Con una recente sentenza del Tribunale di Pisa n. 800 del 13 giugno 2026 si affronta un tema di particolare interesse per le aziende: il delicato equilibrio tra tutela della privacy dei lavoratori, i controlli datoriali e l’utilizzabilità delle prove raccolte attraverso gli strumenti aziendali.
Il caso
La vicenda trae origine dalla scoperta di un possibile conflitto di interessi in capo a una dipendente, addetta alla fatturazione attiva presso l’azienda da molti anni. La lavoratrice comunicava infatti al datore di lavoro soltanto in un secondo momento che il figlio aveva ricoperto la carica di amministratore in una società fornitrice della stessa azienda. Tale circostanza induceva la società ad approfondire la situazione, ritenendo che la mancata tempestiva comunicazione potesse essere sintomatica di un coinvolgimento della dipendente nelle attività della società fornitrice incompatibile con gli obblighi di correttezza e trasparenza gravanti sul lavoratore.
A fronte di tali elementi, la società avviava un’attività di verifica interna che interessava inizialmente fonti documentali esterne e consentiva di individuare ulteriori collegamenti tra la lavoratrice, il figlio e alcuni soggetti coinvolti nella gestione della società fornitrice. Le risultanze dell’indagine inducevano quindi il datore di lavoro ad ampliare gli accertamenti mediante l’accesso alla casella di posta elettronica aziendale della dipendente.
L’analisi delle e-mail, effettuata attraverso l’impiego di specifiche parole chiave e con riferimento a un arco temporale delimitato, faceva emergere elementi che, secondo la società, confermavano un coinvolgimento della lavoratrice nelle attività della società fornitrice più ampio rispetto a quanto dalla stessa dichiarato. Sulla base di tali risultanze l’azienda avviava il procedimento disciplinare che si concludeva nel licenziamento per giusta causa.
La decisione del Tribunale
La decisione affronta un tema particolarmente attuale: il rapporto tra controlli difensivi, tutela della privacy e utilizzabilità delle prove raccolte attraverso gli strumenti digitali aziendali.
Secondo il Giudice, l’accesso alla casella di posta elettronica non si configura come un controllo generalizzato sull’attività lavorativa, bensì come un controllo difensivo in senso stretto, finalizzato ad accertare uno specifico sospetto di illecito già emerso sulla base di elementi oggettivi acquisiti nel corso delle verifiche preliminari. Il Tribunale richiama sul punto l’orientamento consolidato della Corte di Cassazione, secondo cui tali controlli sono consentiti quando risultano fondati su concreti indizi di illecito, sono mirati e vengono effettuati successivamente all’emersione del sospetto.
Nella ricostruzione accolta dal Giudice, il sospetto non nasce dall’esame della posta elettronica, ma preesiste ad esso e trova origine nelle informazioni emerse a seguito delle verifiche documentali svolte dalla società. Proprio tale circostanza consente di qualificare l’accesso alla casella e-mail come uno strumento investigativo finalizzato alla verifica di fatti specifici e non come un’attività di monitoraggio indiscriminato del lavoratore. Il Tribunale attribuisce inoltre rilievo alle modalità concrete con cui il controllo viene effettuato. L’analisi delle comunicazioni aziendali risulta infatti limitata a specifiche parole chiave, circoscritta a un determinato intervallo temporale e svolta da soggetti autorizzati. Tali elementi portano il Giudice a ritenere rispettato il principio di proporzionalità, escludendo che l’indagine abbia assunto carattere massivo o esplorativo.
Un ulteriore profilo valorizzato nella decisione riguarda il sistema di regole aziendali adottato dal datore di lavoro. Il Tribunale evidenzia come la lavoratrice fosse stata preventivamente informata, attraverso la policy ICT aziendale, delle modalità di utilizzo degli strumenti informatici e della possibilità che venissero effettuati controlli sugli stessi. La presenza di un’adeguata informativa e la preventiva accettazione della policy da parte della dipendente rappresentano, secondo il Giudice, elementi idonei a soddisfare le condizioni richieste dall’art. 4 dello Statuto dei Lavoratori e dalla disciplina privacy.
Particolarmente significativa appare poi la posizione assunta dal Tribunale sul rapporto tra GDPR e procedimento disciplinare. Pur prendendo atto delle contestazioni formulate dinanzi al Garante Privacy in relazione alla conservazione dei dati aziendali, il Giudice opera una netta distinzione tra la possibile illiceità di alcuni trattamenti sul piano amministrativo e l’utilizzabilità delle prove nel giudizio del lavoro. In altri termini, eventuali criticità relative alla data retention non determinano automaticamente l’inutilizzabilità della documentazione acquisita, qualora l’accesso ai dati avvenga nell’ambito di un’indagine difensiva ritenuta legittima e proporzionata.
Alla luce di tali considerazioni, il Tribunale conclude che le prove raccolte attraverso l’accesso alla posta elettronica possono essere legittimamente utilizzate nel procedimento disciplinare e procede quindi all’esame del merito delle contestazioni mosse alla lavoratrice. Una volta riconosciuta la validità degli elementi acquisiti, il Giudice ha ritenuto accertata la violazione degli obblighi di fedeltà, correttezza e trasparenza confermando la legittimità del licenziamento per giusta causa.
La pronuncia non deve tuttavia essere letta nel senso di una generale irrilevanza della normativa privacy nell’ambito delle indagini aziendali. Il Tribunale si limita infatti ad affermare che eventuali criticità nella gestione dei dati personali non determinano automaticamente l’inutilizzabilità delle prove raccolte nel procedimento disciplinare, qualora l’accesso ai dati sia avvenuto nell’ambito di un controllo difensivo legittimo e proporzionato. Ciò non significa, però, che le medesime condotte siano prive di conseguenze sotto il diverso profilo della protezione dei dati personali. Al contrario, eventuali violazioni delle disposizioni del GDPR e della normativa nazionale possono continuare a rilevare autonomamente sul piano amministrativo e sanzionatorio, esponendo l’azienda ai provvedimenti dell’Autorità di controllo e alle ulteriori responsabilità previste dall’ordinamento.