Il governo dei dati nel rapporto di lavoro: prerogative datoriali e inviolabilità della sfera privata nella recente giurisprudenza 

L'attuale panorama giurisprudenziale in materia di diritto del lavoro e privacy, delinea un delicato equilibrio tra le prerogative di controllo datoriale e l'inviolabilità della sfera privata del prestatore. Se da un lato la Suprema Corte, con la Sentenza Cass. n. 32283/2025, legittima l’uso probatorio delle chat aziendali quali strumenti di emersione di condotte infedeli, dall'altro la medesima giurisprudenza di legittimità, con la Sentenza Cass. n. 24204/2025, erige un baluardo invalicabile a presidio della corrispondenza personale, ancorché veicolata su infrastrutture societarie, richiamando la forza precettiva dell'art. 8 CEDU. Questo quadro di garanzie trova un fondamentale completamento nel rigore censorio dell'Autorità Garante, la quale, con il Provvedimento n. 243/2025, sanziona il monitoraggio indiscriminato di metadati e log di navigazione, specialmente in contesti di lavoro agile, riaffermando il divieto di sorveglianza tecnologica massiva. Ne deriva un sistema integrato di tutele dove la trasparenza informativa, la proporzionalità dell’intrusione e il rispetto della dignità digitale divengono parametri di legittimità inderogabili per l'esercizio dei poteri datoriali. Il presente elaborato si propone, dunque, di analizzare la convergenza di tali orientamenti verso un modello di gestione del rapporto di lavoro che, pur non rinunciando alla tutela del patrimonio aziendale, ponga al centro la protezione dei dati personali come limite al controllo della prestazione lavorativa.

Sentenza n. 32283 dell'11 dicembre 2025 della Corte di Cassazione 

La Sentenza Cass. n. 32283 dell'11 dicembre 2025 consolida l'orientamento circa la piena ostensibilità dei contenuti estratti dalle chat aziendali ai fini della contestazione disciplinare e del licenziamento per giusta causa. Gli Ermellini hanno statuito che la messaggistica istantanea, pur se caratterizzata da una forma espressiva informale, costituisce un documento informatico idoneo a cristallizzare condotte lesive del vincolo fiduciario, specialmente quando tali flussi telematici avvengono su dispositivi o piattaforme messi a disposizione dal datore di lavoro per scopi professionali. 

La pronuncia affronta il delicato bilanciamento tra il diritto alla riservatezza del dipendente e l'interesse dell'impresa alla tutela del patrimonio e dell'immagine aziendale, precisando che il carattere chiuso di un gruppo di messaggistica non esclude la rilevanza disciplinare delle comunicazioni ivi contenute qualora esse integrino una violazione dei doveri di fedeltà, correttezza e buona fede ex artt. 2104 e 2105 c.c. Nel caso di specie, la Corte conferma la legittimità del recesso rilevando come le prove raccolte non siano frutto di un controllo occulto e indiscriminato, bensì di un monitoraggio volto a verificare anomalie gestionali e comportamenti impropri da parte di figure manageriali. Tale approccio giurisprudenziale eleva il dato digitale a specchio fedele dell'etica operativa, sancendo che l'uso degli strumenti tecnologici aziendali comporta un'attenuazione delle aspettative di privacy in favore della trasparenza del rapporto e della verificabilità dei comportamenti che mettono a repentaglio l'organizzazione produttiva, a condizione che l'estrazione dei dati avvenga nel pieno rispetto delle garanzie procedurali dettate dalla disciplina sul trattamento dei dati personali.

In sintesi: laddove l'applicativo di messaggistica risulti funzionalmente preordinato all'esecuzione delle mansioni e il datore di lavoro abbia assolto agli oneri di informativa puntuale circa le modalità d'uso e di controllo, le risultanze estratte dai flussi telematici acquisiscono piena e legittima dignità probatoria nel procedimento disciplinare. La decisione degli Ermellini conferma dunque che la natura informale della comunicazione istantanea non ne attenua la valenza di prova documentale idonea a rappresentare fatti giuridicamente rilevanti, rendendo il dato digitale un elemento di prova ostensibile ogniqualvolta esso sia generato all'interno di un perimetro tecnologico qualificato come professionale; si sancisce così il superamento della dicotomia tra sfera privata e prestazione lavorativa entro il perimetro degli strumenti di lavoro debitamente censiti e regolamentati: “Come puntualizzato da questa Corte, occorre distinguere tra i controlli a difesa del patrimonio aziendale che riguardano tutti i dipendenti (o gruppi di dipendenti) nello svolgimento della loro prestazione di lavoro che li pone a contatto con tale patrimonio, controlli che dovranno necessariamente essere realizzati nel rispetto delle previsioni dell'art. 4 novellato in tutti i suoi aspetti, e i ‘controlli difensivi’ in senso stretto, diretti ad accertare specificamente condotte illecite ascrivibili - in base a concreti indizi - a singoli dipendenti, anche se verificatesi durante la prestazione di lavoro; questi ultimi controlli, anche se effettuati con strumenti tecnologici, non avendo ad oggetto la normale attività del lavoratore, si situano all'esterno del perimetro applicativo dell'art. 4. Poiché non ha ad oggetto una attività – in senso tecnico– del lavoratore, il controllo difensivo in senso stretto deve Data pubblicazione 11/12/2025 essere mirato ed attuato ex post, ossia a seguito del comportamento illecito di uno o più lavoratori del cui avvenuto compimento il datore abbia avuto il fondato sospetto, perché solo a partire da quel momento il datore può provvedere alla raccolta di informazioni utilizzabili (così Cass. n. 25732/2021 cit., punti 40 e 44). I controlli difensivi in senso stretto sono quindi considerati legittimi solo ove ricorra il "fondato sospetto" del datore di lavoro circa comportamenti illeciti di uno o più lavoratori e purché il controllo riguardi dati acquisiti successivamente all'insorgere del sospetto, dovendosi assicurare un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali, correlate alla libertà di iniziativa economica, rispetto alle imprescindibili tutele della dignità e della riservatezza del lavoratore”.

Cassazione Civile, Sez. Lav., 29 agosto 2025, n. 24204

Se la precedente statuizione valorizza la dimensione oggettiva dello strumento di lavoro quale veicolo di informazioni legittimamente ostensibili, la Sentenza Cass. n. 24204 del 29 agosto 2025 interviene a bilanciare tale prerogativa datoriale, erigendo un fondamentale presidio di garanzia costituzionale a tutela dell'intangibilità della corrispondenza. Gli Ermellini, con un'esegesi orientata al rispetto dell'art. 8 CEDU e dell'art. 15 Cost., chiariscono come la titolarità del supporto hardware in capo all'impresa non operi una neutralizzazione automatica del diritto alla segretezza, ogniqualvolta la comunicazione rivesta un carattere squisitamente personale. Si delinea così un sistema di bilanciamento in cui il potere di controllo, pur legittimato dalla natura professionale del mezzo, deve arrestarsi dinanzi alla soglia della sfera d'intimità del dipendente, impedendo che la disponibilità tecnologica del server trasmodi in un accesso indiscriminato alla vita privata del prestatore.

Entrando nel dettaglio, la Corte ha statuito che la presa visione delle email private del dipendente configura una violazione della sfera d'intimità della persona che non può essere legittimata dalla mera titolarità del mezzo digitale in capo all'impresa: “Le limitazioni alla vita professionale di una persona possono rientrare nell'articolo 8 se hanno ripercussioni sulle modalità con cui la stessa costruisce la sua identità sociale mediante lo sviluppo di rapporti con gli altri. A tale riguardo deve essere rilevato che per la maggior parte delle persone la vita lavorativa rappresenta una significativa, se non la più importante, possibilità di sviluppare rapporti con il mondo esterno……Si applica lo stesso principio alle e-mail inviate dal luogo di lavoro, che godono di analoga tutela ai sensi dell'articolo 8, così come le informazioni tratte dal controllo dell'utilizzo di internet da parte di una persona (si veda Copland, sopra citata, par. 41 in fine)", è stato affermato che le comunicazioni trasmesse dai locali dell'impresa nonché dal domicilio di una persona possono essere comprese nella nozione di "vita privata" e di "corrispondenza" di cui all'articolo 8 della Convenzione”.

Nel richiamato passaggio, la Suprema Corte, sulla scorta del noto leading case Copland c. Regno Unito, statuisce che la vita privata del soggetto non subisce una contrazione per il solo fatto di estrinsecarsi anche all’interno degli spazi aziendali, atteso che l'alveo lavorativo rappresenta anch’esso una sede elettiva per lo sviluppo dell'identità sociale e dei rapporti interpersonali. In tal senso, la tutela della corrispondenza e della vita privata non è condizionata dalla titolarità del supporto hardware, poiché la nozione di riservatezza è legata a una ragionevole aspettativa di confidenzialità che il dipendente conserva anche dinanzi a strumenti di lavoro. Il contestuale richiamo alla giurisprudenza di Strasburgo impone dunque al giudice di merito un rigoroso vaglio di proporzionalità, chiarendo che il monitoraggio dell'utilizzo di internet o della posta elettronica, laddove attinga a comunicazioni di natura squisitamente personale, configura un'interferenza autoritativa nella sfera d'intimità della persona; ne deriva che la mera proprietà del server in capo al datore di lavoro non costituisce un titolo di legittimazione sufficiente ad annullare il diritto costituzionalmente e convenzionalmente garantito alla segretezza delle comunicazioni, il quale permane quale limite esterno ed invalicabile alle prerogative di controllo datoriale.

La pronuncia esaminata statuisce dunque un rigido regime di inutilizzabilità processuale delle prove così acquisite, il quale opera come sanzione ordinamentale contro l'esercizio abusivo del potere gerarchico e delle prerogative di vigilanza. Il datore di lavoro, per non incorrere in profili di responsabilità finanche penale, con specifico riferimento alla fattispecie di accesso abusivo a sistema informatico ex art. 615-ter c.p., è tenuto a conformarsi a un protocollo di trasparenza e proporzionalità estremamente rigoroso. Tale iter presuppone la preventiva e dettagliata informativa sulle modalità di utilizzo degli strumenti e sui limiti dei controlli, nonché la sussistenza di specifici presupposti giustificativi che legittimino un'intrusione che deve comunque mantenersi mirata, selettiva e mai massiva. In definitiva, il decisum impone alle realtà aziendali una cogente revisione delle policy interne, riaffermando che il contesto lavorativo non costituisce una zona franca rispetto all'efficacia dei diritti fondamentali dell'individuo e che la tutela della riservatezza e della corrispondenza funge da limite esterno invalicabile alle prerogative organizzative.

Provvedimento del Garante n. 243 del 29 aprile 2025,

Il Provvedimento del Garante n. 243 del 29 aprile 2025, si pone in ideale continuità con il richiamato percorso nomofilattico della Suprema Corte, trasponendo le garanzie costituzionali e convenzionali nel piano squisitamente tecnico della data protection; l'Autorità eleva i metadati di posta elettronica, ovvero quelle informazioni strutturate relative a mittente, destinatario, indirizzi IP, dimensioni degli allegati e orari di instradamento, al rango di elementi essenziali della comunicazione, ritenendoli parimenti assistiti dalle garanzie di segretezza di cui agli artt. 2 e 15 Cost.

Entrando nel dettaglio, il provvedimento in esame è stato adottato all'esito di un'articolata attività ispettiva nei confronti di Regione Lombardia e costituisce un monito imprescindibile in ordine alla pervasività dei controlli digitali nel contesto del lavoro agile. L'Autorità ha censurato la sistematica raccolta e l'eccessiva conservazione dei metadati relativi all'utilizzo della posta elettronica, dei log di navigazione Internet e delle informazioni acquisite tramite i sistemi di assistenza tecnica (help desk), ravvisandovi una violazione dei principi di minimizzazione e trasparenza sanciti dal GDPR: “In particolare, i metadati di posta elettronica, che corrispondono tecnicamente alle informazioni registrate nei log generati dai sistemi server di gestione e smistamento della posta elettronica e dalle postazioni nell’interazione che avviene tra i diversi server interagenti e, se del caso, tra questi e i client, comprendono generalmente gli indirizzi email del mittente e del destinatario, gli indirizzi IP dei server o dei client coinvolti nell’instradamento del messaggio, gli orari di invio, di ritrasmissione o di ricezione, la dimensione del messaggio, la presenza e la dimensione di eventuali allegati e, in certi casi, a seconda del sistema di gestione del servizio di posta elettronica utilizzato, anche l’oggetto del messaggio spedito o ricevuto. I metadati di posta elettronica risultano assistiti da garanzie di segretezza, tutelate anche costituzionalmente (artt. 2 e 15 Cost.), intese ad assicurare protezione al nucleo essenziale della dignità della persona e al pieno sviluppo della sua personalità nelle formazioni sociali. Ciò comporta che, anche nel contesto lavorativo, sussista una legittima aspettativa di riservatezza in relazione alla corrispondenza e, analogamente, agli elementi ricavabili dai dati esteriori della stessa, che ne definiscono i profili temporali (come la data e l’ora di invio/ricezione) nonché gli aspetti quali-quantitativi anche in ordine ai destinatari e alla frequenza di contatto, in quanto anche questi dati sono, a propria volta, suscettibili di aggregazione, elaborazione e di controllo”.

Il Garante prosegue evidenziando come il trattamento indiscriminato di tali dati, pur se finalizzato alla sicurezza informatica ed alla gestione tecnica, consenta di fatto un monitoraggio nascosto della prestazione lavorativa, in contrasto con le garanzie statutarie ex art. 4 della l. n. 300/1970: “la generalizzata raccolta e la conservazione dei metadati di posta elettronica, per un lasso di tempo più esteso, in presenza di esigenze comunque riconducibili alla sicurezza e alla tutela del patrimonio anche informativo del datore di lavoro, potendo comportare un indiretto controllo a distanza dell’attività dei lavoratori, richiede l’esperimento delle garanzie previste dall’art. 4, comma 1, della predetta l. 20 maggio 1970, n. 300”. Il passaggio in esame rifinisce il perimetro di applicazione dell'art. 4 St. Lav., introducendo una sottile ma decisiva distinzione tra la gestione tecnica dello strumento e il monitoraggio potenziale della condotta. Il Garante evidenzia come la variabile temporale della conservazione dei metadati ne muti la natura giuridica: la reiterata e generalizzata archiviazione dei log di posta elettronica per un periodo eccedente le strette necessità di instradamento telematico non può essere derubricata a mera gestione organizzativa ex art. 4, comma 2, St. Lav. La disponibilità di uno storico esteso di tali informazioni conferisce infatti al datore di lavoro un potere di ricostruzione postuma dell'attività del dipendente che, per la sua attitudine intrinseca, si traduce in un controllo a distanza indiretto. Pertanto, qualora le finalità di sicurezza e tutela del patrimonio informativo richiedano un mantenimento prolungato di siffatti dati, la liceità del trattamento non è più garantita dalla sola informativa, ma viene subordinata al regime autorizzatorio previsto dal primo comma dell'art. 4 citato. La raccolta sistematica dei metadati viene dunque attratta nell'alveo dei “controlli necessari per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale”, imponendo l'attivazione del previo accordo sindacale o, in difetto, dell'istanza presso l'Ispettorato Nazionale del Lavoro. In assenza di tale iter garantista, la conservazione del dato digitale sconfina in un'attività di sorveglianza illecita, inficiando la legittimità dell'intero impianto probatorio e richiamando il datore di lavoro al rispetto del canone di proporzionalità che informa l'intero ordinamento eurounitario in materia di protezione dei dati personali.

In conclusione, il decisum chiarisce che il mutamento del paradigma organizzativo verso lo smart working non legittima un'espansione del potere di vigilanza ma impone, al contrario, una rigorosa delimitazione dei tempi di data retention e un'informativa analitica che renda edotto il dipendente circa il perimetro dei controlli tecnologici. Tale statuizione ribadisce l'illegittimità di prassi datoriali volte a ricostruire, attraverso la scia digitale dei flussi telematici, elevando la protezione dei metadati a baluardo della libertà e della dignità del prestatore anche al di fuori delle mura aziendali. Si sancisce, in definitiva, che il dato tecnologico non può mai diventare uno strumento di surrettizio monitoraggio della prestazione, dovendo la compliance aziendale arrestarsi dinanzi al nucleo intangibile della personalità sociale del lavoratore.

Caso

L'esperto

 La distinzione risiede nel fine e nella natura della comunicazione. Secondo la Cassazione n. 32283/2025, la chat aziendale è uno strumento funzionale alla prestazione; se usata per violare doveri contrattuali, perde la protezione della riservatezza a fronte del diritto di difesa datoriale. Al contrario, la Cassazione n. 24204/2025 sancisce che l'email personale, pur se residente su hardware aziendale, appartiene alla sfera privata intangibile del lavoratore (Art. 8 CEDU) e non può essere acquisita, rendendo la prova radicalmente nulla.

Il provvedimento stabilisce che il lavoro agile non può divenire pretesto per una sorveglianza digitale totale. Il datore non può utilizzare log di help desk o metadati di posta per ricostruire l'intensità del lavoro. Per monitorare la prestazione, il datore deve limitarsi a verifiche orientate ai risultati e non alla navigazione o ai tempi di connessione, a meno di non aver preventivamente implementato protocolli rigorosi, concordati con i sindacati e debitamente comunicati ai sensi dell'art. 4 dello Statuto dei Lavoratori.

La principale conseguenza è l'inutilizzabilità delle prove nel giudizio di impugnazione del licenziamento. Oltre alla soccombenza nel merito, il datore di lavoro rischia sanzioni amministrative pecuniarie gravose da parte del Garante e, nei casi più gravi di accesso abusivo a sistemi informatici o intercettazione di comunicazioni, l'apertura di un procedimento penale.