Le note che seguono toccano assai rapidamente il complesso tema dell’inquadramento giuridico dell’email aziendale del dipendente.
Assieme all’articolo “La sicurezza informatica è controllo a distanza?”, su questo blog, riproducono, con qualche precisazione rilevatasi utile e maggiore dettaglio, il contenuto dell’intervento che ho tenuto all’edizione 2026 del Privacy Symposium, nell’ambito del panel dal titolo: “Le nuove frontiere dei monitoraggi e dei controlli aziendali: strumenti intelligenti artificiali per esigenze organizzative, produttive, di sicurezza e di tutela del patrimonio aziendale“.
Accesso all’email aziendale: il conflitto (apparente) tra impresa e privacy
In particolare, l’accesso all’email aziendale del dipendente è uno degli argomenti maggiormente discussi in ambito giuridico e imprenditoriale. In definitiva, i messaggi che transitano sull’account email personale, ossia quello del tipo dipendente@azienda.it, sono corrispondenza del dipendente o dell’imprenditore?
La questione non è nuova, tuttavia pare ancora ben lontana dall’avere trovato composizione e ha ricevuto nuova complessità ad esito del crescente ruolo che il Garante per la protezione dei dati personali ha assunto in questo dibattito. Come tutte le materie di frontiera tra settori diversi del diritto, anche questa, collocata al confine tra diritto del lavoro, diritto alla protezione dei dati personali, diritto costituzionale, risente di approcci e di logiche di ragionamento molto diversi.
La posizione del Garante
Secondo il Garante, l’indirizzo personale aziendale del dipendente è corrispondenza di costui, metadati inclusi. E’ una posizione consolidata già a far data dalle linee guida del 1° marzo 2007 su posta elettronica e Internet.
In maniera poi costante, l’Autorità di controllo ha evocato a tutela del dipendente l’articolo 15 della Costituzione e richiamato sentenze della Corte costituzionale, come la 81/1993 e la 281/1998. Le pronunce, tuttavia, non affrontano in alcun modo il tema dell’attribuzione della corrispondenza aziendale all’imprenditore o al dipendente, non appaio perciò di utile apporto.
Inoltre, l’Authority italiana menziona spesso nei suoi provvedimenti in questa materia anche alcune landmark decision della Corte europea dei diritti dell’uomo (Corte EDU), come i casi Niemietz o Bărbulescu. A un’attenta lettura, va notato che tali richiami non si rivelano sempre pertinenti, per ragioni diverse (v. sotto), e talvolta hanno il sapore dell’automatismo.
Se dunque la cornice giuridica è meno solida di quanto appaia, o quantomeno più complessa e sfaccettata, quali sono le basi concettuali che permettono di considerare i messaggi di posta elettronica aziendale in entrata e in uscita dall’account del dipendente come sua corrispondenza personale e non come corrispondenza dell’imprenditore? E, in tale secondo caso, l’imprenditore può leggere sempre e comunque le email aziendali? Si osserverà al termine di questo articolo che le due domande sono assai diverse e intercettano istituti giuridici non necessariamente sovrapponibili.
Perché la posizione del Garante privacy appare discutibile
In realtà, le ragioni per una lettura giuridica della corrispondenza aziendale come corrispondenza dell’imprenditore sono numerose, due su tutte:
Il caso Niemietz e il concetto di corrispondenza professionale
Uno dei precedenti della Corte europea dei diritti dell’uomo (Corte EDU) spesso richiamati dal Garante è la sentenza Niemietz c. Germania, n. 13710/88.
La pronuncia è significativa – si osserva giustamente – perché ha riconosciuto la tutela della riservatezza anche in ambito lavorativo.
Questo è corretto, tuttavia non nel senso ritenuto dall’Authority. Niemietz non era un dipendente, era l’avvocato titolare di uno studio legale. Il riconoscimento del diritto alla tutela della corrispondenza riguarda cioè il soggetto che oggi definiremmo titolare del trattamento.
Niemietz rovescia dunque, a mio parere, la prospettiva adottata dall’Autorità di controllo, riconoscendo semmai piena tutela ai sensi dell’art. 8 CEDU alla corrispondenza “aziendale” quale corrispondenza di chi organizza l’azienda (o in quel caso lo studio legale). Possono essere individuate altre pertinenti pronunce della Corte EDU di analogo tenore.
La ragionevole aspettativa di privacy del dipendente
Un altro precedente spesso citato dal Garante è il celebre caso Bărbulescu c. Romania, n. 61496/08, sovente richiamato insieme a Copland c. Regno Unito, n. 62617/00.
In questa associazione tra due sentenze molto diverse si manifesta già una prima criticità. Risultano infatti divergenti su un tema chiave: Copland consacra, giustamente, la dottrina della “ragionevole aspettativa di privacy” del dipendente (reasonable expectation of privacy). In Bărbulescu l’aspettativa di privacy del dipendente è virtualmente inesistente.
Se, cioè, si vuole richiamare la dottrina CEDU dell’“aspettativa di privacy”, il caso Bărbulescu è, a mio parere, il meno indicato.
L’aspettativa di privacy risulta infatti inversamente proporzionale alle informazioni e alle istruzioni che il lavoratore riceve su ciò che può o non può fare con la posta elettronica aziendale. Maggiore è la trasparenza preventiva, minore l’aspettativa di privacy.
Se queste informazioni sussistono e se sussistono simmetriche e precise istruzioni, affermare un’aspettativa di privacy appare forzato. Introduce infatti la licenza del dipendente a ignorare deliberatamente le informative e a violare intenzionalmente le istruzioni ricevute, in contraddizione sia con la natura giuridica di un rapporto contrattualmente subordinato sia con gli stessi istituti privacy evocati.
Sempre nella sentenza Bărbulescu, e in diverse altre per la verità, leggiamo che
il datore di lavoro ha un legittimo interesse a garantire il buon andamento della società e ciò può essere fatto stabilendo meccanismi finalizzati a controllare che i dipendenti svolgano le loro mansioni professionali in modo adeguato e con la necessaria diligenza.
La pronuncia, dunque, si presta semmai a sostenere la legittima aspettativa di controllo datoriale, ossia la presunzione di aziendalità della corrispondenza gestita con strumenti assegnati al dipendente.
Questi è in effetti assegnatario di un account email aziendale per corrispondere, per conto e nell’interesse del datore di lavoro, con clienti e fornitori e per coordinarsi con altri colleghi, ma sempre nell’interesse aziendale e per conto dell’imprenditore.
Sulla stessa linea di ragionamento, risulta altresì contraddittorio menzionare nello stesso contesto, come pure talvolta si legge, la sentenza Bărbulescu e l’art. 15 della Costituzione a tutela dei dipendenti.
Infatti, il disposto costituzionale offre alla corrispondenza una formidabile protezione che può essere limitata solo dall’autorità giudiziaria con le garanzie di legge, laddove in Bărbulescu è riconosciuto l’esatto opposto, ossia un legittimo interesse datoriale a svolgere controlli. I due riferimenti giuridici cozzano cioè reciprocamente, a meno che l’art. 15 Cost. non sia invocato a tutela della corrispondenza dell’imprenditore.
Corrispondenza e trattamento dei dati personali sono concetti diversi
Occorre tuttavia prestare attenzione a evitare conclusioni affrettate. Che la corrispondenza dell’azienda, anche quando interessa la casella di posta del dipendente, sia corrispondenza dell’imprenditore non implica infatti che i dati personali che la contrassegnano siano dati dell’imprenditore. O – a seconda dei casi – dati esclusivamente dell’imprenditore, anche quando costui sia una persona fisica.
I dati personali in parola sono, innanzitutto, il nome del dipendente nella formulazione stessa dell’account, es. “mario.rossi@azienda.it”, e, in secondo luogo, il contenuto dei messaggi, in quanto riguardanti, anche, il dipendente.
Detto altrimenti, un conto è pretendere di applicare al dipendente le norme giuridiche a tutela della corrispondenza, altro è applicare le norme a tutela dei dati personali.
In senso concreto, ciò significa garantire assoluta trasparenza preventiva sui controlli alla mail aziendale in uso al dipendente, osservare proporzionalità nel trattamento (ossia una graduazione negli interventi di accesso e nei criteri d’innesco), rispettare la dignità del lavoratore. Significa farlo in applicazione del Regolamento (UE) 2016/679 e non sulla base dell’art. 15 Cost. riferito al dipendente.
Email aziendale e intelligenza artificiale: nuovi rischi e controlli
E’ in definitiva auspicabile l’avvio di un processo di rimeditazione da parte del Garante di alcuni presupposti apicali del ragionamento, l’abbandono di formule tralatizie, che non escluda anche un coraggioso ripensamento dei rapporti e delle implicazioni derivanti dall’interazione tra settori del diritto limitrofi, talvolta coincidenti, talaltra divergenti.
Non è cioè affatto scontato che l’art. 15 Costituzione, l’art. 4 Statuto dei lavoratori (ved. articolo La sicurezza informatica è controllo a distanza?) e le sentenze della Corte EDU sull’art. 8 CEDU siano sempre realmente sovrapponibili né che abbiano lo stesso oggetto giuridico.
A rendere più complesso il quadro intervengono oggi gli apporti dell’intelligenza artificiale, come opportunamente sottolineato da altri relatori del panel (Gravili, Vintiadis). Sono apporti per un verso efficienti, per altro verso di difficile analisi, anche sul piano dell’accountability, del diritto a una spiegazione, del soddisfacimento degli obblighi di DPIA (ove esistenti). Possono cioè facilitare alcuni processi ma complicarne altri, anche sul versante legale.
Ecco, si tratta di elementi che spingono ulteriormente a un riesame sistematico dell’intera materia, inclusi evidentemente i presupposti giuridici, e a uno studio senza preconcetti delle faglie tra diritto alla protezione dei dati personali, diritto del lavoro, normativa sull’AI.