Testo dell'articoloVigente
Il datore può monitorare l’uso del PC e della posta elettronica aziendale solo nel rispetto dell’art. 4 Statuto (accordo sindacale o autorizzazione ITL per i sistemi di controllo aggiuntivi) e del GDPR. Il Garante Privacy ha chiarito che il datore non può leggere indiscriminatamente le e-mail aziendali dei dipendenti senza una policy preventiva e una base giuridica adeguata.
Tabella riepilogativa
| Attività | Ammessa? | Condizioni |
|---|---|---|
| Leggere tutte le e-mail aziendali a tappeto | No | Vietato senza policy e base giuridica specifica |
| Monitoraggio log di navigazione Internet | Limitatamente | Accordo/autorizzazione art. 4 + policy + informativa GDPR |
| Installare software di controllo (keylogger, screenshot) | No (salvo procedura) | Richiede accordo sindacale o autorizzazione ITL + informativa |
| Accedere al PC dopo le dimissioni del dipendente | Sì (limitatamente) | Solo per esigenze organizzative documentate; policy preventiva raccomandata |
| Adottare una policy aziendale sull’uso degli strumenti | Sì – doveroso | Deve essere portata a conoscenza dei lavoratori prima dell’uso |
Il PC aziendale come strumento di lavoro
Il PC aziendale è fornito per finalità lavorative: il datore è legittimato a stabilire – tramite una policy d’uso degli strumenti – le regole di utilizzo, inclusi eventuali divieti di uso privato o limitazioni alla navigazione. La policy deve essere comunicata ai dipendenti prima dell’inizio dell’utilizzo. In assenza di policy, il datore non può presumere che l’uso sia esclusivamente lavorativo e non può usare i dati a fini disciplinari senza previo avvertimento.
I limiti al controllo della posta elettronica
Il Garante Privacy ha chiarito in più pronunce che il datore non può accedere sistematicamente e indiscriminatamente alle e-mail dei dipendenti: costituirebbe una violazione della riservatezza e dell’art. 4 Statuto se effettuata tramite sistemi di controllo non autorizzati. L’accesso è giustificato solo in presenza di indizi concreti di illecito, con misure proporzionate e documentate, e comunque dopo aver informato il dipendente della possibilità di controllo tramite policy.
Cosa succede all'account e-mail dopo la cessazione
Alla cessazione del rapporto il datore deve gestire l’account aziendale del dipendente in modo da tutelare sia le esigenze organizzative sia la riservatezza del lavoratore. Le best practice raccomandate dal Garante prevedono di disattivare l’account entro un termine ragionevole, impostare un messaggio automatico di risposta che indirizzi a un contatto alternativo, e non conservare le e-mail più a lungo del necessario. Il dipendente non ha diritto di continuare a usare l’account dopo la cessazione.
Casi pratici
Il datore ha installato un keylogger sul PC di Tizio senza informarlo né seguire la procedura dell’art. 4. I dati raccolti non possono essere usati a fini disciplinari; il datore si espone a sanzioni penali per violazione dell’art. 4 e a sanzioni GDPR per trattamento illecito di dati personali.
Dopo le dimissioni di Caia, il datore accede al suo account per recuperare documenti di lavoro. L’accesso è giustificato da esigenze organizzative solo se documentato e limitato al necessario; il datore non può leggere indiscriminatamente tutta la corrispondenza personale eventualmente presente. Una policy preventiva avrebbe definito i confini.
Il datore vuole verificare se Sempronio usa Internet per scopi personali. Senza una policy aziendale che vieti l’uso privato e senza la procedura dell’art. 4 per il sistema di monitoraggio dei log, non può farlo; con policy e procedura rispettate, può controllare i log di navigazione e, in caso di abuso, procedere disciplinarmente.
Domande frequenti
Il datore può leggere le mie e-mail aziendali?
Non sistematicamente e non senza una policy preventiva. Il datore può accedere alle e-mail aziendali solo in presenza di esigenze organizzative documentate o di indizi concreti di illecito, e comunque solo se il lavoratore è stato preventivamente informato della possibilità di controllo tramite una policy d’uso.
Posso usare il PC aziendale per cose personali?
Dipende dalla policy aziendale. Se la policy vieta l’uso privato, il dipendente non è autorizzato; se la policy tace o consente un uso limitato, occorre attenersi a quanto previsto. In ogni caso, è prudente non conservare dati personali sensibili su strumenti aziendali.
Cosa è una policy aziendale sull'uso degli strumenti?
È un documento interno che stabilisce le regole d’uso del PC, della posta, di Internet e di altri strumenti aziendali: cosa è consentito, cosa è vietato, se e come può avvenire il controllo. Deve essere portata a conoscenza dei dipendenti prima che inizino a usare gli strumenti.
Il datore può tenermi il cellulare aziendale acceso la notte?
Il tema rientra nel diritto alla disconnessione: dopo l’orario di lavoro il lavoratore ha diritto a non essere raggiungibile su strumenti aziendali, salvo diversa previsione contrattuale per mansioni che richiedano reperibilità (con le relative maggiorazioni). Una policy o il CCNL devono regolamentare la reperibilità.
Cosa faccio se scopro che il datore mi ha monitorato illegalmente?
Puoi presentare reclamo al Garante per la protezione dei dati personali e, se i dati sono stati usati in sede disciplinare o giudiziaria, eccepire l’inutilizzabilità delle prove raccolte in violazione dell’art. 4 Statuto. Puoi anche rivolgerti a un avvocato giuslavorista o al patronato sindacale.
Questa guida ha finalità divulgativa ed è aggiornata alla normativa vigente nel 2026. Gli importi, le durate e le condizioni possono variare in base al CCNL applicato e alla situazione individuale: per il proprio caso è consigliabile rivolgersi a un consulente del lavoro, al sindacato di categoria, al patronato o all’Ispettorato Territoriale del Lavoro.
Serve un parere sul tuo caso concreto?
Questa guida spiega la regola generale, ma ogni situazione ha le sue specificità. Per un controllo sul tuo caso puoi trovare un professionista tramite Legge in Chiaro.
In sintesi
Indice dei contenuti
Il tema del controllo della posta elettronica e del personal computer assegnati al dipendente si colloca al crocevia tra il potere di organizzazione e vigilanza del datore di lavoro e il diritto del lavoratore alla riservatezza e alla dignita'. La cornice normativa di riferimento e' duplice: da un lato l'art. 4 dello Statuto dei lavoratori, riscritto nel 2015, che disciplina i controlli a distanza; dall'altro la normativa europea sulla protezione dei dati personali, oggi rappresentata dal Regolamento UE 2016/679 e dal Codice privacy nazionale.
La regola generale dell'art. 4 dello Statuto
L'art. 4 distingue tra impianti e strumenti dai quali derivi anche la possibilita' di controllo a distanza dell'attività dei lavoratori, installabili solo per esigenze organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale e previo accordo sindacale o autorizzazione amministrativa, e gli strumenti utilizzati dal lavoratore per rendere la prestazione. Per questi ultimi, e per gli strumenti di registrazione degli accessi e delle presenze, la legge non richiede accordo o autorizzazione preventiva.
Quando il PC e la posta sono "strumenti di lavoro"
Il computer e la casella di posta aziendale sono tipicamente strumenti necessari a rendere la prestazione e rientrano percio' nella categoria esente da accordo. Tuttavia l'esenzione vale per lo strumento in quanto tale: nel momento in cui all'apparecchiatura si aggiungano software di monitoraggio, keylogger o sistemi di tracciamento puntuale dell'attività, si torna nell'ambito che richiede le garanzie procedurali, perché tali aggiunte trasformano lo strumento in dispositivo di controllo.
L'utilizzabilita' dei dati e l'informativa
Il punto più delicato e' l'utilizzabilita' delle informazioni raccolte. La norma consente l'uso dei dati a tutti i fini connessi al rapporto di lavoro, compreso quello disciplinare, a una condizione precisa: che al lavoratore sia stata data adeguata informativa sulle modalita' d'uso degli strumenti e di effettuazione dei controlli, nel rispetto della disciplina sulla protezione dei dati. Senza informativa, il dato raccolto e' inutilizzabile.
Il rispetto del GDPR e i principi di minimizzazione
Il trattamento deve rispettare i principi di liceita', trasparenza, finalita' e minimizzazione. ciò implica policy aziendali chiare sull'uso degli strumenti informatici, la previa indicazione delle finalita' del trattamento, la gradualita' del controllo e la conservazione dei dati per il tempo strettamente necessario. La verifica generalizzata e indiscriminata del contenuto delle e-mail e' incompatibile con questi principi.
I controlli difensivi
Distinta e' la figura del controllo difensivo, finalizzato non a verificare l'esatto adempimento della prestazione ma a tutelare il patrimonio aziendale di fronte a condotte illecite del dipendente. La giurisprudenza ammette il controllo difensivo "in senso stretto", attivato in presenza di un fondato sospetto già maturato e mirato a un singolo lavoratore, sottraendolo alle garanzie procedurali dell'art. 4, ma sempre nel rispetto dei limiti di proporzionalita' e di tutela della dignita'.
Buone pratiche per il datore
In concreto, il datore prudente adotta un disciplinare interno sull'uso di internet e posta elettronica, fornisce informativa privacy specifica, evita il controllo occulto e continuativo, gradua gli accertamenti e documenta finalita' e tempi di conservazione. Tale impostazione mette al riparo dalla nullita' dei controlli e dalla inutilizzabilita' delle prove in eventuali contenziosi disciplinari.
Domande frequenti
Il datore puo' leggere le mie e-mail aziendali?
Puo' accedere ai messaggi della casella aziendale nei limiti dell'art. 4 dello Statuto e del GDPR, solo se ha fornito informativa adeguata sull'uso degli strumenti e sui controlli, e nel rispetto dei principi di proporzionalita' e minimizzazione. Il controllo occulto e generalizzato non e' consentito.
Serve l'accordo sindacale per controllare il PC aziendale?
Per il PC inteso come strumento di lavoro non serve accordo sindacale o autorizzazione. Serve invece quando si installano software di monitoraggio o tracciamento che trasformano lo strumento in un dispositivo di controllo dell'attivita'.
I dati raccolti possono essere usati per un licenziamento?
Si', ma solo se il lavoratore ha ricevuto adeguata informativa e i controlli sono stati svolti nel rispetto della disciplina privacy. In mancanza, i dati sono inutilizzabili anche a fini disciplinari.
Che cos'e' il controllo difensivo?
E' il controllo volto a tutelare il patrimonio aziendale da condotte illecite del dipendente. Quello "in senso stretto", mirato e attivato su un fondato sospetto, segue regole piu' rigorose elaborate dalla giurisprudenza.
Cosa deve fare il datore per essere in regola?
Adottare un disciplinare interno sull'uso degli strumenti informatici, fornire informativa privacy specifica, evitare controlli occulti e continuativi, graduare gli accertamenti e conservare i dati solo per il tempo necessario.