La Corte di Cassazione, Sezione Lavoro, con l’Ordinanza n. 807 del 13 gennaio 2025, ha ribadito il principio secondo cui i controlli del datore di lavoro sulla e-mail del dipendente sono leciti solo in presenza di due requisiti fondamentali: l’esistenza di un fondato sospetto circa la commissione, da parte del dipendente, di un illecito e la limitazione dell’accertamento alla corrispondenza successiva all’insorgere del sospetto.
La pronuncia trae origine dal licenziamento di un vicedirettore generale, basato su controlli effettuati sulle e-mail del dipendente risalenti al gennaio 2017.
Tuttavia, il fondato sospetto era sorto solo l’8 febbraio 2017, quando un alert del sistema informatico aveva segnalato un’anomalia.
La Corte d’Appello, investita della questione, aveva già dichiarato illegittimo il licenziamento, richiamando il principio secondo cui, in tema di “sistemi difensivi”, i controlli tecnologici del datore di lavoro – pur ammessi anche dopo la modifica dell’art. 4 dello Statuto dei Lavoratori operata dall’art. 23 del D.Lgs. n. 151/2015 – sono leciti solo in presenza di un fondato sospetto di illecito. In tal caso, è necessario garantire un corretto bilanciamento tra la tutela degli interessi aziendali, connessa alla libertà di iniziativa economica (art. 41 Cost.), e le garanzie di dignità e riservatezza del lavoratore, secondo i principi di proporzionalità e necessità nel trattamento dei dati personali.
In particolare, la Corte d’Appello aveva chiarito che i controlli devono riguardare esclusivamente i dati acquisiti dopo l’insorgere del sospetto, con esclusione di quelli precedenti.
Nel ricorso in Cassazione, il datore di lavoro aveva contestato tale impostazione, sostenendo che la decisione della Corte territoriale compromettesse il corretto equilibrio tra la protezione degli interessi aziendali e la tutela della riservatezza del dipendente. Tuttavia, la Suprema Corte ha confermato la pronuncia d’appello, ritenendo che l’alert informatico costituisce un elemento idoneo a integrare un fondato sospetto e che i controlli informatici non possono avere efficacia retroattiva, ma devono riguardare esclusivamente dati raccolti successivamente all’insorgere del sospetto.
In conclusione, la Corte ha riaffermato che il corretto bilanciamento tra diritti del lavoratore ed esigenze aziendali si realizza impedendo controlli retroattivi sulle comunicazioni del dipendente e circoscrivendo l’attività ispettiva ai dati successivi al sorgere di indizi concreti di illecito.