Controlli difensivi ed e-mail aziendali tra Statuto dei lavoratori e GDPR: il giudice fa chiarezza

La recente sentenza N.R.G. 1353/2023 del Tribunale di Pisa in materia di controlli difensivi interviene in maniera chiarificatrice su alcuni aspetti che sembravano messi in discussione dalla ormai consolidata interpretazione del Garante Privacy, da ultimo con il recente provvedimento di Marzo 2026, con riferimento alle formalità necessarie per l’impiego delle mail aziendali e alle modalità e finalità dei controlli datoriali sull’utilizzo di tale strumento.

Il provvedimento del Garante Privacy, n. 165, 12 Marzo 2026.

Nell’esprimersi sulle modalità di adempimento alle richieste di accesso del lavoratore ai propri dati personali ex art. 15 del GDPR, il Garante aveva subordinato la legittimità dell’impiego di strumenti di back up della posta elettronica al rispetto delle procedure autorizzative previste dal co. 1 dell’Art. 4 dello Statuto dei Lavoratori previste per gli strumenti che comportano un controllo della prestazione lavorativa; spingendosi, quindi, fino alla valutazione circa l’adempimento della normativa giuslavoristica.

Il provvedimento si colloca in continuità con quelli che avevano imposto l’adempimento del medesimo obbligo per i metadati delle e-mail (Documento di Indirizzo sui Metadati di Posta Elettronica – Provv. n. 364/2024; Provv. n. 243/2025), andando a definire un orientamento estremamente restrittivo, contrastante con le finalità della riforma del 2015, che ha modificato l’art. 4 della norma statutaria nel senso di una semplificazione dell’adozione degli strumenti utilizzati per rendere la prestazione lavorativa.

La sentenza del Tribunale di Pisa

Nel valutare la legittimità del licenziamento comminato, a seguito di controlli difensivi aziendali, nei confronti di una dipendente alla quale era stata contestata una condotta infedele a seguito dell’esame del contenuto della sua posta elettronica, il Giudice di merito ha statuito alcuni principi chiave che possono aiutare gli operatori ad orientarsi in un campo reso complesso dalla sovrapposizione di due normative (ed istruzioni a presidio e interpretazione delle stesse) differenti.

Il Giudice è, innanzitutto, netto nell’affermare che le e-mail aziendali sono uno strumento di lavoro e non è necessario accordo sindacale o l’autorizzazione preventiva dell’INL.

Ribadisce inoltre, secondo l’orientamento giurisprudenziale consolidato, che i controlli difensivi in senso stretto (dotati delle necessarie caratteristiche che ne determinano la legittimità) esulano dall’ambito di applicazione dell’art. 4 St. Lav. Rappresenta imprescindibile condizione di legittimità degli stessi, come per qualsiasi altro caso di trattamento dei dati personali del lavoratore, l’obbligo di informativa (che nel caso di specie viene considerato adempiuto adeguatamente data la presenza di una informativa dotata delle caratteristiche necessarie e di una policy sull’utilizzo delle e-mail aziendali).

Anche le modalità con le quali è stato materialmente effettuato il controllo del contenuto della corrispondenza è stato ritenuto non suscettibile di contestazione, in particolare: aver applicato filtri per parole- chiave consentendo l’individuazione della sola corrispondenza rilevante; aver limitato la platea delle persone autorizzate a prendere visione del contenuto delle e-mail a soggetti qualificati con funzioni strettamente connesse al contesto disciplinare.

Infine, il Giudice di merito si sofferma su un aspetto particolarmente significativo: l’impatto del provvedimento sanzionatorio del Garante sul piano giuslavoristico.

In particolare, il provvedimento del Garante Privacy che accerta l’illiceità della retention dei log in quanto non adeguatamente comunicati ai lavoratori e non sottoposti alla procedura di autorizzazione del co. 1 art. 4 St. Lav., non inficia, nel caso di specie, «l’utilizzabilità dei documenti informatici acquisiti, i quali rimangono validi elementi di prova del tradimento del vincolo fiduciario che caratterizza il rapporto di lavoro». Questo per diversi ordini di ragioni: il provvedimento del Garante«riguarda la struttura informatica e consiste in un illecito amministrativo» e non l’utilizzabilità della documentazione a fini probatori; i controlli difensivi esulano dal campo di applicazione della norma statutaria; nel caso di specie erano stati rispettati gli obblighi di informativa nei confronti del lavoratore.

Conclusioni

La sentenza esaminata interviene al momento giusto per fissare i principi che regolano i controlli difensivi e rappresenta anche una occasione di riflessione su alcuni aspetti necessari per garantire sia la tutele dei diritti che l’effettività delle regole sia in materia di protezione dei dati personali, sia di diritto di difesa dell’azienda in caso di condotte illecite da parte del lavoratore; primo tra tutti la necessità di coordinamento degli attori coinvolti nell’applicazione e interpretazione delle normative di settore.

Bollettino ADAPT 27 luglio 2026, n. 29

Antonella Mauro

PhD Formazione della Persona e Marcato del Lavoro

Giurista d’impresa