Articolo Pubblicazioni

Prove digitali nelle cause di lavoro: email aziendali, controlli a distanza e privacy

di · Pubblicato il 14 novembre 2026

Abstract

Email aziendali, log di accesso, cronologie di navigazione e dati dei dispositivi forniti ai dipendenti sono prove frequenti nelle cause di lavoro, e altrettanto spesso vengono dichiarate inutilizzabili. L’articolo spiega le regole dell’art. 4 dello Statuto dei lavoratori dopo la riforma del 2015, il ruolo dell’informativa e del GDPR, i controlli difensivi riconosciuti dalla Cassazione, le indicazioni del Garante sui metadati della posta e il metodo per raccogliere i dati senza comprometterne l’uso.

Vincenzo Calabrò | Prove digitali nelle cause di lavoro: email aziendali, controlli a distanza e privacy
 

Il punto di partenza

Il datore di lavoro può controllare il corretto uso degli strumenti aziendali, ma non può sorvegliare l’attività dei dipendenti in modo indiscriminato. La linea fra le due cose è tracciata dall’art. 4 della legge 300 del 1970, riscritto nel 2015, e dal GDPR. Una prova raccolta oltre quei limiti rischia di essere inutilizzabile e di esporre l’azienda a sanzioni del Garante.

Cosa prevede l’art. 4

  • impianti e strumenti dai quali derivi anche la possibilità di controllare a distanza l’attività dei lavoratori si possono installare solo per esigenze organizzative e produttive, di sicurezza del lavoro o di tutela del patrimonio, previo accordo sindacale o autorizzazione dell’Ispettorato del lavoro;
  • questa procedura non serve per gli strumenti usati dal lavoratore per rendere la prestazione, come computer, telefono e posta elettronica aziendale, né per quelli che registrano accessi e presenze;
  • le informazioni raccolte sono utilizzabili a tutti i fini connessi al rapporto di lavoro solo se il lavoratore ha ricevuto un’adeguata informazione sulle modalità d’uso degli strumenti e sui controlli, e nel rispetto della normativa sulla protezione dei dati.
L’informativa è quindi il passaggio decisivo. Un regolamento interno sull’uso di posta, internet e dispositivi, consegnato e documentato, che spieghi quali dati vengono registrati, per quanto tempo e in quali casi possono essere esaminati, è la condizione perché quei dati possano poi essere usati.

Controlli difensivi

La Cassazione distingue i controlli sull’attività lavorativa da quelli difensivi in senso stretto, diretti ad accertare comportamenti illeciti di singoli dipendenti. Con la sentenza n. 25732 del 2021 ha chiarito che questi ultimi sono ammessi fuori dall’art. 4 solo se mirati, se nascono da un fondato sospetto e se riguardano dati raccolti dopo che il sospetto è sorto. Un’analisi a tappeto delle email di tutti i dipendenti alla ricerca di irregolarità non rientra in questa categoria.

Metadati della posta e GDPR

Il Garante per la protezione dei dati personali, con un documento di indirizzo del 2024, ha indicato che i metadati della posta elettronica, cioè mittenti, destinatari, orari e oggetti, si possono conservare per un periodo breve, di norma non oltre ventuno giorni, per esigenze di funzionamento e sicurezza. Una conservazione più lunga richiede la procedura dell’art. 4 o una motivazione specifica. Restano fermi i principi del GDPR, cioè finalità determinate, minimizzazione, proporzionalità e trasparenza.

Come raccogliere dati utilizzabili

  1. verificare prima di tutto informativa, regolamento interno e, se necessari, accordo o autorizzazione;
  2. definire per iscritto il sospetto e il perimetro del controllo, cioè quali dati, di quale persona e di quale periodo;
  3. far acquisire i dati da un tecnico, con copia forense dei dispositivi o esportazione documentata da server e servizi cloud, hash e catena di custodia;
  4. limitare l’analisi a quanto serve e separare i dati personali estranei, che vanno esclusi;
  5. coinvolgere il responsabile della protezione dei dati, se nominato, e conservare la documentazione delle scelte fatte.
Le stesse regole valgono, al contrario, per il lavoratore. Chi vuole dimostrare di aver subito pressioni o comportamenti illeciti tramite strumenti aziendali deve conservare i messaggi nel formato originale e farli acquisire in modo verificabile, perché uno screenshot è contestabile come in qualsiasi altra causa.

Casi frequenti

  • Sottrazione di dati da parte di un dipendente che sta per passare a un concorrente, dimostrata con l’analisi del computer aziendale, dei dispositivi USB collegati, dei caricamenti su servizi cloud e delle email inoltrate a indirizzi personali;
  • Uso improprio degli strumenti, come navigazione o attività personali durante l’orario di lavoro, dove i limiti dell’art. 4 e il principio di proporzionalità pesano molto;
  • Molestie o pressioni via chat aziendale o email, in cui la prova serve spesso al lavoratore;
  • Falsificazione di presenze o rimborsi, ricostruita con log di accesso, timbrature e dati di localizzazione dei dispositivi aziendali, se l’informativa lo prevedeva.

Dispositivi personali e smart working

Quando il dipendente usa il proprio telefono o computer per lavoro, il datore di lavoro non può accedere ai dati personali presenti sul dispositivo. Le soluzioni di gestione dei dispositivi mobili permettono di separare un’area di lavoro controllata dall’azienda dal resto, e i controlli devono limitarsi a quella. Nel lavoro da remoto valgono le stesse regole dell’ufficio. Gli strumenti che registrano schermate, battiture o attività in modo continuo sono considerati dal Garante un controllo a distanza sproporzionato.

La perizia in giudizio

Nelle cause di lavoro la perizia informatica deve rispondere a due domande distinte. Se i dati sono autentici e integri, cosa che richiede un’acquisizione forense con catena di custodia. Se sono stati raccolti in modo lecito, cosa che dipende dall’informativa, dagli accordi e dalla proporzionalità del controllo. Il consulente tecnico non decide la seconda questione, che spetta al giudice, ma deve documentare con precisione come, quando e da chi i dati sono stati estratti, perché sono i fatti su cui il giudice ragionerà.
Un ultimo aspetto riguarda la conservazione. I dati raccolti per un’indagine interna vanno conservati per il tempo necessario alla tutela dei diritti, in un luogo protetto e con accessi limitati, e cancellati quando non servono più. Lasciarli su una cartella condivisa o in una casella di posta espone l’azienda a nuove violazioni.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn