Tra le problematiche più frequenti in materia di protezione dei dati c’è la questione dei controlli effettuati dai datori di lavoro sulle e-mail aziendali dei propri dipendenti.

Frequentemente, le caselle di posta elettronica che vengono utilizzate da lavoratori dipendenti contengono nome e cognome (o iniziali nome e cognome per intero, o cognome esclusivamente); questa prassi può generare nel dipendente un senso di “appartenenza” della relativa casella elettronica, da poter utilizzare anche informalmente senza che nessun’altro possa accedervi.

In realtà, anche se nome e cognome sono ben identificabili, la mail aziendale è di proprietà esclusiva della società, che ha il dovere di proteggerla, conservarla nella massima sicurezza e verificare che ne venga fatto un uso conforme a quanto indicato nei regolamenti aziendali previsti per tale strumento.

Per questo motivo, occorre ricordare che le comunicazioni lavorative sono un patrimonio delle società.

Quanto sopra esposto, però, non vuol significare che al datore di lavoro sia concesso un controllo massiccio e continuo della casella di posta elettronica del proprio dipendente.

Infatti, come già accennato, il datore di lavoro ha la possibilità di effettuare questi controlli in presenza, e nel rispetto, di un regolamento in merito alle policy di utilizzo e-mail, il quale deve essere sottoposto al lavoratore nel momento in cui viene consegnato tale strumento.

Regolamenti del genere, da adottare all’interno di una “impalcatura” per la protezione dei dati dei dipendenti e dei clienti/fornitori, servono a dare linee guida al dipendente per l’utilizzo della propria e-mail, oltre che avvertirlo in merito alle possibili modalità e tempistiche di controllo; in mancanza di ciò, ed in presenza di un massiccio controllo della casella di posta elettronica, la società potrebbe essere sanzionata per violazione della privacy del lavoratore.

Quanto su esposto, si evince combinando l’art. 4 della Legge n. 300 del 1970 e il principio di trasparenza in materia di protezione di dati personali.

Occorre, infine, precisare che il controllo potrà avvenire per finalità disciplinari solo ed esclusivamente sull’e-mail account aziendale e non su quello personale (ivi compresi, per analogia, account social privati), come stabilito dalla Cassazione con sentenza n. 13057 del 31 marzo 2016.  

Principi importanti sul punto, sono emersi anche a seguito di alcuni recenti provvedimenti emanati dalle Autorità di controllo in materia; ad esempio, l’Autorità di controllo ungherese ha sanzionato una azienda che impediva l’accesso ad un ex dipendente alla sua mail aziendale, al fine di recuperare alcuni dati personali. L’Autorità di controllo, oltre alla sanzione, stabiliva che l’ex dipendente avrebbe potuto recuperare quanto richiesto pur non avendo diritto alla consegna dell’intera corrispondenza; la stessa, infatti, avrebbe potuto contenere segreti industriali e know-how specifico. Per poter effettuare questa selezione, l’Autorità di controllo intimava allo stesso ex dipendente di collaborare attivamente con la società al fine di ridurre le difficoltà di tale ricerca.

Il Garante Italiano, invece, sul punto ha sanzionato una azienda che, nonostante la cessazione del rapporto di lavoro, decideva di non chiudere l’account e-mail dell’ex dipendente, con il dichiarato intento di non perdere contatti con clienti e fornitori; questa attività, prevedendo dati riconducibili all’ex dipendente, è stata ritenuta un trattamento illecito dei dati personali.

Al fine di schematizzare quanto sopra esposto, ecco un breve riassunto:

• il datore di lavoro, solo ed esclusivamente dopo aver sottoposto un regolamento in materia al proprio dipendente, può controllare l’account e-mail aziendale con le modalità e le tempistiche esplicitate preventivamente.
• il datore di lavoro, invece, non può controllare account privati e profili social e non può mantenere attivi account di posta elettronica di dipendenti cessati.

Avv. Stefano Alberto Brandimarte