Il datore di lavoro può leggere le mie email aziendali o controllare WhatsApp?

Ha il sospetto che l'azienda legga la sua posta di lavoro o le sue chat. La risposta breve è questa: se il datore di lavoro controlla le email aziendali non è sempre fuori legge, ma può farlo solo entro limiti precisi. Deve averla informata prima, per iscritto, su come usare la casella e su quali controlli possono essere fatti; non può leggere sistematicamente la posta; e non può in nessun caso entrare nelle chat WhatsApp del suo telefono personale. Se ha ricevuto una contestazione disciplinare basata su questi controlli, il termine da non perdere è quello di cinque giorni per presentare le sue difese.

Vediamo cosa può fare l'azienda, cosa le è vietato e quando le informazioni raccolte possono essere usate contro il lavoratore.

Il datore di lavoro controlla le email aziendali: cosa dice la legge

La norma di riferimento è l'articolo 4 dello Statuto dei lavoratori, la legge n. 300 del 1970, nel testo riscritto dal decreto legislativo n. 151 del 2015. Il primo comma riguarda gli impianti audiovisivi e gli altri strumenti da cui può derivare anche un controllo a distanza dei lavoratori: si possono installare solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale, e soltanto dopo un accordo con le rappresentanze sindacali o, in mancanza, con l'autorizzazione dell'Ispettorato del lavoro.

Il secondo comma esclude da questa procedura gli strumenti che il lavoratore usa per rendere la prestazione, come il computer, la casella di posta e lo smartphone aziendali, e quelli che registrano accessi e presenze, come il badge. Il terzo comma, però, stabilisce che le informazioni raccolte sono utilizzabili a tutti i fini connessi al rapporto di lavoro, compresi quelli disciplinari, solo se al lavoratore è stata data un'adeguata informazione sulle modalità d'uso degli strumenti e sui controlli, e nel rispetto della normativa sulla protezione dei dati personali.

In pratica, prima di qualsiasi controllo deve esserle stato consegnato o reso disponibile un documento, spesso chiamato regolamento informatico, che spiega come usare la posta aziendale, se è ammesso un uso personale e quali controlli sono possibili. Se questo documento non esiste o non le è mai stato comunicato, le informazioni ricavate dalla sua casella non sono utilizzabili contro di lei, salvo il caso particolare dei controlli difensivi di cui diciamo più avanti.

Fino a dove può spingersi il controllo?

Anche quando l'informativa c'è, il controllo deve rispettare i principi del Regolamento europeo sulla protezione dei dati, il GDPR: deve essere necessario, proporzionato allo scopo e limitato ai dati che servono. Il Garante per la protezione dei dati personali, con le linee guida su posta elettronica e internet del 1° marzo 2007, ha indicato da tempo che non è ammessa la lettura sistematica dei messaggi e che i controlli devono essere graduali, partendo da verifiche generiche e anonime prima di arrivare al singolo lavoratore.

Anche i metadati, cioè i dati che i sistemi di posta registrano in automatico come mittente, destinatario e orario di invio, hanno dei limiti: con un documento di indirizzo aggiornato il 6 giugno 2024 il Garante ha chiarito che conservarli a lungo o usarli per scopi diversi dal funzionamento della posta può diventare un controllo a distanza, soggetto all'accordo sindacale o all'autorizzazione dell'Ispettorato.

L'articolo 8 dello Statuto, inoltre, vieta indagini sulle opinioni politiche, religiose o sindacali del lavoratore e su fatti non rilevanti per valutarne l'attitudine professionale. Le violazioni dell'articolo 4, primo comma, e dell'articolo 8 sono anche reato: le punisce l'articolo 171 del Codice privacy, il decreto legislativo n. 196 del 2003, rinviando alle sanzioni penali previste dall'articolo 38 dello Statuto.

E se il controllo nasce da un sospetto preciso?

La Cassazione, con un orientamento ormai consolidato anche dopo la riforma del 2015, ammette i cosiddetti controlli difensivi in senso stretto: verifiche mirate su un singolo lavoratore, fatte quando l'azienda ha già un fondato sospetto che abbia commesso un illecito, ad esempio la sottrazione di dati riservati o di clienti. Questi controlli restano fuori dalla procedura dell'articolo 4, ma a condizioni rigorose. Il sospetto deve esistere prima del controllo e deve essere fondato su elementi concreti; le verifiche possono riguardare solo i dati raccolti dopo il suo sorgere; e va comunque rispettato un equilibrio tra la tutela dell'azienda e la dignità e la riservatezza del lavoratore.

Un controllo a tappeto, fatto per vedere se emerge qualcosa, non rientra in questa categoria.

WhatsApp sul telefono personale: il datore di lavoro può leggerlo?

No. Il telefono personale non è uno strumento di lavoro e i messaggi che contiene sono corrispondenza privata, protetta dall'articolo 15 della Costituzione, che garantisce la libertà e la segretezza di ogni forma di comunicazione. Prendere il telefono di un dipendente e leggerne le chat può integrare il reato di violazione di corrispondenza previsto dall'articolo 616 del codice penale. E il lavoratore non è tenuto a mostrare i propri messaggi se l'azienda glielo chiede.

Diverso è il caso del telefono aziendale. Se l'azienda le ha dato uno smartphone di servizio, quello è uno strumento di lavoro e valgono le regole viste sopra: informativa preventiva, controlli proporzionati, niente lettura sistematica. Se lo usa anche per chat personali, verifichi cosa prevede il regolamento interno sull'uso privato.

Un'ultima precisazione riguarda le chat di gruppo tra colleghi. La Cassazione ha ritenuto in più occasioni che i messaggi scambiati in un gruppo chiuso, rivolti solo ai suoi partecipanti, siano corrispondenza privata, e che non possano di per sé fondare un licenziamento anche se critici verso l'azienda. Un messaggio pubblicato su un social network aperto a molti viene invece trattato diversamente.

Ho ricevuto una contestazione disciplinare: entro quando devo muovermi?

Se l'azienda le contesta un comportamento emerso da email, chat o altri controlli, la procedura è quella dell'articolo 7 dello Statuto: la contestazione deve essere scritta e specifica, e lei ha almeno cinque giorni dal ricevimento per presentare le sue giustificazioni, per iscritto o chiedendo di essere sentito, anche con l'assistenza di un rappresentante sindacale. Il datore di lavoro non può adottare la sanzione prima che siano trascorsi i cinque giorni, salvo che le difese siano già state presentate.

Nelle giustificazioni, oltre a spiegare i fatti, si può contestare il modo in cui le informazioni sono state raccolte: l'assenza di un'informativa adeguata, un controllo generalizzato, l'accesso a messaggi privati. Se la contestazione si conclude con un licenziamento, questo va impugnato per iscritto entro sessanta giorni dalla comunicazione, come prevede l'articolo 6 della legge n. 604 del 1966, e nei successivi centottanta giorni va depositato il ricorso in tribunale o chiesto il tentativo di conciliazione.

Quali strumenti ho contro un controllo illegittimo?

Sul piano della protezione dei dati, il lavoratore può presentare reclamo al Garante, come previsto dall'articolo 77 del GDPR e dall'articolo 141 del Codice privacy, oppure rivolgersi al giudice ordinario. Le due strade sono alternative: l'articolo 140-bis del Codice privacy stabilisce che il reclamo al Garante, una volta presentato, impedisce di proporre davanti al giudice la stessa domanda tra le stesse parti. Il reclamo serve a far accertare la violazione e a ottenere provvedimenti nei confronti dell'azienda, ma non a ottenere un risarcimento: il risarcimento del danno, previsto dall'articolo 82 del GDPR, si chiede al giudice, e il danno va dimostrato.

Se il controllo integra un reato è possibile presentare una denuncia. Nella pratica, però, la tutela più immediata è far valere l'inutilizzabilità delle informazioni raccolte in violazione delle regole, nella fase disciplinare o davanti al giudice del lavoro.

Quando farsi assistere e cosa preparare

Conviene chiedere un parere legale quando si riceve una contestazione basata su email, chat o dati degli strumenti aziendali, quando l'azienda chiede di mostrare il telefono personale, o quando si scopre che la propria casella è stata letta senza informativa.

Per una prima valutazione servono il contratto di lavoro, il regolamento informatico o l'informativa sull'uso degli strumenti aziendali, se le sono stati consegnati, la lettera di contestazione con la data di ricevimento, e ogni elemento che indichi come l'azienda è venuta a conoscenza dei messaggi. Non cancelli email o chat che potrebbero servire alla sua difesa.

Se si trova in questa situazione, può richiedere una consulenza online allo Studio Legale Ricci: l'Avv. Stefano Ricci esamina i documenti e risponde per iscritto in 2-5 giorni lavorativi, indicando se il controllo è legittimo, come impostare le difese e quali termini rispettare.

Le informazioni contenute in questo articolo hanno carattere generale, sono aggiornate alla data di pubblicazione e non sostituiscono un parere legale sul caso specifico.