Nelle due sentenze in esame (Cass., 29 agosto 2025, n. 24204 e Cass., 27 ottobre 2025, n. 28365), che ivi si segnalano, il Supremo Consesso torna su questioni assai delicate, attinenti alle relazioni tra datore e prestatore. Con esiti opposti, però: favorevoli per il lavoratore nella sentenza di agosto, per il datore in quella di ottobre.

Il primo arresto affronta i temi della tutela dei diritti della personalità del lavoratore dipendente e della riservatezza, nonché quello della concorrenza sleale.

Nel caso in esame, la Corte ha rigettato il ricorso di una società che lamentava atti di concorrenza sleale da parte di ex-dipendenti, fondando le proprie accuse su comunicazioni e-mail acquisite da account personali degli stessi. Gli ex-dipendenti avevano altresì formulato domanda di risarcimento del danno, su cui la Corte non si è espressa in quanto concernete il merito della vicenda.

Ebbene. L’acquisizione in giudizio di e-mail personali, ancorché accessibili da server o dispositivi aziendali, è illegittima, ove non vi sia un’informativa preventiva al dipendente ed il rispetto dei principi di proporzionalità, di finalità lecita e di necessità. Peraltro, l’informativa in questione deve avere una portata ampia: riguardare la possibilità, la forma ed il controllo degli accessi.

Le e-mail private dei lavoratori, dunque, restano inviolabili, in quanto protette dalla Convenzione europea dei diritti dell’uomo (art. 8).

L’interesse organizzativo alla integrità ed alla sicurezza informatica del datore di lavoro e le esigenze produttive cedono rispetto alla tutela della sfera privata e della segretezza delle comunicazioni, del diritto alla riservatezza e della dignità della persona, in quanto principi costituzionali e sovranazionali in materia di privacy e di controllo datoriale (valevoli anche, come nel caso di specie, in fase post-contrattuale, ed anche se il datore di lavoro sia affidatario di compiti di rilievo pubblicistico).

Il datore di lavoro non può, dunque, accedere a e visionare la mail degli (ex-)dipendenti, considerati sleali, attraverso i server aziendali: nel caso in esame, i messaggi provenivano comunque da account privati protetti da password e i titolari non avevano concesso alcuna autorizzazione. Il datore di lavoro nemmeno può conservare e categorizzare i dati personali dei prestatori, relativi alla navigazione sul web, all’uso della posta elettronica e alle utenze telefoniche contattate dagli stessi, nell’ipotesi in cui abbia acquisito tali dati per mezzo di sistemi di controllo installati senza il rispetto delle procedure previste dalla legge n. 300 del 1970 (art. 4, c. 2 come vigente ratione temporis) e senza l’acquisizione del consenso individuale e del rilascio delle informative di cui al d.lgs. n. 196 del 2003.

Gli Ermellini ravvisano, infatti, in tale condotta aziendale la violazione dell’art. 8 dello Statuto dei lavoratori, in forza del quale sono vietate le indagini sulle opinioni e sulla vita personale del lavoratore (anche se poi il datore di lavoro non faccia di fatto un uso concreto delle informazioni raccolte).

Detti principi già sanciti dai giudici di legittimità in Cass. civ., sez. I, sentenza, 19/09/2016, n. 18302, sempre in tema di garanzie procedurali da adottare nell’ambito dei controlli difensivi a tutela della libertà e dignità del lavoratore, e ribaditi poi anche più di recente da Cass. civ., sez. lavoro, sentenza, 22/09/2021, n. 25731, in cui la Corte configura la “chat” aziendale sì come strumento di lavoro, ma ribadendo che le informazioni da questa tratte necessitano di preventiva comunicazione al lavoratore per essere utilizzate.

Il secondo arresto concerne, invece, il tema del licenziamento per accessi abusivi e divulgazione di dati aziendali a terzi estranei.

Nel caso in esame, al contrario, la Corte ha sostenuto la legittimità della sanzione del licenziamento disciplinare comminata al lavoratore per uso improprio dei sistemi informatici aziendali (il dipendente aveva compiuto accessi non autorizzati ed aveva diffuso all’esterno dati riservati).

Il discrimine qui, però, è la sussistenza di una policy interna chiara e trasparente, nel senso di conoscibile, accessibile e formulata in termini non ambigui: nel caso di specie, la Corte ha ritenuto lecito – anche a livello di proporzionalità, trasparenza e necessità – il controllo datoriale eseguito sul notebook aziendale, evidenziando che il dispositivo in uso al prestatore era rimasto di proprietà dell’impresa e che il lavoratore era stato previamente informato sulla possibilità di verifiche in caso di anomalie.

Le due pronunce in questione pongono insomma l’accento su numerosi temi, in primis sulla questione della fiducia nel diritto del lavoro, per cui la lesione dell’affidamento reciproco tra le parti -e l’abuso dei sistemi informatici aziendali senza dubbio lo lede in maniera irreparabile – giustifica il recesso per giusta causa ai sensi degli artt.  2119 c.c. e 18 dello Statuto.

Tali pronunciamenti fanno il paio, peraltro, con i due Provvedimenti – di poco precedenti –n. 363 del 23 giugno 2025 e 386 del 10 luglio 2025, con i quali il Garante protezione dati personali ha consolidato il proprio orientamento sulla c.d. minimizzazione dell’uso dei dati da parte del datore di lavoro.

Riassumendo, dunque, il datore può monitorare l’uso dei propri strumenti informatici, ma solo in presenza di alcuni presupposti essenziali, con l’adozione di adeguate policy interne e di idonee garanzie procedurali, perché il controllo non invada la sfera personale del lavoratore, la cui inviolabilità non è comprimibile né negoziabile.

Chiara Iodice, funzionario pubblico

Visualizza i documenti: Cass., 29 agosto 2025, n. 24204; Cass., 27 ottobre 2025, n. 28365

Scarica il commento in PDF

L'articolo Privacy sul lavoro e interesse organizzativo dell’impresa: quando e come il datore può controllare il dipendente e le sue e-mail sembra essere il primo su Rivista Labor - Pacini Giuridica.