni di invio, ricezione e smistamento dei messaggi.

Rientrano in questa categoria, ad esempio, mittente, destinatario, orario di invio o ricezione, indirizzi di rete, dimensioni dei messaggi, presenza di allegati, esiti di consegna ecc.: tali dati, anche se non coincidono con il contenuto delle comunicazioni, possono rivelare relazioni, frequenza dei contatti, tempi di attività e modalità d’uso dello strumento.

Rispetto ai tempi di retention dei metadati, il Documento di indirizzo del Garante Privacy del 6 giugno 2024 individua in 21 giorni un termine orientativo per la conservazione dei metadati necessari al funzionamento e alla sicurezza dell’infrastruttura di posta elettronica, salvo comprovate esigenze tecniche od organizzative adeguatamente documentate.

La valutazione di accountability

Il superamento del termine non determinato automaticamente un illecito, ma richiede una valutazione di accountability e, se la raccolta preventiva, generalizzata e prolungata dei metadati è concretamente idonea a consentire un controllo, anche indiretto, dell’attività lavorativa, trovano applicazione le garanzie dell’art. 4, comma 1, dello Statuto.

Per la corretta gestione di tali aspetti, l’azienda dovrebbe verificare se il provider di posta elettronica consente di configurare la durata di conservazione dei log, disabilitare raccolte non necessarie e distinguere tra dati indispensabili al funzionamento del servizio e dati conservati per finalità ulteriori: il punto è particolarmente rilevante se sono utilizzati servizi cloud standardizzati, nei quali impostazioni predefinite possono produrre una retention ampia e non immediatamente percepibile dall’azienda che lo utilizza per la gestione degli account e-mail assegnati ai dipendenti.

La responsabilità del trattamento resta sempre in capo al datore di lavoro che deve quindi valutare e, se necessario, intervenire sulle configurazioni del fornitore.
In ogni caso, le policy e le informative relative agli strumenti informatici e, in particolare alla posta elettronica, devono essere precise ed esaustive: occorre indicare, tra l’altro, le categorie di dati trattati, le finalità, i tempi di conservazione, le ipotesi di verifica individualizzata e i soggetti autorizzati all’accesso, oltre alle misure di sicurezza per prevenire l’accesso a tali dati da parte di terzi.

Il caso del tribunale di Pisa sull’email come prova digitale

La vicenda esaminata dal giudice pisano riguarda il licenziamento per giusta causa di una dipendentealla quale era stato contestato di non avere comunicato una situazione di potenziale conflitto di interessi collegata ai rapporti tra il proprio figlio e una società fornitrice del datore di lavoro.

Dopo le prime verifiche attraverso fonti pubbliche, l’azienda aveva effettuato una verifica sulla casella e-mail aziendale della dipendente, utilizzando parole chiave e criteri selettivi collegati agli elementi già emersi, senza svolgere una ricerca indiscriminata sull’intero archivio di posta.

All’esito di tale ricerca emergevano le evidenze oggettive di una grave situazione di conflitto d’interessi, che portava al licenziamento, poi impugnato dalla lavoratrice contestando, tra l’altro, la legittimità dell’accesso alla posta elettronica aziendale, la violazione della normativa privacy e il mancato rispetto dell’art. 4 della legge n. 300/1970.

Email aziendali, metadati e controlli difensivi: l’uso della prova digitale

La gestione delle caselle e-mail aziendali non risultava pienamente conforme alle indicazioni del Garante Privacy, anche rispetto al termine di conservazione dei metadati, superiore a quello orientativo di 21 giorni indicato dall’Autorità, superato il quale troverebbero applicazione le garanzie dell’art. 4.

La pronuncia del tribunale pisano distingue tra profili di irregolarità del sistema di conservazione e utilizzabilità della prova acquisita tramite controllo difensivo: secondo il Tribunale, eventuali criticità nella conservazione massiva o prolungata di dati e metadati non rendono automaticamente inutilizzabili le email, se l’accesso è successivo al sospetto, selettivo, proporzionato e preceduto da adeguata informativa.

In altre parole, secondo il giudice di Pisa, anche se la gestione dell’account email aziendale non rispetta completamente le regole definite dal Garante privacy in tema di retention dei metadati, è fatta salva la possibilità del datore di lavoro di utilizzare i dati raccolti attraverso un legittimo controllo difensivo.

Su tali premesse, la condotta della dipendente consistente nell’omessa comunicazione di una situazione idonea a incidere sugli interessi aziendali è stata ritenuta validamente utilizzabile a fini disciplinari e gravemente contraria agli obblighi di fedeltà, correttezza e buona fede che connotano il rapporto di lavoro, e pertanto tale da ledere il vincolo fiduciario e fondare il licenziamento per giusta causa.

Un delicato bilanciamento tra privacy e tutela degli interessi e del patrimonio aziendale

La sentenza in commento non apre la strada a controlli generalizzati ma indica una condizione precisa della prova digitale, che può essere utilizzata se raccolta all’esito di un controllo difensivo mirato, tracciabile e coerente con le garanzie giuslavoristiche e conforme alle previsioni applicabili in materia di privacy.

Secondo il giudice pisano, un profilo di criticità nella retention dei dati non travolge automaticamente la prova, se sono rispettate le regole sui controlli difensivi anche in termini di attivazione del controllo, che devono poggiare su elementi concreti, perseguire una finalità difensiva, essere selettive e proporzionate ed essere preceduti da un’adeguata informativa.

La riservatezza del lavoratore non impedisce l’accertamento di condotte potenzialmente illecite; allo stesso tempo, la tutela del patrimonio aziendale non giustifica verifiche esplorative, continuative o retrospettive prive di una base concreta. Contano la natura dello strumento, la finalità del controllo, l’informativa resa, la pertinenza dei dati e il momento in cui l’accesso viene attivato rispetto all’insorgere del sospetto.

La conformità del sistema resta però un tema autonomo e deve essere valutata alla luce della normativa privacy, delle indicazioni del Garante e dell’art. 4 dello Statuto.

La decisione pisana non neutralizza gli obblighi di legge ma, piuttosto, chiarisce che la prova può essere comunque valida quando il controllo difensivo, nel caso concreto, rispetta posteriorità, selettività, proporzionalità e informazione preventiva.

Resta inteso che, se il controllo è illecito, i rischi rimangono rilevanti e concreti, riguardando non solo l’inutilizzabilità della prova e l’invalidità del procedimento disciplinare ma anche possibili segnalazioni al Garante e sanzioni, limitazioni del trattamento, obblighi di cancellazione o riconfigurazione dei sistemi e richieste risarcitorie.

Gli account e-mail devono essere gestiti prima dell’emergenza

Alla luce dei molteplici profili di complessità giuridica e tecnica che connotano la materia, nei contesti lavorativi digitalizzati attuali, gli account e-mail (come gli altri dispositivi informatici, le piattaforme cloud eccetera) generano dati che possono rilevare e consentire di ricostruire attività, relazioni e modalità di svolgimento dell’attività lavorativa.

La proprietà dello strumento in capo all’azienda non è sufficiente a legittimare controlli indiscriminati e deve esser adottato un approccio prudenziale fondato sulla trasparenza preventiva e conforme ai principi di proporzionalità e minimizzazione dei dati, oltre che ai requisiti tecnici identificati dal Garante, anche per quanto attiene ai tempi di retention, alle finalità e alle procedure autorizzative, nonché al rispetto del criterio di accountability fissato dal GDPR.

Nei servizi e-mail in cloud, le impostazioni predefinite del provider devono essere verificate per evitare raccolte sistematiche e tempi di conservazione non governati dall’azienda.

La mappatura dovrebbe includere policy IT, informative privacy, registro dei trattamenti, retention dei log, impostazioni dei servizi cloud, ruoli autorizzati all’accesso e procedure da seguire in presenza di un’ipotesi di illecito.

Le indicazioni per chi governa sistemi digitali e sicurezza IT

La predisposizione di una procedura interna per la gestione dei controlli “difensivi”, che regoli i presupposti dell’indagine, i processi autorizzativi, le verifiche di conformità preventive all’avio del controllo, la definizione del perimetro, la definizione delle parole chiave nel rispetto del principio di proporzionalità, assicurando altresì il tracciamento degli accessi, il coinvolgimento di solo personale autorizzato, la conservazione sicura delle evidenze.

Prima di accedere alla casella e-mail di un dipendente per svolgere un controllo “difensivo”, occorre altresì documentare l’origine dell’esigenza di verifica, delimitare parole chiave, arco temporale e account interessati, coinvolgere le funzioni competenti e verificare che policy, informative e configurazioni tecniche siano coerenti tra loro, evitando l’accesso integrale alla casella, preferendo estrazioni mirate e adottando filtri temporali, parole chiave predefinite e procedure che riducano l’esposizione a contenuti personali o non pertinenti.

I messaggi manifestamente privati o irrilevanti dovrebbero essere esclusi dall’analisi.

Per chi governa sistemi digitali e sicurezza informatica, l’indicazione è chiara: log, metadati, configurazioni cloud, informative, policy e procedure investigative devono essere progettati insieme e prima dell’emergenza, solo una compliance tecnica, verificabile e documentata trasforma l’evidenza digitale in prova utilizzabile e riduce il rischio di sanzioni, contenzioso e possibili impatti reputazionali per le aziende.