Email aziendale, metadati e software di monitoraggio: i controlli tecnologici sul lavoratore (art. 4 Statuto)

I controlli mediante gli strumenti di lavoro (art. 4, comma 2, L. 300/1970), la conservazione dei metadati della posta elettronica, i software di monitoraggio e l’utilizzabilità dei dati a fini disciplinari

§1 — SOMMARIO

Un dipendente apre la posta aziendale, usa il PC assegnato, lavora su una piattaforma di collaborazione: ogni gesto lascia una traccia (messaggi, orari, destinatari, log di accesso, schermate, indicatori di produttività). La domanda che il lavoratore, e prima ancora il suo avvocato, deve porsi è duplice: il datore di lavoro poteva raccogliere quel dato? E può usarlo contro di me, ad esempio per sanzionarmi o licenziarmi?

L’articolo risponde a questi interrogativi ricostruendo il regime dell’art. 4 della L. 20 maggio 1970, n. 300 (Statuto dei lavoratori) alla luce dei più recenti sviluppi del 2025-2026:

• il discrimine tra strumenti di lavoro (comma 2) e strumenti di controllo (comma 1) e la regola dell’utilizzabilità condizionata all’informativa (comma 3);
• la posta elettronica aziendale e i metadati: che cosa può essere conservato, per quanto tempo e a quali condizioni;
• i software di monitoraggio e di analisi comportamentale, fino alla classificazione dei sistemi di intelligenza artificiale secondo il Regolamento (UE) 2024/1689 (AI Act);
• il c.d. doppio binario tra giudice del lavoro e Garante per la protezione dei dati personali, di cui il caso Piaggio offre un’illustrazione emblematica;
• i rimedi concreti a disposizione del lavoratore.

---

§2 — IL PRINCIPIO DI DIRITTO

Sintesi ricostruttiva dell’orientamento (al 6 novembre 2026)

I dati raccolti mediante gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa, tra cui la posta elettronica aziendale, e quelli di registrazione degli accessi e delle presenze sono utilizzabili a tutti i fini connessi al rapporto di lavoro, compresi quelli disciplinari, soltanto se al lavoratore è stata data adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal D.Lgs. 196/2003 (art. 4, comma 3, L. 300/1970); in difetto i dati sono inutilizzabili. Il controllo difensivo in senso stretto, che si colloca al di fuori del perimetro dell’art. 4, presuppone un fondato sospetto di un illecito specifico già sorto, riguarda i soli dati successivi al sospetto ed è subordinato all’onere, a carico del datore di lavoro, di allegare e provare le circostanze che lo giustificano [§1] [§2].

Questa formula non è il dispositivo di un’unica pronuncia, ma la sintesi di un orientamento che si è consolidato attraverso la giurisprudenza di legittimità (dalle pronunce del 22 settembre 2021 alle più recenti ordinanze del 2025 e del 2026) e il lavoro interpretativo del Garante. Ha una conseguenza pratica immediata: l’assenza di una policy informatica chiara e preventiva non è un difetto formale, ma incide sulla stessa possibilità di far valere in giudizio la prova raccolta.

---

§3 — INQUADRAMENTO SISTEMATICO E TERMINOLOGICO

L’architettura dell’art. 4 dopo la riforma del 2015

Nella formulazione vigente, risultante dall’art. 23 del D.Lgs. 14 settembre 2015, n. 151 e successivamente modificata dal D.Lgs. 24 settembre 2016, n. 185, l’art. 4 St. lav. regola in tre commi altrettanti piani: i controlli realizzati con impianti e strumenti che consentono anche il controllo a distanza dell’attività dei lavoratori (comma 1); gli strumenti di lavoro e di registrazione degli accessi e delle presenze, sottratti alle garanzie procedurali del primo comma (comma 2); la condizione di utilizzabilità delle informazioni raccolte, valida per entrambi i casi (comma 3) [§1]. La riforma ha cioè spostato il baricentro: dal divieto quasi assoluto di controllo preterintenzionale alla trasparenza, intesa come conoscenza preventiva da parte del lavoratore di ciò che viene registrato e di come verrà usato.

Le nozioni chiave

• Strumento di lavoro: il dispositivo o il servizio che il lavoratore utilizza per rendere la prestazione (PC, smartphone assegnato, account di posta elettronica, applicativi gestionali). Non basta che uno strumento sia utile al datore: deve essere necessario al lavoratore per lavorare. Le funzioni ulteriori, aggiunte per finalità di controllo, non beneficiano del comma 2.
• Metadati della posta elettronica: i dati «esterni» alla comunicazione (mittente, destinatario, data e ora, dimensione, oggetto, presenza di allegati). Pur non rivelando il contenuto, consentono di ricostruire abitudini, ritmi e relazioni del lavoratore.
• Log: registrazioni tecniche degli eventi (accessi, navigazione, utilizzo di applicazioni). Il loro regime dipende da finalità, durata e possibilità di associazione al singolo lavoratore.
• Controllo difensivo in senso stretto: verifica mirata, ex post, diretta ad accertare una specifica condotta illecita di uno o più lavoratori determinati, sorretta da un fondato sospetto già maturato [§2].
• Informativa: non il consenso. Nel contesto lavorativo il consenso non è una base giuridica affidabile, per lo squilibrio strutturale tra le parti; contano la conoscenza preventiva e il rispetto dei principi di liceità, trasparenza, minimizzazione e limitazione della conservazione.

Perché la distinzione tra commi è decisiva

Collocare lo stesso strumento nel comma 1 o nel comma 2 cambia l’intero scenario: nel primo caso occorrono un accordo sindacale (o l’autorizzazione dell’Ispettorato nazionale del lavoro) e il rispetto di finalità tassative; nel secondo l’impresa può procedere senza tali passaggi, ma deve comunque informare. È su questo crinale che si gioca gran parte del contenzioso, e su cui le valutazioni del giudice del lavoro e del Garante possono divergere (§7).

---

§4 — QUADRO NORMATIVO DI RIFERIMENTO

Art. 4 St. lav.: i tre commi

Comma	Oggetto	Condizioni	Utilizzabilità dei dati
1	Impianti audiovisivi e altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori	Finalità tassative (esigenze organizzative e produttive, sicurezza del lavoro, tutela del patrimonio aziendale); accordo con RSU/RSA o autorizzazione dell’INL	Solo ove rispettate le condizioni del comma 1 e il comma 3
2	Strumenti utilizzati dal lavoratore per rendere la prestazione e strumenti di registrazione degli accessi e delle presenze	Nessun accordo o autorizzazione; restano obbligatori informativa, proporzionalità e rispetto della normativa privacy	A tutti i fini connessi al rapporto di lavoro, nel rispetto del comma 3
3	Condizione generale di utilizzabilità	Adeguata informazione al lavoratore sulle modalità d’uso e di effettuazione dei controlli; rispetto del D.Lgs. 196/2003	In difetto: inutilizzabilità dei dati raccolti

Le norme che si sommano all’art. 4

• Codice privacy (D.Lgs. 196/2003): l’art. 113 vieta al datore di lavoro di acquisire informazioni non pertinenti alla valutazione dell’attitudine professionale; l’art. 114 fa salvo l’art. 4 St. lav. e ne fa condizione di liceità del trattamento. La violazione delle disposizioni sul trattamento comporta le sanzioni amministrative e i poteri correttivi del Garante.
• GDPR (Reg. UE 2016/679): artt. 5 (liceità, trasparenza, minimizzazione, limitazione della conservazione), 13 (informativa), 15 (accesso), 35 (valutazione d’impatto) e, in particolare, art. 88 (regole più specifiche per i rapporti di lavoro). La Corte di giustizia ha chiarito che le norme nazionali o collettive adottate ai sensi dell’art. 88 non sfuggono al sindacato di conformità al GDPR [§13].
• Sanzioni e tutele ordinarie: la violazione dell’art. 4, comma 1, e dell’art. 8 St. lav. è punita con le sanzioni dell’art. 38 St. lav. (richiamato dall’art. 171 del Codice privacy); la violazione del GDPR espone alle sanzioni dell’art. 83. Il lavoratore può inoltre agire per l’accertamento dell’inutilizzabilità e per il risarcimento del danno.
• Fonti sovranazionali: la Corte EDU ha elaborato, con le sentenze Bărbulescu c. Romania e López Ribalda e altri c. Spagna, il test di proporzionalità e di preventiva informazione che orienta anche i giudici nazionali [§12].

§5 — EMAIL AZIENDALE E METADATI

La casella aziendale è uno strumento di lavoro, ma il contenuto resta corrispondenza

La giurisprudenza lavoristica considera normalmente la posta elettronica aziendale uno strumento di lavoro ai sensi del comma 2. Ciò non equivale ad accesso illimitato del datore al suo contenuto. Il Garante ha ribadito che il contenuto delle email, i dati di contatto delle comunicazioni e gli allegati rientrano nella nozione di corrispondenza e sono tutelati dalla segretezza, garanzia di rango costituzionale; in applicazione di questo principio ha sanzionato con 40.000 euro una società che, dopo il licenziamento di un amministratore delegato, aveva mantenuto attivo l’account, lo aveva reindirizzato ad altra casella aziendale per circa due mesi (oltre il limite di trenta giorni previsto dalle stesse regole interne) e non aveva dato seguito alla richiesta di esercizio dei diritti [§8].

Nella stessa direzione la Cassazione (sez. lav., sent. 29 agosto 2025, n. 24204) ha rigettato il ricorso di una società che, in una causa per concorrenza sleale contro ex dipendenti, aveva fondato la prova su email estratte da account personali confluiti sul server aziendale, confermando l’inutilizzabilità dell’accertamento tecnico. La Corte ha richiamato i criteri della Grande Camera nel caso Bărbulescu (finalità legittima, proporzionalità, preventiva e dettagliata informazione sulle forme e modalità del controllo, con esclusione di controlli massivi e preventivi) e ha valorizzato gli accertamenti di merito: gli account erano protetti da password, i lavoratori non avevano autorizzato la ricezione della posta personale sull’applicativo aziendale, la società non aveva dimostrato di aver disciplinato le modalità di controllo, e le verifiche erano state svolte a rapporti già cessati. Poiché i fatti risalgono al 2013, la decisione applica l’art. 4 nel testo anteriore al D.Lgs. 151/2015: se ne deve tenere conto, pur restando significativi i criteri richiamati [§4].

I metadati: il documento di indirizzo del Garante del 2024

Con il provvedimento del 6 giugno 2024, n. 364, il Garante ha adottato il documento di indirizzo sui programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e sul trattamento dei metadati, sostituendo il precedente indirizzo e prendendo atto che i servizi in cloud possono raccogliere, per impostazione predefinita, in modo preventivo e generalizzato, i metadati delle email [§6]. L’indicazione operativa di maggior rilievo è che la conservazione dei metadati per un periodo limitato, orientativamente non superiore a 21 giorni, può rientrare tra le esigenze tecniche di funzionamento e sicurezza del servizio; una conservazione più estesa richiede di attivare le garanzie dell’art. 4, comma 1, St. lav. (accordo sindacale o autorizzazione dell’INL) e una specifica valutazione di necessità e proporzionalità.

Il principio è stato applicato con rigore: con il provvedimento del 29 aprile 2025, n. 243, il Garante ha sanzionato la Regione Lombardia con 50.000 euro per aver conservato i metadati delle email oltre il termine di 21 giorni e i log di navigazione per 365 giorni, senza accordo sindacale né autorizzazione dell’INL; per i log relativi ai siti in blacklist ha inoltre rilevato il rischio di rivelare opinioni politiche, religiose o sindacali, indicandone l’anonimizzazione o, in alternativa, una conservazione massima di 90 giorni [§7]. Per il lavoratore la regola pratica è questa: più il tempo di conservazione si allunga, più il dato smette di essere «tecnico» e diventa uno strumento di controllo, con la conseguente necessità di rispettare le garanzie del comma 1.

Backup, archiviazione e uso retrospettivo

Un secondo fronte riguarda la conservazione prolungata della posta (backup e archivi) e la sua consultazione a posteriori. Sul piano del diritto vivente, la Cassazione ha escluso che il controllo difensivo possa estendersi a ritroso ai dati raccolti e conservati prima dell’insorgere del sospetto, con inutilizzabilità di quanto così acquisito [§3]. Da ultimo, l’ordinanza del 25 maggio 2026, n. 16214, resa su un licenziamento disciplinare fondato sulle videoriprese di telecamere installate da un’agenzia investigativa, ha cassato con rinvio la sentenza d’appello, che aveva dichiarato illegittimo il licenziamento per l’inutilizzabilità delle immagini, acquisite in assenza di un fondato sospetto allegato e provato dal datore. La Corte ha rilevato la contraddizione tra tale statuizione e il rigetto della domanda risarcitoria della lavoratrice per mancata contestazione dei fatti, affermando che l’inutilizzabilità delle immagini non esclude la rilevanza né delle altre prove né della non contestazione. Nell’esaminare un altro motivo, ha inoltre ribadito che è il fondato sospetto a condizionare la configurabilità di controlli difensivi legittimi e, quindi, l’utilizzabilità delle immagini acquisite con telecamere installate sui luoghi di lavoro al di fuori dei limiti dell’art. 4. L’inutilizzabilità di un elemento di prova, dunque, non esaurisce il giudizio sulla legittimità del licenziamento [§16]. In coerenza, il Tribunale di Pisa ha ammesso come prova, nel giudizio sul licenziamento per giusta causa, solo i messaggi successivi alla consegna di una policy informatica che descriveva le verifiche [§9].

---

§6 — SOFTWARE DI MONITORAGGIO, IA E CLASSIFICAZIONE AI ACT

Che cosa sono e perché sono diversi dalla posta elettronica

Con «software di monitoraggio» si indicano strumenti che registrano o analizzano l’attività del lavoratore sul dispositivo o sulla rete: tracciamento del tempo attivo, cattura periodica di schermate, rilevazione dell’uso di applicazioni, analisi del traffico, geolocalizzazione, sistemi di prevenzione della perdita di dati (DLP), piattaforme che producono indicatori di produttività o punteggi comportamentali. A differenza della casella di posta, la loro finalità tipica non è consentire la prestazione, ma misurarla o sorvegliarla. Per questa ragione ricadono, di regola, nel comma 1: l’eventuale funzione di controllo non può essere «assorbita» dalla qualifica di strumento di lavoro del dispositivo che li ospita.

La prassi del Garante

Il Garante ha sanzionato con 120.000 euro una società che aveva installato sui veicoli aziendali un dispositivo associato al conducente, il quale raccoglieva dati dettagliati sui viaggi di lavoro e privati (tempi, chilometri, consumi, stile di guida) per assegnare un punteggio mensile a cinque dipendenti, conservandoli per tredici mesi: il controllo era svolto in assenza delle garanzie dello Statuto e con un’informativa generica, rivolta a tutte le società del gruppo [§8]. Con il provvedimento del 14 maggio 2026, n. 342 (doc. web n. 10255494), il Garante ha rivolto un avvertimento (art. 58, par. 2, lett. a, GDPR) a Myndoor S.r.l., fornitrice di un plug-in per Slack e Teams che analizza il linguaggio dei messaggi dei lavoratori (sentiment analysis) per stimarne il livello di stress e genera report settimanali aggregati per le aziende clienti. Pur in assenza di prova che i datori avessero trattato dati personali, l’Autorità ha ritenuto che la trasmissione dei report potrebbe violare, tra l’altro, gli artt. 5, 6, 9, 24, 25 e 88 GDPR e gli artt. 2-ter e 113 del Codice, richiamando il divieto di inferenza delle emozioni sul lavoro dell’art. 5, par. 1, lett. f), AI Act: le informazioni sullo stato emotivo o di stress dei dipendenti non devono essere conoscibili dal datore di lavoro [§10].

Non mancano pronunce in senso più favorevole al datore: il Tribunale di Cosenza, con la sentenza n. 972/2026 (pubblicata il 1° luglio 2026), ha annullato la sanzione di 50.000 euro inflitta dal Garante a un ente pubblico per l’uso di un’applicazione di timbratura da remoto che rilevava la posizione solo al momento della marcatura, escludendo che ciò equivalesse a un controllo a distanza vietato [§11]. Il caso mostra che la modalità concreta di funzionamento (rilevazione puntuale o continua) è il vero elemento qualificante.

Sistemi di IA nel luogo di lavoro: la classificazione secondo l’AI Act

Quando il software incorpora componenti di intelligenza artificiale (inferenza di emozioni, profilazione, valutazione automatica del rendimento), al regime dell’art. 4 e del GDPR si aggiunge quello del Regolamento (UE) 2024/1689. La tabella ne riassume la classificazione per i casi più frequenti nei rapporti di lavoro [§14].

Funzione del sistema	Classificazione AI Act	Conseguenza per il datore (deployer)
Inferenza delle emozioni dei lavoratori (ad es. sentiment analysis su voce, volto o messaggi)	Pratica vietata: art. 5, par. 1, lett. f) (salvo finalità mediche o di sicurezza); divieto applicabile dal 2 febbraio 2025	Non può essere utilizzato; l’inosservanza espone alle sanzioni più elevate del Regolamento
Monitoraggio e valutazione di prestazioni e comportamento; assegnazione di compiti in base a tratti comportamentali; decisioni su condizioni di lavoro, promozione o cessazione del rapporto	Alto rischio: Allegato III, punto 4, lett. b)	Obblighi del deployer (art. 26): uso conforme alle istruzioni, sorveglianza umana, conservazione dei log e informazione dei lavoratori e dei loro rappresentanti (art. 26, par. 7)
Filtri antispam, cifratura, antivirus senza profilazione individuale	Generalmente non alto rischio	Restano il regime dell’art. 4 e il GDPR

Sul piano temporale, il Regolamento (UE) 2026/1744 (c.d. Digital Omnibus on AI), dell’8 luglio 2026, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 e in vigore dal 27 luglio 2026, ha differito l’applicazione degli obblighi per i sistemi ad alto rischio dell’Allegato III al 2 dicembre 2027. Il rinvio non tocca il divieto dell’art. 5 e non incide sul diritto nazionale vigente: già oggi l’impiego di IA di monitoraggio resta soggetto all’art. 4 St. lav., al GDPR e agli obblighi informativi interni [§14].

Sul versante interno, l’art. 11 della L. 23 settembre 2025, n. 132 prevede che il datore di lavoro informi il lavoratore dell’utilizzo di sistemi di intelligenza artificiale, con richiamo all’art. 1-bis del D.Lgs. 26 maggio 1997, n. 152. Il D.Lgs. 7 ottobre 2026, n. 179 (in vigore dal 23 ottobre 2026) ha tradotto questi principi in regole puntuali. L’art. 41 dispone che le decisioni finali sul rapporto di lavoro, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non possano essere adottate unicamente sulla base di un trattamento automatizzato: la decisione definitiva è riservata a una persona fisica che eserciti un potere effettivo e autonomo, e il consenso del lavoratore non costituisce un’eccezione al divieto. Prima dell’avvio del trattamento il datore deve assolvere gli obblighi informativi dell’art. 1-bis D.Lgs. 152/1997; il lavoratore può ottenere, a richiesta e con l’intervento di una persona fisica, una motivazione intelligibile della decisione, con l’indicazione dell’incidenza dei sistemi di IA e dei principali parametri considerati. Il licenziamento intimato in violazione del divieto è nullo, così come le altre decisioni assunte in violazione [§15]. L’art. 42 impone inoltre di includere nella valutazione dei rischi (art. 28 D.Lgs. 81/2008) i sistemi di IA che incidono su organizzazione del lavoro, ritmi produttivi e modalità di esecuzione della prestazione, assicurando informazione e formazione dei lavoratori [§15].

---

§7 — DIRITTO VIVENTE

Il quadro d’insieme

La giurisprudenza converge su tre punti: la rilevanza decisiva dell’informativa preventiva; la necessità che il controllo sia proporzionato e mirato; l’inutilizzabilità della prova raccolta in violazione. Resta aperta la qualificazione di alcuni strumenti e la gestione del doppio binario. La tabella raccoglie le pronunce e i provvedimenti più significativi.

Autorità e estremi	Oggetto	Principio
Cass. civ., sez. lav., 22 settembre 2021, nn. 25731 e 25732	Controlli difensivi	Il controllo difensivo in senso stretto, diretto a specifiche condotte illecite sulla base di concreti indizi, si colloca fuori dal perimetro dell’art. 4; è ex post.
Cass. civ., sez. lav., ord. 13 gennaio 2025, n. 807	Controlli difensivi e dati pregressi	Il controllo non può estendersi a ritroso ai dati conservati prima del sospetto; inutilizzabilità.
Cass. civ., sez. lav., sent. 29 agosto 2025, n. 24204	Concorrenza sleale; email da account personali confluiti sul server aziendale (art. 4 ante D.Lgs. 151/2015)	Rigettato il ricorso del datore: inutilizzabile l’accertamento tecnico sulle comunicazioni; richiamo dei criteri Bărbulescu (finalità legittima, proporzionalità, informazione preventiva); esclusi controlli massivi e preventivi.
Cass. civ., sez. lav., ord. n. 7985/2026 (dep. 31 marzo 2026)	Badge e tornelli (art. 4, comma 2)	Gli strumenti del comma 2 non richiedono fondato sospetto; dati utilizzabili a tutti i fini, anche disciplinari, se vi è informazione adeguata.
Cass. civ., sez. lav., ord. 25 maggio 2026, n. 16214	Licenziamento disciplinare fondato su videoriprese di telecamere installate da agenzia investigativa	Cassazione con rinvio per contraddittorietà della sentenza d’appello: l’inutilizzabilità delle immagini (per difetto di fondato sospetto) non esclude la rilevanza di altre prove e della non contestazione. Il fondato sospetto condiziona la legittimità dei controlli difensivi e l’utilizzabilità delle immagini.
Trib. Pisa, sent. n. 800/2026 (13 giugno 2026)	Licenziamento e controllo sulla posta (caso Piaggio)	Utilizzabili solo i messaggi successivi alla consegna della policy; controlli mirati e successivi al sospetto.
Garante, provv. 6 giugno 2024, n. 364 (doc. web n. 10026277)	Metadati della posta elettronica	Conservazione orientativamente fino a 21 giorni; oltre, garanzie dell’art. 4, comma 1.
Garante, provv. 29 aprile 2025, n. 243 (Regione Lombardia)	Metadati email e log di navigazione	Sanzione di 50.000 euro: metadati oltre 21 giorni e log per 365 giorni, senza accordo sindacale né autorizzazione INL.
Garante, Newsletter n. 542 del 29 gennaio 2026	Account dell’ex dipendente; stile di guida	40.000 euro per accesso alla casella dell’ex amministratore; 120.000 euro per monitoraggio dello stile di guida.
Garante, provv. 18 giugno 2026, n. 476	Conservazione della posta di due ex dipendenti (caso Piaggio)	Sanzione di 460.000 euro; doppio binario con il giudice del lavoro; deficit di informativa.
Garante, provv. 14 maggio 2026, n. 342 (doc. web n. 10255494)	Plug-in di sentiment analysis su chat aziendali (Slack, Teams)	Avvertimento: lo stato emotivo o di stress dei lavoratori non deve essere conoscibile dal datore; richiamo del divieto dell’art. 5, par. 1, lett. f), AI Act.
Trib. Cosenza, sent. n. 972/2026 (pubbl. 1° luglio 2026)	Timbratura da remoto geolocalizzata	Annullata la sanzione di 50.000 euro: rilevazione puntuale, non controllo a distanza vietato.
Corte EDU, Grande Camera, 5 settembre 2017, ric. n. 61496/08; 17 ottobre 2019, ric. nn. 1874/13 e 8567/13	Sorveglianza dei lavoratori	Informazione preventiva e proporzionalità del controllo.
CGUE, 19 dicembre 2024, causa C-65/23	Art. 88 GDPR	Le regole nazionali o collettive sul trattamento dei dati dei lavoratori devono rispettare il GDPR.

Il doppio binario: il caso Piaggio

Il caso Piaggio mostra come la stessa posta elettronica possa dare luogo a due valutazioni diverse. Il Tribunale di Pisa, sul piano lavoristico, ha considerato la casella aziendale uno strumento utilizzato per rendere la prestazione (comma 2) e ha ritenuto legittimo il licenziamento per giusta causa, fondato su controlli mirati e successivi al sospetto. Il Garante, con il provvedimento n. 476 del 18 giugno 2026, ha invece sanzionato la società per 460.000 euro per il trattamento dei dati contenuti nella posta di due ex dipendenti licenziati per giusta causa, valutando, tra l’altro, che un sistema di backup dal quale derivi anche la possibilità di controllo a distanza imponga le garanzie dell’art. 114 del Codice [§9]. Le due decisioni convergono sul deficit di informativa e divergono nel resto: la prova può essere utilizzabile nel giudizio del lavoro e, al tempo stesso, il trattamento essere illecito sul piano privacy.

---

§8 — FATTISPECIE CONCRETE

• Licenziamento fondato sui messaggi senza policy: se il datore non ha mai consegnato una policy sull’uso della posta, i messaggi raccolti sono, di regola, inutilizzabili ai sensi del comma 3; la contestazione disciplinare che vi si fonda rischia di cadere.
• Metadati conservati oltre 21 giorni: la conservazione oltre i tempi tecnici, in assenza di accordo sindacale o autorizzazione dell’INL, espone l’impresa a sanzioni e rende contestabile l’uso dei dati.
• Software di cattura schermate e punteggio di produttività: trattandosi di funzione di misurazione, non di strumento necessario per lavorare, si ricade nel comma 1; senza accordo o autorizzazione la raccolta è illecita e i dati non sono utilizzabili.
• Casella dell’ex dipendente lasciata attiva: oltre un breve periodo e senza reindirizzo o risposta automatica, l’accesso ai messaggi in entrata viola la segretezza della corrispondenza (cfr. i 40.000 euro del caso dell’ex amministratore).
• Licenziamento o sanzione fondati solo sul punteggio di un software di IA: ai sensi dell’art. 41 D.Lgs. 179/2026 la decisione è nulla se adottata unicamente sulla base di un trattamento automatizzato; il lavoratore può chiedere la motivazione intelligibile e l’indicazione dei parametri considerati.
• Analisi del tono dei messaggi su piattaforma di collaborazione: se il sistema inferisce emozioni, rientra nel divieto dell’art. 5, par. 1, lett. f), AI Act; se si limita a misurare indicatori di rendimento, è un sistema ad alto rischio, oltre che soggetto all’art. 4.

---

§9 — PERCORSO MOTIVAZIONALE

Il ragionamento dei giudici e del Garante segue, con sfumature diverse, una sequenza costante:

• Qualificazione dello strumento: strumento di lavoro (comma 2), strumento di controllo (comma 1) o controllo difensivo in senso stretto. È il passaggio in cui si colloca la maggior parte delle divergenze.
• Verifica dell’informativa: policy chiara, preventiva, portata a conoscenza del lavoratore, con indicazione di quali dati sono raccolti, per quanto tempo e con quali finalità. Senza informativa, il comma 3 impedisce l’utilizzo dei dati.
• Proporzionalità e minimizzazione: il controllo deve essere mirato, limitato nel tempo e non generalizzato; i dati devono essere conservati per il tempo strettamente necessario.
• Effetti processuali: se i presupposti mancano, la prova è inutilizzabile e il licenziamento o la sanzione disciplinare che ne dipendono sono esposti a invalidità; il datore, nei controlli difensivi, deve allegare e provare il fondato sospetto.
• Effetti sul piano privacy: il Garante può accertare l’illiceità del trattamento a prescindere dalla sorte del giudizio lavoristico, con sanzioni e ordini di cancellazione.

---

§10 — CONSIGLI OPERATIVI

Per il lavoratore che sospetti di essere stato oggetto di controlli o che riceva una contestazione basata su dati informatici, è opportuno:

• Chiedere la policy: richiedere per iscritto l’informativa e il regolamento aziendale sull’uso degli strumenti informatici, verificando se siano stati consegnati prima dei fatti contestati.
• Esercitare il diritto di accesso (art. 15 GDPR): domandare quali dati sono stati raccolti, da quali sistemi, per quanto tempo e per quali finalità; il termine di risposta è, di regola, di un mese.
• Chiedere la decisione «umana»: se la contestazione si basa su punteggi o valutazioni di un sistema di IA, domandare per iscritto la motivazione intelligibile e l’indicazione della persona fisica che ha deciso (art. 41 D.Lgs. 179/2026); la decisione solo automatizzata è nulla.
• Eccepire l’inutilizzabilità: nella risposta alla contestazione disciplinare e in giudizio, contestare la provenienza e la legittimità dei dati, ricordando che spetta al datore provare i presupposti del controllo difensivo.
• Verificare i tempi di conservazione: confrontare i tempi di conservazione dei metadati e dei log con le indicazioni del Garante (orientativamente 21 giorni) e con eventuali accordi sindacali.
• Valutare il reclamo al Garante: è uno strumento parallelo e non alternativo all’azione davanti al giudice del lavoro, con costi contenuti e possibili effetti correttivi.
• Conservare le prove in modo lecito: non appropriarsi di documenti o messaggi altrui; raccogliere solo i propri messaggi e le comunicazioni ricevute, evitando di creare nuovi profili di responsabilità.
• Tutelare la sfera personale: separare, per quanto possibile, la corrispondenza personale dagli strumenti aziendali e dichiarare eventuali messaggi personali per evitare equivoci.

---

§11 — CONSIDERAZIONI CONCLUSIVE

Il tema dei controlli tecnologici sul lavoratore è lo specchio di un equilibrio mobile tra l’esigenza dell’impresa di proteggere il patrimonio e l’organizzazione e il diritto del lavoratore alla dignità e alla riservatezza. Il quadro del 2025-2026 conferma una linea: la tecnologia amplia la possibilità di controllo, ma non attenua le garanzie; esse si spostano sul terreno della trasparenza, della proporzionalità e dei tempi di conservazione.

Tre indicazioni sintetizzano lo stato dell’arte. Primo: la casella di posta è uno strumento di lavoro, ma i metadati conservati oltre i tempi tecnici e i contenuti restano presidiati. Secondo: il software di monitoraggio, quando misura o valuta il lavoratore, ricade normalmente nel comma 1 e, se basato su IA, nell’AI Act; l’inferenza di emozioni sul lavoro è vietata. Terzo: la prova raccolta senza adeguata informazione è inutilizzabile e il doppio binario tra giudice e Garante impone al lavoratore di presidiare entrambi i fronti.

Con il D.Lgs. 179/2026 (artt. 41-42), in vigore dal 23 ottobre 2026, la supervisione umana delle decisioni assistite da IA ha ora una sanzione civilistica espressa, la nullità: è ragionevole attendersi, anche in vista della scadenza del 2 dicembre 2027 per i sistemi ad alto rischio, un aumento delle contestazioni sulla corretta informazione dei lavoratori e sul ruolo effettivo della persona che decide.

---

Note

• [§1] Art. 4 L. 20 maggio 1970, n. 300, come sostituito dall’art. 23 D.Lgs. 14 settembre 2015, n. 151 e successivamente modificato dal D.Lgs. 24 settembre 2016, n. 185; artt. 113 e 114 D.Lgs. 30 giugno 2003, n. 196; art. 38 L. 300/1970.
• [§2] Cass. civ., sez. lav., 22 settembre 2021, nn. 25731 e 25732 (controlli difensivi in senso stretto, ex post, su concreti indizi di illecito).
• [§3] Cass. civ., sez. lav., ord. 13 gennaio 2025, n. 807 (esclusione del controllo a ritroso sui dati anteriori al sospetto).
• [§4] Cass. civ., sez. lav., sent. 29 agosto 2025, n. 24204 (R.G. 7632/2021; ud. 11 giugno 2025; Pres. Manna, rel. Cinque): concorrenza sleale; email da account personali confluiti sul server aziendale; ricorso principale rigettato. Fatti del 2013: art. 4 nel testo anteriore al D.Lgs. 151/2015.
• [§5] Cass. civ., sez. lav., ord. n. 7985/2026, depositata il 31 marzo 2026 (strumenti di registrazione degli accessi e delle presenze; art. 4, comma 2).
• [§6] Garante per la protezione dei dati personali, provv. 6 giugno 2024, n. 364, doc. web n. 10026277, «Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati».
• [§7] Garante per la protezione dei dati personali, provv. 29 aprile 2025, n. 243 (Regione Lombardia; sanzione di 50.000 euro; metadati della posta elettronica, log di navigazione e ticket di assistenza IT).
• [§8] Garante per la protezione dei dati personali, Newsletter n. 542 del 29 gennaio 2026 (doc. web n. 10214064): sanzione di 40.000 euro per accesso alla casella dell’ex amministratore delegato; sanzione di 120.000 euro per il monitoraggio dello stile di guida di cinque dipendenti.
• [§9] Garante per la protezione dei dati personali, provv. 18 giugno 2026, n. 476 (sanzione di 460.000 euro); Trib. Pisa, sent. n. 800/2026, 13 giugno 2026.
• [§10] Garante per la protezione dei dati personali, provv. 14 maggio 2026, n. 342, doc. web n. 10255494 (avvertimento a Myndoor S.r.l.).
• [§11] Trib. Cosenza, sent. n. 972/2026, pubblicata il 1° luglio 2026, che ha annullato la sanzione di 50.000 euro irrogata con provv. Garante 13 marzo 2025, n. 135.
• [§12] Corte EDU, Grande Camera, Bărbulescu c. Romania, 5 settembre 2017, ric. n. 61496/08; López Ribalda e altri c. Spagna, 17 ottobre 2019, ric. nn. 1874/13 e 8567/13.
• [§13] CGUE, 19 dicembre 2024, causa C-65/23, in tema di art. 88 GDPR e contrattazione collettiva.
• [§14] Reg. (UE) 2024/1689, art. 5, par. 1, lett. f), art. 26, par. 7 e Allegato III, punto 4, lett. b); Reg. (UE) 2026/1744 dell’8 luglio 2026 (GUUE 24 luglio 2026; in vigore dal 27 luglio 2026).
• [§15] L. 23 settembre 2025, n. 132, art. 11; D.Lgs. 26 maggio 1997, n. 152, art. 1-bis; D.Lgs. 7 ottobre 2026, n. 179, artt. 41 e 42 (GU n. 234 dell’8 ottobre 2026; in vigore dal 23 ottobre 2026); D.Lgs. 9 aprile 2008, n. 81, art. 28.
• [§16] Cass. civ., sez. lav., ord. 25 maggio 2026, n. 16214 (R.G. 12020/2025; c.c. 17 marzo 2026; Pres. Leone, rel. Panariello): licenziamento disciplinare; videoriprese eseguite da agenzia investigativa; cassazione con rinvio alla Corte d’appello di Roma; sentenza impugnata: App. Roma n. 1370/2025.