Con la sentenza del 15 giugno scorso [1], il Tribunale di Pisa ha affrontato il tema della legittimità dei c.d. controlli difensivi eseguiti dal datore di lavoro nei confronti dei propri dipendenti, da un lato confermando gli orientamenti espressi in precedenza dalla giurisprudenza di legittimità [2] in relazione a presupposti e limiti di esercizio del potere datoriale, dall’altro introducendo principi innovativi riguardo all’utilizzabilità delle informazioni acquisite mediante tale strumento di controllo.
Nel caso sottoposto all’esame del Tribunale, una lavoratrice aveva impugnato il licenziamento per giusta causa irrogatole dall’azienda deducendo l’illegittimità e/o l’inefficacia dello stesso per l’insussistenza dei fatti posti alla base del recesso datoriale e/o per la loro irrilevanza disciplinare; in particolare, la ricorrente sosteneva che i controlli effettuati dal datore di lavoro sul proprio account di posta elettronica aziendale fossero da considerarsi illegittimi in quanto eseguiti in assenza dei presupposti richiesti dalla legge [3].
Secondo il Tribunale “il punto di partenza è da ricercarsi” nell’art. 4 Stat. lav. che prevede – al comma 1 – che “Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali”.
Tale disciplina – come precisato dal successivo comma 2 – non trova applicazione in relazione “agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze”. Il comma 3 stabilisce, infine, che le “informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli”.
Ciò premesso, nella sentenza in commento il Tribunale – riprendendo e condividendo l’impostazione sancita dai giudici di legittimità – distingue tra controlli a difesa del patrimonio aziendale “che riguardano tutti i dipendenti (o gruppi di dipendenti) nello svolgimento della loro prestazione di lavoro che li pone a contatto con tale patrimonio (…) realizzati nel rispetto delle previsioni dell’art. 4” e controlli difensivi in senso stretto “diretti ad accertare specificatamente condotte illecite ascrivibili – in base a concreti indizi – a singoli dipendenti, anche se questo si verifica durante la prestazione di lavoro”; tali ultimi controlli – anche se effettuati con strumenti tecnologici – si pongono al di fuori della procedura autorizzativa di cui all’art. 4, comma 1, St. lav. non avendo ad oggetto la normale attività del lavoratore.
Il giudice del merito precisa, inoltre, che per non avere ad oggetto un’attività in senso tecnico del lavoratore, il controllo difensivo in senso stretto deve essere mirato ed attuato ex post, ossia a seguito del comportamento illecito di uno o più lavoratori, del cui avvenuto compimento il datore di lavoro abbia avuto il fondato sospetto [4]“perché solo a partire da quel momento il datore può provvedere alla raccolta di informazioni utilizzabili”.
Secondo il giudice del merito, presupposto indefettibile affinché il datore di lavoro possa accedere alla posta elettronica aziendale del dipendente è che “il controllo sia mirato e sia successivo al fondato sospetto di un comportamento illecito” e che “nell’effettuare i dovuti controlli siano stati rispettati gli adempimenti in ambito privacy di informazione e trasparenza nei confronti del personale” in modo tale da rendere il lavoratore pienamente consapevole dei limiti di utilizzo di tale strumento e delle potenziali verifiche da parte dell’azienda.
In assenza di un fondato sospetto o di modalità illegittime nel trattamento dei dati personali, i risultati dei controlli effettuati dal datore di lavoro saranno inutilizzabili [5]: quest’ultimo – come precisato nella sentenza in commento – ha l’onere di provare la liceità del proprio accesso alla posta elettronica aziendale.
Applicando tali principi al caso di specie, il Tribunale riconosce la legittimità dei controlli difensivi eseguiti dal datore di lavoro – e, dunque, la legittimità del licenziamento irrogato alla dipendente – sulla base delle seguenti motivazioni: 1) la scoperta, da parte dell’azienda, dell’omessa informativa da parte della lavoratrice in merito alla posizione ricoperta dal figlio all’interno dell’impresa fornitrice “non può essere considerato un mero dettaglio privato, ma un indicatore di rischio e di fondato sospetto di un conflitto di interessi”; 2) il controllo effettuato dal datore di lavoro “appare essere mirato a verificare un possibile illecito per sospetto della violazione dell’obbligo di fedeltà, e non un controllo indiscriminato e massivo” in quanto l’utilizzo di filtri per la ricerca “esclude dunque un controllo massivo sull’account aziendale”; 3) la documentazione contestata “è stata visionata soltanto dal personale autorizzato, ossia l’Internal Auditor G.W e dal dott. P., HR Manager, e conservata dalla sola datrice di lavoro”; 4) il controllo “è avvenuto nel rispetto della trasparenza a cui è tenuto il datore di lavoro nei confronti della lavoratrice” in ottemperanza a quanto previsto dall’art. 4, comma 3, St. lav., avendo l’azienda eseguito una “formale procedura di accettazione telematica delle linee guida informatiche” che si è perfezionata nel mese di ottobre 2021, “come si evince dalla schermata prodotta dalla parte resistente (…) che contiene un rinvio preciso, mirato e inequivocabile al corpo di regole (…) per il corretto utilizzo degli strumenti di I.T. (…)” nonché “la dichiarazione in prima persona della dipendente, al momento dell’assegnazione di un nuovo dispositivo informatico. Detta procedura telematica fissa il momento esatto in cui la lavoratrice è stata legalmente informata delle regole aziendali sul trattamento dei dati e sull’utilizzo degli strumenti informatici forniti, ivi inclusa la posta elettronica personale con dominio aziendale”; inoltre – sottolinea il Tribunale – nella policy aziendale viene espressamente contemplata la possibilità di controlli da parte del datore di lavoro.
Oltre a confermare gli orientamenti già espressi dalla Suprema Corte, la sentenza in commento si contraddistingue per il passaggio in cui il Tribunale ritiene utilizzabile la documentazione informatica prodotta in giudizio dall’azienda resistente, nonostante il procedimento sanzionatorio avviato nei confronti di quest’ultima dall’Autorità Garante della Privacy in considerazione dei rilevati “profili di illiceità strutturale nella prassi aziendale di data retention”, consistenti nella “conservazione sistematica dei log di accesso per sei mesi e dell’intera corrispondenza e-mail fino a cinque anni successivi alla cessazione del rapporto”.
Secondo il giudice di merito, infatti, “occorre distinguere tra l’illiceità del sistema di conservazione massiva dei dati – che riguarda la struttura informatica e consiste in un illecito amministrativo – e l’utilizzabilità della prova nel presente giudizio” dal momento che – secondo il già richiamato orientamento della Corte di Cassazione – i controlli difensivi ex post mirati ad accertare condotte illecite del lavoratore già realizzate e lesive del patrimonio aziendale esulano dal campo di applicazione dell’art. 4 St. lav.
Nel caso di specie – prosegue il Tribunale – “l’accesso alla posta elettronica da parte del datore di lavoro fa parte di un’indagine mirata e successiva a un sospetto specifico e qualificato. Pertanto, la formale violazione dei log rilevata dal Garante non inficia l’utilizzabilità dei documenti informatici acquisiti, i quali rimangono validi elementi di prova del tradimento del vincolo fiduciario che caratterizza il rapporto di lavoro”.
Per affinità di temi si segnala, infine, che in una recente pronuncia pubblicata nel mese di maggio, la Corte di Cassazione si è pronunciata in ordine alla legittimità dell’attività investigativa eseguita da un’agenzia incaricata dal datore di lavoro, riconducendo di fatto tale strumento nell’ambito dei controlli difensivi in senso stretto: “Fermo restando che il controllo di terzi, sia quello di guardie particolari giurate così come di addetti di un’agenzia investigativa, non può riguardare, in nessun caso, né l’adempimento, né l’inadempimento dell’obbligazione contrattuale del lavoratore di prestare la propria opera (…) si afferma reiteratamente che il controllo delle agenzie investigative può avere ad oggetto il compimento di atti illeciti del lavoratore non riconducibili al mero inadempimento dell’obbligazione contrattuale” [6].
a cura di Mattia Torsiello dello studio WST Law & Tax
[1] Trib. Pisa, Sez. lav., 15/06/2026, n. 800.
[2] In particolare, a partire da Cass. civ., Sez. lav., 22/09/2021, n. 25732.
[3] Nella vicenda sottoposta al vaglio del Tribunale di Pisa, la società P.C. (parte resistente) era venuta a conoscenza del fatto che il figlio della dipendente A.A. (parte ricorrente) aveva ricoperto il ruolo di consigliere di amministrazione della società C.A. (impresa fornitrice di P.C.) dal mese di marzo 2021 al mese di maggio 2022. Tale circostanza destava nella società datrice di lavoro il fondato sospetto di un conflitto di interessi in corso riguardante la propria dipendente, ragion per cui l’azienda incaricava un Internal Auditor di eseguire controlli informatici sull’account di posta elettronica aziendale della lavoratrice mediante l’utilizzo di filtri per la ricerca.
[4] La necessaria sussistenza di un “fondato sospetto” quale condizione legittimante per procedere ai controlli difensivi in senso stretto trova conferma nella recente giurisprudenza di legittimità (cfr., in proposito, Cass. civ., Sez. lav., 25/05/2026, n. 16214).
[5] Sul punto, va segnalato quanto statuito di recente dalla Corte di Giustizia UE, secondo cui dati e informazioni acquisiti in violazione della normativa privacy possono essere in ogni caso valutati dal giudice ed utilizzati come prove in giudizio (cfr., in particolare, Corte Giustizia UE, Sez. V, 18/06/2026, n. 484/24).
[6] Cass. civ., Sez. lav., 25/05/2026, n. 16218
